sou · H5B339 · 2017-05-12 00:00:00 — Kompletterande bestämmelser till EU:s dataskyddsförordning SOU och Ds kan köpas från kundservice. Beställningsadress: kundservice, 106 47 Ordertelefon: Webbplats: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2017 Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild utredare med uppdrag att föreslå de anpassningar och komplette- rande författningsbestämmelser på generell nivå som den nya data- skyddsförordningen ger anledning till (dir. 2016:15). Som särskild utredare förordnades justitierådet . Som experter att biträda utredningen förordnades juristen , dataskyddschefen , rättssakkunnige , rättsliga utredaren , chefsjuristen , kammarrättsrådet , doktoranden samt förbundsjuris- ten . entledigades från uppdraget . Som sakkunnig i utredningen förordnades chefsrådmannen , som även har haft ett särskilt uppdrag att bistå sekretariatet med vissa frågor. Som sekreterare anställdes juristen och enhetschefen . anställdes rättsliga specialisten för tiden till och med . Utredningen, som har tagit sig namnet , överlämnar härmed betänkandet Ny dataskyddslag (SOU 2017:39). Experterna och den sakkunniga har deltagit i utredningsarbetet i sådan utsträckning att det har varit motiverat att formulera betän- kandet i vi-form. Uppdraget är härmed slutfört. 1.1Förslag till lag med kompletterande bestämmelser till EU:s dataskyddsförordning.............................................. 1.2Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)................................................ 1.3Förslag till förordning om ändring i arkivförordningen (1991:446)................................................................................ 1.4Förslag till förordning med kompletterande bestämmelser till EU:s dataskyddsförordning Vårt uppdrag och arbete ............................................. Allmänt om reformen............................................................. Ett nytt svenskt regelverk om dataskydd ....................... Överväganden och förslag...................................................... Datainspektionens föreskrifter ska upphävas ....... 5.2.2Ett regelverk som kompletterar dataskyddsförordningen på generell nivå ska Avvikande bestämmelser i annan lag eller i förordning ska ha företräde.................................... Behandling av personuppgifter utanför Överväganden och förslag...................................................... 6.4.1Vad faller utanför unionsrättens 6.4.2Ska förordningens bestämmelser göras gällande utanför deras tillämpningsområde? Vem ska utöva tillsyn? Förhållandet till yttrande- och informationsfriheten....... Våra överväganden och förslag............................................... Rättslig grund för behandling av personuppgifter ........ 8.2.3Förhållandet mellan artiklarna 5 och 6 8.3 Överväganden och förslag.................................................... 8.3.1Grunden för behandlingen ska i vissa fall vara 8.3.2Behandling för att uppfylla en rättslig Behandling som ett led i myndighetsutövning .... 8.3.4Behandling för att utföra uppgifter av allmänt 8.3.5Särskilda bestämmelser som anpassar tillämpningen av dataskyddsförordningen........... Barns samtycke som rättslig grund ............................ Samtycke som rättslig grund för behandling 9.3.2Personuppgifter som rör barn förtjänar ett 9.4 Utgångspunkter för vår bedömning.................................... Barnets bästa och barnets rätt till integritet ........ 9.4.3När är artikel 8.1 i dataskyddsförordningen 9.4.4Något om olika åldersgränser i svensk Direktreklam till barn ........................................... 9.4.6Yttranden till utredningen angående Överväganden och förslag.................................................... Vad betyder kravet på stöd i nationell rätt?........................ Den registrerades samtycke ................................................. Arbetsrätt, social trygghet och socialt skydd ..................... Överväganden och förslag .................................... Viktigt allmänt intresse ........................................................ Överväganden och förslag..................................... Hälso- och sjukvård och social omsorg............................... Överväganden och förslag..................................... Personuppgifter som rör lagöverträdelser.................... Överväganden och förslag.................................................... Personnummer och samordningsnummer................... Överväganden och förslag.................................................... Begränsningar av vissa rättigheter och skyldigheter Överväganden och förslag.................................................... 13.4.1Sekretess och tystnadsplikt ska gå före 13.4.2Löpande text som utgör utkast eller minnesanteckning ska inte omfattas av rätten 13.4.3 Något om rätten att göra invändningar ............... 13.4.4Regeringen ska få meddela föreskrifter om ytterligare undantag........................................ Arkiv och statistik .................................................... Direkt tillämpliga bestämmelser .......................... 14.3.2 Bestämmelser som ger utrymme för nationella Överväganden och förslag – arkivändamål av allmänt intresse ................................................................ 14.4.2 Rättslig grund och tillåten vidarebehandling....... 14.4.3Förhållandet till arkivlagstiftningen och behandling av känsliga personuppgifter............... 14.4.4 Lämpliga skyddsåtgärder ...................................... 14.4.5Undantag från vissa av den registrerades 14.4.6 Organ som bör jämställas med myndigheter ...... Överväganden och förslag – statistiska ändamål ................ 14.5.2 Rättslig grund och tillåten vidarebehandling....... 14.5.5 Undantag från vissa av den registrerades Godkännande av certifieringsorgan............................ 16.3.1 Certifiering, ackreditering och Swedac ................ 16.3.2 Vår bedömning ...................................................... Allmänt om grundlags- och sekretessregleringen............... Sekretess hos tillsynsmyndigheten ...................................... Tystnadsplikt för dataskyddsombud ................................... Överväganden och förslag..................................... Sekretess för uppgifter som behandlas i strid mot Överväganden och förslag..................................... Överväganden och förslag..................................... Sekretess för uppgifter i verksamhet för teknisk bearbetning och lagring ........................................................ Överväganden och förslag..................................... Vad är en sanktion?............................................................... Sanktionsavgifter inom offentlig sektor ............................. 18.5.1 Vad är en sanktionsavgift?.................................... 18.5.2 Viten och sanktionsavgifter mot det allmänna.... Överväganden och förslag .................................... Övriga sanktioner och förbudet mot Allmänt om kriminalisering ................................. Överväganden och förslag .................................... Betalning och verkställighet................................................. Överväganden och förslag .................................... Rättsmedel mot den personuppgiftsansvarige Överväganden och förslag .................................... Klagomål till tillsynsmyndigheten....................................... Överväganden och förslag .................................... En rättssäker handläggning hos tillsynsmyndigheten Överväganden och förslag..................................... Överklagande av tillsynsmyndighetens beslut.................... Överväganden och förslag..................................... Överklagande av andra beslut .............................................. Överväganden och förslag..................................... Ideella organisationer som är verksamma inom Ikraftträdande- och övergångsbestämmelser ............... Överväganden och förslag.................................................... Förändringar som följer av våra förslag............................... 21.3.1 Ekonomiska konsekvenser för det allmänna....... 21.3.2 Ekonomiska konsekvenser för enskilda .............. Konsekvenser i övrigt........................................................... Förslaget till lag med kompletterande bestämmelser till EU:s dataskyddsförordning ........................................... Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) ............................................. Bilaga 1 Kommittédirektiv 2016:15 ............................................... Bilaga 2 Dataskyddsförordningen.................................................. Artikel 29-arbetsgruppen för skydd direktiv /46/EG av den enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana förordning (EU) 2016/679 av den om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän enskilda vid automatisk data- Rådets rambeslut /977/RIF av inom ramen för polissamarbete och Europeiska unionens domstol/ Europeiska domstolen för de för de mänskliga rättigheterna och följande sida/sidor förordning nr 45/2001 förordning (EG) nr 45/2001 av den behandlar personuppgifter och om den fria rörligheten för sådana lagen (2016:1145) om offentlig direktiv (EU) 2016/680 av den om skydd för fysiska personer med avseende på behöriga personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF personuppgiftslagen (1998:204) EU:s nya dataskyddsförordning ska tillämpas . Dataskyddsförordningen är direkt tillämplig i men ger utrymme för kompletterande nationella bestämmelser av olika slag. Vårt övergripande uppdrag har varit att föreslå en ny nationell reglering som på ett generellt plan kompletterar dataskyddsförord- ningen. I vårt uppdrag har däremot inte ingått att se över de s.k. regis- terförfattningarna eller annan sektorsspecifik reglering om behandling av personuppgifter. Vi har inte heller haft i uppdrag att analysera eller beskriva vilka förändringar som dataskyddsförordningen i sig innebär. Det är därmed bara ett fåtal av alla de frågor som regleras i dataskydds- förordningen som behandlas eller ens nämns i detta betänkande. Vi har, inom ramen för vårt uppdrag, strävat efter att den person- uppgiftsbehandling som är tillåten i möjligaste mån ska kunna fortsätta. Vårt arbete har alltså inte syftat till att vare sig utvidga eller inskränka möjligheterna till behandling av personuppgifter, annat än då dataskyddsförordningen kräver en sådan förändring. Ett nytt svenskt regelverk om dataskydd Vi föreslår att personuppgiftslagen (1998:204) och personuppgifts- förordningen (1998:1191) ska upphävas och att de kompletterande bestämmelser som är av generell karaktär samlas i en ny övergripande lag och förordning om dataskydd. För att betona att författningarna inte är heltäckande, utan endast utgör komplement till dataskydds- förordningen, bör de benämnas lagen med kompletterande bestäm- melser till EU:s dataskyddsförordning respektive förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning. Vi har valt att kalla den nya lagen dataskyddslagen i detta betänkande. Dataskyddsförordningen ska gälla även i verksamhet som inte omfattas av unionsrätten Behandling av personuppgifter som utförs som ett led i en verksamhet som inte omfattas av unionsrätten, t.ex. i verksamhet som rör natio- nell säkerhet, omfattas inte av dataskyddsförordningen. Detsamma gäller behandling av personuppgifter i verksamhet som omfattas av EU:s gemensamma utrikes- och säkerhetspolitik. För att säkerställa att det inom varje verksamhet finns ett fullgott skydd av personupp- gifter anser vi dock att förordningens bestämmelser i tillämpliga delar bör gälla även i dessa fall. Vårt förslag om utsträckt tillämpnings- område hindrar dock inte att det för en viss sådan verksamhet införs en särskild reglering, om det skulle anses mer lämpligt. Sektorsspecifika bestämmelser ska ha företräde framför dataskyddslagen De bestämmelser som vi föreslår är av generell karaktär. På vissa områden kommer det att finnas behov av lag- eller förordnings- bestämmelser kring behandling av personuppgifter som avviker från dataskyddslagens reglering. Det kan t.ex. röra sig om bestämmelser som specificerar den rättsliga grunden för en myndighets behandling av personuppgifter, begränsningar av rätten att behandla känsliga personuppgifter i en viss verksamhet eller särskilda förfaranderegler. Vi föreslår att sådana avvikande bestämmelser ska ha företräde framför dataskyddslagen. Det innebär dock inte att de därigenom också får företräde framför dataskyddsförordningen inom det aktuella området. För att en avvikande bestämmelse i exempelvis en registerförfattning ska kunna tillämpas, måste den vara förenlig med dataskyddsförord- ningen och avse en fråga som får särregleras genom nationell rätt. Annorlunda förhåller det sig när det gäller verksamhet som inte omfattas av unionsrätten, dvs. där dataskyddsförordningen inte är direkt tillämplig men där den har fått ett utsträckt tillämpnings- område genom dataskyddslagen. I det fallet kan det genom ett undantag i lag eller förordning föreskrivas att dataskyddsförord- ningen inte ska gälla i verksamheten. Ett sådant undantag kan också ange att endast vissa delar av dataskyddsförordningen inte ska gälla. Förhållandet till våra grundlagar förändras inte Våra detaljerade tryck- och yttrandefrihetsgrundlagar är unika i jäm- förelse med hur motsvarande reglering ser ut i övriga . Data- skyddsförordningen inskränker inte möjligheterna att behandla personuppgifter på det grundlagsreglerade området. Det får inte råda någon osäkerhet kring detta, eftersom det skulle kunna få påverkan på vitala och mycket känsliga delar av den opinionsskapande verk- samheten, såsom meddelarfrihet och källskydd. Vi föreslår därför en upplysningsbestämmelse som tydliggör att bestämmelserna i data- skyddsförordningen och i dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot grundlagsbestämmelserna om tryck- och yttrandefrihet. Utanför det grundlagsskyddade området föreslår vi att ett undantag från dataskyddsförordningen införs för sådan behandling av personuppgifter som sker för journalistiska ändamål eller för aka- demiskt, konstnärligt eller litterärt skapande. Vissa av dataskydds- förordningens bestämmelser, bland annat de som rör säkerhet för personuppgifter, ska dock tillämpas även i dessa fall. Utrymmet för att ge offentlighetsprincipen företräde framför per- sonuppgiftsregleringen är tydligt i dataskyddsförordningen. Tryckfri- hetsförordningens reglering om allmänhetens tillgång till handlingar kan alltså fortsätta att tillämpas, även när det gäller allmänna hand- lingar som innehåller personuppgifter. Barn som har fyllt ska i vissa fall kunna samtycka till behandling av personuppgifter Enligt förordningen ska ett barn ha fyllt för att självt kunna sam- tycka till behandling av personuppgifter vid erbjudandet av informa- tionssamhällets tjänster, t.ex. sociala medier, söktjänster och s.k. appar för smarta enheter. Vi föreslår att denna åldersgräns ska sänkas till i . För barn yngre än så krävs att samtycket lämnas av vårdnadshavaren eller att barnets samtycke godkänns av denne. Rättsliga förpliktelser, myndighetsutövning och uppgifter av allmänt intresse ska vara särskilt reglerade för att utgöra rättslig grund Enligt dataskyddsförordningen måste en rättslig förpliktelse, myndig- hetsutövning eller uppgift av allmänt intresse vara fastställd i enlighet med nationell rätt eller unionsrätt för att kunna utgöra rättslig grund för behandling av personuppgifter. Vi föreslår bestämmelser i data- skyddslagen som förtydligar hur dessa företeelser fastställs i enlighet med svensk rätt. En rättslig förpliktelse är enligt svensk rätt fastställd om den gäller enligt lag eller annan författning eller följer av kollek- tivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Myndighetsutövning fastställs i svensk rätt genom lag eller annan författning. Uppgifter av allmänt intresse är fastställda i enlighet med svensk rätt om de följer av lag eller annan författning eller av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Med anledning av att vårt uppdrag har omfattat arkivfrågor har vi uppmärksammat att enskilda arkivinstitutioner kan sakna en fast- ställd rättslig grund för behandling av personuppgifter. I avvaktan på den breda översyn av arkivväsendet som regeringen har aviserat, föreslår vi att rättslig grund ska kunna fastställas av , genom föreskrifter eller beslut i enskilda fall. Känsliga personuppgifter får behandlas bara om det uttryckligen är tillåtet Enligt dataskyddsförordningen gäller som huvudregel, liksom tidigare, ett förbud mot behandling av känsliga personuppgifter. Behandling av sådana personuppgifter får ske bara om det finns stöd i någon av förordningens undantagsbestämmelser. Vissa undantag från förbudet följer direkt av förordningen, medan andra förutsätter stöd även i nationell rätt. Vi föreslår att ett sådant stöd ska införas i dataskydds- lagen när det gäller nödvändig behandling av personuppgifter på arbetsrättens område, inom hälso- och sjukvård, i social omsorg, i arkivverksamhet och i statistisk verksamhet. Stödet för behandlingen ska vara förenat med vissa restriktioner. Myndigheter ska få behandla känsliga personuppgifter med stöd av ett nytt myndighetsundantag Myndigheter har ofta berättigade skäl att behandla känsliga person- uppgifter och i många fall sker detta i den registrerades eget intresse. För att säkerställa att nödvändig behandling kan ske även efter det att dataskyddsförordningen börjar gälla bedömer vi att det krävs ett nytt undantag för behandling av känsliga personuppgifter hos myndighe- ter. Vi föreslår att sådan behandling ska få ske –i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende, –om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, eller –i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt in- trång i den registrerades personliga integritet. Vi föreslår också att det vid behandling som sker med stöd av det nya myndighetsundantaget ska vara förbjudet att använda sökbegrepp som avslöjar känsliga personuppgifter. Personuppgifter som rör lagöverträdelser ska få behandlas av myndigheter och annars bara om det uttryckligen är tillåtet Vi föreslår att behandling av personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel även fortsättningsvis ska få utföras av myndigheter. För att andra än myndigheter ska få behandla sådana uppgifter föreslår vi att det måste finnas uttryckligt stöd i lag eller förordning eller i föreskrifter eller förvaltningsbeslut från Datainspektionen. Vi föreslår ett sådant stöd i lag när det gäller uppgifter som behandlas för arkivändamål av allmänt intresse, förutsatt att behandlingen sker som en följd av de skyldigheter att bevara och vårda handlingar som anges i arkivlagstiftningen och andra föreskrifter. Personnummer får under vissa förutsättningar behandlas även i fortsättningen Vi föreslår att uppgifter om personnummer eller samordningsnum- mer även fortsättningsvis ska få behandlas när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Det finns begränsningar för när arkiverade uppgifter och statistikuppgifter får användas för åtgärder mot den registrerade Personuppgifter som behandlas enbart för arkivändamål av allmänt intresse eller för statistiska ändamål får enligt vårt förslag inte använ- das för att vidta åtgärder i fråga om den registrerade, annat än om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Begränsningen i fråga om arkiverade uppgifter ska inte gälla för myndigheter. Det ska däremot begränsningen rörande statistikupp- gifter göra. Rätten till registerutdrag och information m.m. ska i vissa fall vara begränsad Den registrerades rättigheter stärks genom dataskyddsförordningen. Dessa rättigheter är dock inte ovillkorliga. Vissa viktiga undantag från rättigheterna regleras direkt i förordningen. Vi föreslår där- utöver att rätten till information och s.k. registerutdrag inte ska gälla uppgifter som omfattas av sekretess. Rätten till registerutdrag ska som huvudregel inte heller gälla personuppgifter som finns i löpande text som utgör utkast eller minnesanteckning. Hos och andra arkivmyndigheter ska rätten till registerutdrag, rättelse m.m. vara begränsad när det gäller personuppgifter som finns i arkiv- material som tagits emot för förvaring av myndigheten. Vissa beslut som fattas av en personuppgiftsansvarig myndighet får överklagas till domstol I likhet med vad som gäller enligt personuppgiftslagen ska vissa beslut som en myndighet fattar i egenskap av personuppgiftsansvarig kunna överklagas till allmän förvaltningsdomstol. Det gäller sådana beslut som myndigheten fattar med anledning av att den registrerade utövar sina rättigheter enligt dataskyddsförordningen. Det kan t.ex. röra sig om avslagsbeslut på begäran om att den registrerade ska få tillgång till sina personuppgifter, att uppgifter ska rättas eller raderas eller att en behandling ska begränsas. Den registrerade kan begära skadestånd Den registrerade har enligt dataskyddsförordningen rätt till ersättning från den personuppgiftsansvarige eller ett personuppgiftsbiträde om skada har uppstått på grund av överträdelser av förordningen. Vi före- slår att det i dataskyddslagen förtydligas att denna rätt till skadestånd även gäller vid överträdelser av bestämmelser i dataskyddslagen och andra författningar som kompletterar förordningen. Datainspektionen ska utöva tillsyn Datainspektionen ska vara den myndighet som ska utöva tillsyn och övervaka att bestämmelserna i dataskyddsförordningen och data- skyddslagen efterlevs. Inspektionens tillsynsbefogenheter anges i dataskyddsförordningen. Dessa befogenheter ska enligt vårt förslag gälla även vid tillsynen över att dataskyddslagen och annan komplet- terande lagstiftning följs. Datainspektionens beslut enligt dataskyddsförordningen och data- skyddslagen får överklagas till allmän förvaltningsdomstol. Datainspektionen ska behandla klagomål Om en registrerad anser att personuppgifter behandlas på ett sätt som strider mot dataskyddsförordningen kan ett klagomål lämnas in till Datainspektionen. Klagomålet ska behandlas . Om det inte sker får den registrerade enligt vårt förslag begära ett besked i frågan om Datainspektionen avser att utöva tillsyn eller inte. Om Datainspektionen behöver mer tid för att behandla klago- målet, får begäran avslås genom ett motiverat beslut. Den registre- rade får överklaga detta beslut till allmän förvaltningsdomstol genom en s.k. dröjsmålstalan. Sanktionsavgift kan tas ut även av myndigheter som gör fel Genom dataskyddsförordningen införs en möjlighet för Datainspek- tionen att ta ut en administrativ sanktionsavgift av ett företag eller andra enskilda som bryter mot dataskyddsregleringen. En sådan sank- tionsavgift ska enligt vårt förslag även kunna tas ut av en myndighet.