sou · H5B366 · 2017-08-31 00:00:00 — Artikel 22.1 i dataskydds- förordningen ska inte tillämpas om beslutet är nödvändigt för ingå- ende eller fullgörande av ett avtal mellan den registrerade och den personuppgiftsansvarige, om beslutet tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansva- rige omfattas av och som fastställer lämpliga åtgärder till skydd för Allmänt om befintliga bestämmelser den registrerades rättigheter, friheter och berättigade intressen, eller om beslutet grundar sig på den registrerades uttryckliga sam- tycke. I de fall det är tillåtet att fatta automatiserade beslut med anledning av ett avtal eller med stöd av samtycke, ska den person- uppgiftsansvarige enligt artikel 22.3 i dataskyddsförordningen genom- föra lämpliga åtgärder för att säkerställa den registrerades rättig- heter, friheter och rättsliga intressen, åtminstone rätten till per- sonlig kontakt med den personuppgiftsansvarige för att kunna ut- trycka sin åsikt och bestrida beslutet. Beslut får enligt artikel 22.4 i dataskyddsförordningen grunda sig på känsliga personuppgifter endast om behandlingen sker med stöd av artikel 9.2 a (samtycke) eller g (viktigt allmänt intresse) och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits. Lämpliga skyddsåtgärder bör enligt skäl 71 till dataskyddsför- ordningen inkludera specifik information till den registrerade och rätt till mänskligt ingripande, att framföra sina synpunkter, att er- hålla en förklaring till det beslut som fattas efter sådan bedömning och att överklaga beslutet. Vidare anges i skäl 71 ytterligare åtgär- der för att skydda den registrerade: I syfte att sörja för rättvis och transparent behandling med avseende på den registrerade, med beaktande av omständigheterna och det sam- manhang i vilket personuppgifterna behandlas, bör den personupp- giftsansvarige använda adekvata matematiska eller statistiska förfaran- den för profilering, genomföra tekniska och organisatoriska åtgärder som framför allt säkerställer att faktorer som kan medföra felaktig- heter i personuppgifter korrigeras och att risken för fel minimeras samt säkra personuppgifterna på sådant sätt att man beaktar potentiella risker för den registrerades intressen och rättigheter och förhindrar bland annat diskriminerande effekter för fysiska personer, på grund av ras eller etniskt ursprung, politiska åsikter, religion eller övertygelse, medlemskap i fackföreningar, genetisk status eller hälsostatus eller sexuell läggning, eller som leder till åtgärder som får sådana effekter. Även i dataskyddsdirektivet finns undantag från huvudregeln. En person får enligt artikel 15.2 i dataskyddsdirektivet trots allt bli föremål för ett sådant beslut som avses i artikel 15.1 om beslutet fattas som ett led i ingåendet eller fullgörandet av ett avtal eller tillåts i lagstiftning som innehåller bestämmelser till skydd för den registrerades berättigade intressen. I fråga om avtal krävs också att den registrerades begäran om ingående eller fullgörande av avtalet har bifallits eller att det vidtas lämpliga åtgärder för att skydda hans Allmänt om befintliga bestämmelser berättigade intressen, exempelvis möjligheten för honom att göra sin uppfattning gällande. Att ett beslut enligt dataskyddsförordningen kan fattas auto- matiserat med stöd av samtycke från den registrerade är således en nyhet i förhållande till dataskyddsdirektivet. Begränsningen i fråga om känsliga personuppgifter är också ny i förhållande till data- skyddsdirektivet. Dataskyddsdirektivets bestämmelser har kommit till uttryck i 29 § personuppgiftslagen, där det anges att om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för den fysiska personen, grundas enbart på automati- serad behandling av sådana personuppgifter som är avsedda att be- döma egenskaper hos personen, ska den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. Var och en som varit föremål för ett sådant beslut har enligt paragrafens andra stycke rätt att på ansökan få information från den person- uppgiftsansvarige om vad som har styrt den automatiserade be- handling som lett fram till beslutet. I den mån det inom verksamhetsområde förekommer beslut som grundas enbart på automatiserad behand- ling och inkluderar profilering, krävs det att något av de undantag som anges i artikel 22.2 i dataskyddsförordningen är tillämpligt. Vanligare är dock att beslut fattas genom automatiserad behandling utan att det inkluderar profilering. Sådana beslut omfattas enligt utredningens tolkning inte av artikel 22 i dataskyddsförordningen och dataskyddsförordningen ställer inte heller i övrigt några krav på att sådant beslutsfattande regleras särskilt. Då krävs endast att behandlingen av personuppgifter som sådan är tillåten enligt gäll- ande dataskyddslagstiftning. Allmänt om befintliga bestämmelser Utredningens bedömning: En begränsning av de nya rättighet- erna för registrerade bör övervägas bara om en ny rättighet kan anses alldeles särskilt betungande för en specifik verksamhet. Bestämmelser i registerförfattningar om begränsningar av andra rättigheter för registrerade än rätten att göra invändningar kan och bör behållas. Bestämmelser i registerförfattningar om begränsningar av den registrerades rätt att göra invändningar enligt artikel 21 i dataskyddsförordningen kan och bör behållas om de efter en prövning i varje enskilt fall bedöms tillåtna enligt artikel 23.1. Enligt artikel 23.1 i dataskyddsförordningen ska det vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt införa en lag- stiftningsåtgärd som begränsar tillämpningsområdet för de skyl- digheter och rättigheter som föreskrivs i artikel 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artikel 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättighet- erna och friheterna och utgör en nödvändig och proportionell åt- gärd i ett demokratiskt samhälle i syfte att säkerställa olika uppräk- nade intressen. De uppräknade intressena i artikel 23.1 i dataskyddsförord- ningen innefattar bl.a. •unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet (e), •förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken (g), •en tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som nämns i artikel 23.1 a–e och g (h), och Allmänt om befintliga bestämmelser • skydd av den registrerade eller andras rättigheter och friheter (i). En begränsning enligt artikel 23.1 i dataskyddsförordningen måste dock uppfylla vissa krav. Enligt artikel 23.2 i dataskyddsförord- ningen ska en lagstiftningsåtgärd som begränsar rättigheter och skyldigheter som följer av dataskyddsförordningen innehålla speci- fika bestämmelser åtminstone, när så är relevant, avseende ända- målen med behandlingen eller kategorierna av behandling, katego- rierna av personuppgifter, omfattningen av de införda begränsning- arna, skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga, lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling, riskerna för de registrerades rättigheter och friheter, och de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Det framstår som något oklart vad de sista två kraven egentligen avser. När är det relevant med specifika bestämmelser om riskerna för de registrerades rättigheter och friheter och ska de innehålla en uppräkning av dessa risker eller något annat? Kravet på bestämmelser om information om begräns- ningen lär knappast ha någon relevans när själva begränsningen innebär att den registrerade inte automatiskt får information när behandlingen inleds. En liknande bestämmelse om möjlighet till begränsning av om- fattningen av skyldigheter och rättigheter finns i artikel 13 i data- skyddsdirektivet. I den bestämmelsen anges i och för sig inte något om att begränsningen ska ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna eller att åtgärden ska vara proportionell i ett demokratiskt samhälle. Det får dock förut- sättas att begränsningar av den personuppgiftsansvariges skyldig- heter inte heller enligt dataskyddsdirektivet får göras i strid mot grundläggande rättigheter och friheter eller vara oproportionella. nämns också i skäl 1 till dataskyddsdirektivet. Av dataskyddskonvention följer vidare att lagstadgade begränsningar måste vara en nödvändig åtgärd i ett demokratiskt samhälle. Allmänt om befintliga bestämmelser En större skillnad mellan dataskyddsförordningen och data- skyddsdirektivet är att uppräkningen av de intressen som en be- gränsning måste syfta till att säkerställa har utökats i dataskydds- förordningen. Dessutom har vissa av de befintliga intressena for- mulerats om. Artikel 13.1 e i dataskyddsdirektivet omfattar endast viktiga ekonomiska eller finansiella intressen, medan artikel 23.1 e i dataskyddsförordningen även tar upp andra viktiga mål av generellt allmänt intresse. Uppräkningen i den punkten är inte heller längre uttömmande utan även andra mål kan omfattas. har orda- lydelsen i punkten e ändrats från att en begränsning ska vara nöd- vändig med hänsyn till ett viktigt (ekonomiskt eller finansiellt) intresse till ett viktigt mål av generellt allmänt intresse. I avsaknad av ytterligare tolkningsdata går det, som anges i avsnitt 9.8.1, inte att dra några säkra slutsatser om detta innebär att det krävs något annat än vad som följer av begreppet allmänt intresse som används i t.ex. artikel 6.1 e i dataskyddsförordningen. Utredningen bedömer att utrymmet för begränsningar enligt artikel 23.1 e i dataskydds- förordningen i vart fall är större än enligt motsvarande reglering i dataskyddsdirektivet, eftersom bestämmelsen inte längre enbart omfattar ekonomiska och finansiella intressen. I artikel i dataskyddsförordningen har, i förhållande till dataskyddsdirektivet när det gäller överträdelser av etiska regler, förhindrande och utredning av överträdelser lagts till medan under- sökning tagits bort. Det är utredningens bedömning att begreppen utredning och undersökning har samma innebörd. Tillägget av förhindrande av överträdelser innebär en utökning i förhållande till dataskyddsdirektivet. När det gäller tillsyns-, inspektions- eller regleringsfunktioner som nämns i artikel 23.1 h i dataskyddsförordningen har data- skyddsdirektivets formulering att bestämmelsen gäller även om funktionen är av övergående karaktär bytts ut mot formuleringen även i enstaka fall. Utredningen bedömer, i avsaknad av klargö- rande skäl, att någon ändring i sak inte är avsedd. Formuleringen i artikel 23.1 i i dataskyddsförordningen är den- samma som i dataskyddsdirektivet. Möjligheterna att begränsa den registrerades rättigheter, när det gäller de intressen som är aktuella inom verk- samhetsområde, är alltså desamma för vissa av punkterna medan de Allmänt om befintliga bestämmelser för andra punkter är något utökade jämfört med vad som gäller enligt dataskyddsdirektivet. Kravet i dataskyddsförordningen på att lagstiftningsåtgärder med begränsningar ska, när det är relevant, innehålla specifika be- stämmelser i vissa uppräknade avseenden saknar motsvarighet i dataskyddsdirektivet. har, som framgått av avsnitt 9.15.1, före- slagit vissa generella undantag avseende rätten till information och rätten till tillgång till personuppgifter. Regeringen ska dessutom enligt förslaget till 5 kap. 3 § dataskyddslagen få meddela närmare föreskrifter om ytterligare begränsningar av vissa rättigheter och skyldigheter enligt artikel 23 i dataskyddsförordningen.41 Allmänna utgångspunkter för undantag Som framgått får den registrerade vissa nya rättigheter med data- skyddsförordningen. De nya rättigheterna för registrerade förhind- rar inte den behandling som får ske enligt registerförfattningarna. Däremot uppställs nya administrativa krav på de personuppgifts- ansvariga. Det är utredningens övergripande bedömning att dessa nya krav normalt sett inte kan anses så betungande att det med fog kan sägas vara nödvändigt och proportionerligt att begränsa dem ens vid behandling av personuppgifter som rör viktiga mål av gene- rellt allmänt intresse. Utredningens utgångspunkt är därför att det inte bör finnas begränsningar i registerförfattningarna som innebär att de registrerade inte får mera rättigheter än trots att nya rättigheter följer av dataskyddsförordningen. När det gäller data- skyddsförordningens reglering av information, tillgång, rättelse, radering och begränsning av behandling har det inte framkommit att det skulle innebära några beaktansvärda svårigheter för person- uppgiftsansvariga att uppfylla de fåtaliga nyheter som dataskydds- förordningen innebär. Dataskyddsförordningens reglering bör därför som utgångspunkt gälla. Om däremot ett nytt krav kan anses alldeles särskilt betungande för en specifik verksamhet, bör en begränsning av de nya rättigheterna övervägas. 41 SOU 2017:39. Allmänt om befintliga bestämmelser Det förekommer bestämmelser i registerförfattningar som be- gränsar de rättigheter som registrerade har enligt dataskydds- direktivet och personuppgiftslagen. Det kan gälla t.ex. en begräns- ning av rätten till registerutdrag eller en bestämmelse om att be- handling som är tillåten enligt författningen får utföras även om den registrerade motsätter sig den, dvs. en begränsning av rätten att göra invändningar. Utredningen börjar med att bedöma andra be- fintliga begränsningar än sådana som begränsar rätten att göra in- vändningar. De krav på själva begränsningen – syftet med begränsningen, nödvändig och proportionell åtgärd och respekt för andemeningen i de grundläggande rättigheterna – som gäller enligt dataskydds- förordningen är som framgått i vart fall inte snävare än enligt data- skyddsdirektivet. De bedömningar som gjorts när begränsningarna infördes bör godtas. Det är därför utredningens bedömning att de bestämmelser i registerförfattningar som begränsar registrerades rättigheter i förhållande till de som finns enligt dataskyddsförord- ningen, utom såvitt avser rätten till invändningar, i och för sig är tillåtna. När det gäller begränsningar i registerförfattningar av rätten att göra invändningar gör utredningen följande överväganden. Det har ansetts att en begränsning av rätten att göra invändningar enligt dataskyddsdirektivet bara förutsätter att det finns en författnings- bestämmelse om det. Bestämmelser i registerförfattningar om en sådan begränsning har därför normalt inte föregåtts av en sådan prövning som den som måste göras enligt artikel 23.1 i dataskydds- förordningen. Det innebär att utredningen i fråga om sådana be- stämmelser bör göra en sådan prövning. Det behöver förstås bara göras i de fall det enligt artikel 21 i dataskyddsförordningen finns en rätt till invändningar, dvs. när den reglerade behandlingen grun- dar sig på att den är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning eller klarar en intresseavvägning. Det kan tilläggas att det är utredningens uppfattning att register- författningar, som innehåller en begränsning av den registrerades rätt att göra invändningar, normalt reglerar behandling av person- uppgifter som rör sådana viktiga mål av generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. Allmänt om befintliga bestämmelser Ett nytt krav för begränsningar enligt dataskyddsförordningen (artikel 23.2) är att lagstiftningsåtgärden, när det är relevant, också ska innehålla specifika bestämmelser i vissa uppräknade avseenden, nämligen ändamålen med behandlingen eller kategorierna av be- handling, kategorierna av personuppgifter, omfattningen av de in- förda begränsningarna, skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, specificeringen av den person- uppgiftsansvarige eller kategorierna av personuppgiftsansvariga, lagringstiden samt tillämpliga skyddsåtgärder med beaktande av be- handlingens art, omfattning och ändamål eller kategorierna av be- handling, riskerna för de registrerades rättigheter och friheter, och de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Registerförfattningar med begränsningar innehåller regelmässigt också bestämmelser i de allra flesta avseenden som räknas upp i artikel 23.2 i dataskyddsförordningen. Sådana registerförfattningar har införts efter noggranna överväganden av vilka bestämmelser, utöver de som finns i personuppgiftslagen, som är relevanta i sam- manhanget. Det är därför utredningens bedömning att det nya kravet på specifika bestämmelser utan vidare analys från utredningens sida kan anses uppfyllt i fråga om befintliga begränsningar. om säkerhetsåtgärder/skyddsåtgärder Av artikel 6.1 c i dataskyddsdirektivet framgår att behandlade person- uppgifter ska vara adekvata och relevanta och att de inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas. Artikeln har kommit till uttryck i 9 § e och f personuppgiftslagen. Samma princip finns i artikel 5.1 c i dataskyddsförordningen (principen om upp- giftsminimering). Där anges att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. En annan grundläggande princip enligt dataskyddsförordningen är att den personuppgiftsansvarige enligt artikel 5.1 f ska vidta åt- gärder som säkerställer lämplig säkerhet för personuppgifterna, Allmänt om befintliga bestämmelser inbegripet bl.a. skydd mot obehörig eller otillåten behandling, med användning av lämpliga tekniska eller organisatoriska åtgärder (principen om integritet och konfidentialitet). En allmän bestämmelse om den personuppgiftsansvariges ansvar finns i artikel 24 i dataskyddsförordningen. Av den följer att den personuppgiftsansvarige, med beaktande av behandlingens art, om- fattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, ska genomföra lämpliga tekniska och organisatoriska åt- gärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Dessa åtgärder ska ses över och uppdateras vid behov. Vidare anges att om det står i proportion till behandlingen, ska åtgärderna omfatta den personuppgiftsansva- riges genomförande av lämpliga strategier för dataskydd. En precisering av det nämnda ansvaret finns i artikel 25 i data- skyddsförordningen som handlar om inbyggt dataskydd och data- skydd som standard. Enligt den artikeln ska den personuppgifts- ansvarige, med beaktande av den senaste utvecklingen, genomför- andekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, genomföra lämpliga tekniska och organisatoriska åtgärder, såsom pseudonymi- sering. Åtgärderna ska vara utformade för ett effektivt genomför- ande av dataskyddsprinciper, såsom uppgiftsminimering, och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i dataskyddsförordningen uppfylls och den registrerades rättigheter skyddas. Åtgärderna ska vidtas både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen. Enligt artikel 29 i dataskyddsförordningen gäller att personupp- giftsbiträdet och personer som utför arbete under den personupp- giftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast får behandla dessa på in- struktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt. Vidare finns i artikel 32 i dataskyddsförordningen en bestäm- melse som preciserar de säkerhetsåtgärder som bör vidtas enligt artikel 25 i dataskyddsförordningen. De åtgärder som ska vidtas ska, när det är lämpligt, inbegripa pseudonymisering och krypter- Allmänt om befintliga bestämmelser ing av personuppgifter, förmågan att fortlöpande säkerställa konfi- dentialitet, integritet, tillgänglighet och motståndskraft hos behand- lingssystemen och -tjänsterna, förmågan att återställa tillgänglig- heten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, ett förfarande för att regelbundet testa, under- söka och utvärdera effektiviteten hos de tekniska och organisato- riska åtgärder som ska säkerställa behandlingens säkerhet. Vid be- dömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Anslutning till en godkänd uppförandekod som avses i artikel 40 i dataskyddsförordningen eller en godkänd certifieringsmekanism som avses i artikel 42 i dataskyddsförordningen får användas för att visa att kraven följs. Åtgärder ska vidare vidtas för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller person- uppgiftsbiträdets överinseende, och som får tillgång till personupp- gifter, endast behandlar dessa på instruktion från den personupp- giftsansvarige, om inte unionsrätten eller medlemsstaternas natio- nella rätt ålägger honom eller henne att göra det. Skyldigheterna enligt artikel 32 i dataskyddsförordningen gäller inte bara den per- sonuppgiftsansvarige utan även personuppgiftsbiträdet. Även enligt dataskyddsdirektivet gäller att den personuppgifts- ansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter. Enligt artikel 17 i dataskyddsdirek- tivet ska sådana åtgärder vidtas för att skydda personuppgifter mot bl.a. otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk. Av artikel 16 i dataskyddsdirektivet framgår att den som får tillgång till personuppgifter med anledning av sitt arbete, får behandla uppgifterna endast enligt instruktion från den register- ansvarige, om han inte är skyldig att göra det enligt lag. Bestämmel- serna har kommit till uttryck i 30 och 31 §§ personuppgiftslagen. Att integritet och konfidentialitet finns med bland de allmänna principerna i artikel 5 i dataskyddsförordningen är en nyhet i för- hållande till dataskyddsdirektivet. Bestämmelserna om säkerhet i dataskyddsdirektivet har liknande innehåll som de i dataskydds- förordningen men är mer allmänt hållna. Allmänt om befintliga bestämmelser säkerhetsåtgärder som bör övervägas inte upp i dataskyddsdirektivet. En annan nyhet i dataskyddsförordningen är att även personupp- giftsbiträden har ett uttryckligt ansvar för att säkerhetsåtgärder vidtas. Av artikel 89.1 i dataskyddsförordningen framgår att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämp- liga skyddsåtgärder för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgifts- minimering iakttas.