sou · H5B366 · 2017-08-31 00:00:00 — Efter- som endast överträdelser av nationell lagstiftning som antagits på grundval av kapitel IX omnämns i artikeln, kan sanktionsavgifter påföras endast vid överträdelser av sådana nationella bestämmelser. Vid överträdelser av bestämmelser i de registerförfattningar som omfattas av utredningens översyn, som innebär en över- trädelse av dataskyddsförordningens bestämmelser, är det dock enligt utredningens bedömning möjligt att påföra administrativa sanktionsavgifter i enlighet med artikel 83 i dataskyddsförord- ningen. Utredningen bedömer att det inte finns något behov av bestämmelser om administrativa sanktionsavgifter i registerförfatt- ningarna. har föreslagit att dataskyddslagen ska inne- hålla en bestämmelse om överklagande av personuppgiftsansvariga myndigheters beslut. Den bestämmelsen kommer att vara tillämplig även inom registerförfattningarnas tillämpningsområde, på samma sätt som personuppgiftslagens bestämmelser är det . Något skäl att reglera överklagandemöjligheten på annat sätt än vad Data- skyddsutredningen föreslagit har inte framkommit. Bestämmelser om överklagande i registerförfattningar som enbart avser beslut om behandling av personuppgifter bör därför upphävas. I de fall register- författningen även innehåller överklagandebestämmelser avseende andra beslut än sådana som berör behandling av personuppgifter bör det dock införas en upplysning om att det finns bestämmelser om överklagande i den föreslagna dataskyddslagen. För ett utlämnande av behandlade personuppgifter gäller enligt utredningens bedömning i princip samma förutsättningar enligt dataskyddsförordningen och dataskyddsdirektivet. Utlämnandet måste ske med stöd av ett primärt eller sekundärt ändamål eller vara förenligt med finalitetsprincipen alternativt omfattas av ett tillåtet undantag från den principen. De bestämmelser om uppgiftsskyldig- het som finns inom verksamhetsområde är därmed lika tillåtna enligt dataskyddsförordningen som enligt data- skyddsdirektivet. När uppgiftsskyldigheten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen. Utredningen har tänkt på barnens rättigheter enligt barnkonven- tionen när förslagen skrivits. Det behövs inte några nya bestämmel- ser för att uppfylla det som krävs enligt dataskyddsförordningen i fråga om skyddet av barns personuppgifter. Författningar som bör upphävas Utredningen har kommit fram till att två av de författningar som ingått i översynen, förordningen om vårdnadsbidragsregister och förordningen med bemyndigande för Datainspektionen att med- dela säkerhetsföreskrifter för socialförsäkringsregister, är obsoleta, De författningarna bör därför inte anpassas till data- skyddsförordningen utan i stället upphävas. Författningsändringar till följd av dataskyddsförordningen bör träda i kraft , medan författningsändringar till följd av den föreslagna brottsdatalagen bör träda i kraft . Utredningen föreslår att övergångsbestämmelser införs avseende bestämmelser om överklagande och skadestånd. Utredningens förslag leder inte till att möjligheten att behandla personuppgifter förändras, med det undantaget att en nödvändig s.k. skyddsåtgärd föreslås införas i läkemedelsförordningen. Skydds- åtgärden innebär ett förstärkt skydd av den personliga integriteten. I övrigt medför förslagen inga konsekvenser. Däremot får förstås den direkt tillämpliga dataskyddsförordningen konsekvenser, vilka är generella för alla verksamheter i och beskrivs översiktligt. lag om ändring i socialförsäkringsbalken Härigenom föreskrivs i fråga om socialförsäkringsbalken dels att 114 kap. 33 § ska upphöra att gälla, dels att rubriken närmast före 114 kap. 33 § ska utgå, dels att 114 kap. 1, 6, 10, 11, 12, 13, 15, 16, 27, 29, 30, 31 och 36 §§ och rubriken närmast före 114 kap. 6 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 6 a §, och närmast före 6 a § en ny rubrik av följande lydelse. Nuvarande lydelse Föreslagen lydelse I detta kapitel finns allmänna bestämmelser i 2–5 §§. Vidare finns bestämmelser om – personuppgiftslagen och per- – förhållandet till annan data- sonuppgiftsansvar i 6 §, skyddsreglering i 6 §, – personuppgiftsansvar i 6 a §, – ändamål för behandling av personuppgifter i 7–10 §§, – behandling av känsliga personuppgifter m.m. i 11–13 §§, – behandling av personuppgifter i socialförsäkringsdatabasen i 14–16 §§, – tilldelning av behörighet i 17 §, – direktåtkomst i 18–23 §§, – utlämnande på medium för automatisk behandling i 24–26 a §§, – sökbegrepp i 27 och 28 §§, 1 Senaste lydelse 2012:935. gifter till tredje land i 29 §, gifter till tredjeland i 29 §, – information i 30 §, – gallring i 31 §, – avgifter i 32 §, – rättelse och skadestånd i 33 §, – kontrollverksamhet i 34 §, – tystnadsplikt i 35 §, och – överklagande i 36 §. Personuppgiftslagen (1998:204) Bestämmelserna i detta kapitel gäller vid behandling av person- och rådets förordning (EU) 2016/679 av följer av detta kapitel eller före- om skydd för fysiska personer skrifter som meddelas med stöd med avseende på behandling av av kapitlet eller av personupp- personuppgifter och om det fria flödet av sådana uppgifter och om ens administration avses i detta upphävande av direktiv /46/EG (allmän dataskyddsförordning). Lagen (2018:xx) med kom- En myndighet inom social- pletterande bestämmelser till EU:s behandling av personuppgifter en- ligt detta kapitel, om inte annat som den utför. följer av detta kapitel eller före- skrifter som har meddelats med stöd av kapitlet. nistration avses i detta kapitel En myndighet inom social- personuppgiftsansvarig för den be- I fråga om behandling av Att personuppgifter som be- personuppgifter för annat ända- handlas för ändamål som anges i mål än vad som anges i 7–9 §§ 7 § även får behandlas för andra ändamål framgår av artikel 5.1 b (1998:204). förordning (EU) 2016/679. Sådana särskilda kategorier av i 13 § personuppgiftslagen personuppgifter som anges i arti- kel 9.1 i och uppgifter) får behandlas om upp- rådets förordning (EU) 2016/679 gifterna lämnats till en myndig- behandlas om uppgifterna läm- administration i ett ärende eller nats till en myndighet inom är nödvändiga för handläggning av ett ärende. tion i ett ärende eller är nöd- vändiga för handläggning av ett för något av de ändamål som anges i 7 § första stycket 1 samt ter får vidare behandlas för 8 och 9 §§ om det är nödvändigt något av de ändamål som anges i med hänsyn till ändamålet. 7 § första stycket 1 samt 8 och 9 §§ om det är nödvändigt med hänsyn till ändamålet. För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. Utöver vad som följer av första stycket första meningen och andra stycket får känsliga personuppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana känsliga personuppgifter än dem som Uppgifter om lagöverträdel- ser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihets- berövanden (uppgifter om lag- överträdelser) får behandlas om uppgifterna lämnats till en myn- dighet inom socialförsäkringens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. Uppgifter om lag- överträdelser får behandlas för något av de ändamål som anges i 7 § första stycket 1 samt 8 och 9 §§ om det är nödvändigt med hänsyn till ändamålet.För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får uppgifter om lagöver- trädelser behandlas som enligt 15 § får behandlas i socialförsäk- ringsdatabasen. behandlas eller har behandlats för något av de ändamål som anges i 7 § första stycket 2–4. Uppgifter om lagöverträdel- ser m.m. som avses i 21 § person- uppgiftslagen (1998:204) får be- handlas om uppgifterna lämnats till en myndighet inom social- försäkringens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. Uppgifter om lagöverträdelser m.m. som avses i 21 § person- uppgiftslagen får behandlas för något av de ändamål som anges i 7 § första stycket 1 samt 8 och 9 §§ om det är nödvändigt med hänsyn till ändamålet. För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen be- handlas som enligt 15 § får be- handlas i socialförsäkringsdata- basen. Utöver vad som följer av första stycket första meningen och andra stycket får sådana uppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana uppgifter om lagöverträdelser än dem som be- handlas eller har behandlats för något av de ändamål som anges i 7 § första stycket 2–4. I 15 § finns särskilda bestäm- melser om behandling i social- försäkringsdatabasen av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204). För de ändamål som anges i 7–10 §§ får, med beaktande av de begränsningar som följer av 7 och 14 §§, identifierings- och adress- uppgifter behandlas i socialförsäkringsdatabasen. m.m. som avses i 21 § person- stycket eller sådana uppgifter om uppgiftslagen (1998:204) får ut- lagöverträdelser som avses i 12 § över vad som anges i 16 § be- första stycket får, utöver vad som anges i 16 §, behandlas i social- basen bara om det särskilt anges i lag eller förordning. det särskilt anges i lag eller för- behandling gäller de begräns- gäller de begränsningar som följer och 12 §§. myndighet som regeringen be- eller den myndighet som reger- ingen bestämmer meddelar före- om ytterligare begränsningar för skrifter om ytterligare begräns- vilka uppgifter som får behand- ningar för vilka uppgifter som las i socialförsäkringsdatabasen. får behandlas i socialförsäkrings- Uppgifter i en handling som Uppgifter i en handling som kommit in i ett ärende får be- kommit in i ett ärende får be- basen även om de utgör känsliga basen även om de utgör sådana 11 § första stycket avses i 21 § personuppgiftslagen (1998:204). Sådana uppgifter i en handling som upprättats i ett ärende får behandlas i socialför- säkringsdatabasen, om uppgif- terna är nödvändiga för ärendets handläggning. sådana uppgifter om lagöverträ- delser som avses i 12 § första stycket. Sådana uppgifter i en handling som upprättats i ett ärende får behandlas i socialför- säkringsdatabasen, om uppgif- terna är nödvändiga för ärendets handläggning. m.m. som avses i 21 § person- stycket eller sådana uppgifter om uppgiftslagen (1998:204) får inte lagöverträdelser som avses i 12 § första stycket får inte användas som sökbegrepp vid sökning i Vid sökning som omfattar innehållet i fler än en handling i socialförsäkringsdatabasen som kommit in i ett ärende eller upp- rättats i ett ärende får endast ärendebeteckning eller beteckning på handling användas som sökbegrepp. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om begränsningar i övrigt för vilka sök- begrepp som får användas. Personuppgifter får föras över till tredje land på grund av åtagan- till tredjeland på grund av åtagan- den i avtal om social trygghet den i avtal om social trygghet som ingått med andra som ingått med andra stater får ske utan hinder av 33 § personuppgiftslagen (1998:204). som kommit in i ett ärende eller som kommit in i ett ärende eller upprättats i ett ärende behöver upprättats i ett ärende behöver inte tas med i information inte tas med i sådan information enligt 26 § personuppgiftslagen som avses i artikel 15 i Europa- Bestämmelser om överklag- ande finns i lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning.Andra beslut enligt detta kapi- tel än sådana som får överklagas enligt de bestämmelser som avses i första stycket får inte överklagas.47Personuppgifter som behand- las automatiserat ska gallras när de är nödvändiga för de ändamål som anges i 7 §, om inte regeringen eller den myndig- het som regeringen bestämmer meddelar föreskrifter om att upp- gifter får bevaras för arkivända- mål av allmänt intresse, veten- skapliga eller historiska forsknings- ändamål eller statistiska ändamål. (1998:204) om den registrerade tagit del av handlingens innehåll. Av informationen ska det dock framgå vilka sådana handlingar som behandlas. Om den regi- strerade begär information om uppgifter i en sådan handling och anger vilken handling som avses, ska dock informationen omfatta dessa uppgifter, om inte annat följer av bestämmelser om sekretess. I sistnämnda fall ska begränsningen i 26 § personupp- giftslagen om att information bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig. parlamentets och rådets förord- ning (EU) 2016/679 om den registrerade tagit del av hand- lingens innehåll. Av informa- tionen ska det dock framgå vilka sådana handlingar som behand- las. Om den registrerade begär information om uppgifter i en sådan handling och anger vilken handling som avses, ska dock informationen omfatta dessa uppgifter, om inte annat följer av bestämmelser om sekretess. Personuppgifter som behand- las automatiserat ska gallras när de är nödvändiga för de ändamål som anges i 7 §, om inte regeringen eller den myndig- het som regeringen bestämmer meddelar föreskrifter om att upp- gifter får bevaras för historiska, statistiska eller vetenskapliga ända- mål. I fråga om överklagande av beslut om rättelse eller om avslag på ansökan om information enligt 26 § personuppgiftslagen (1998:204) tillämpas bestämmel- serna i den lagen. Andra beslut enligt detta kapitel får inte över- klagas. 1.Denna lag träder i kraft . 2.Äldre föreskrifter gäller fortfarande för överklagande av be- slut som har meddelats före ikraftträdandet. ändringar i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen Härigenom föreslås i fråga om förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för social- försäkringen dels att 5 och 17 §§ ska tas bort, dels att rubrikerna närmast före 5 och 17 §§ ska tas bort, dels att 2, 3, 7, 8, 15 och 16 §§ och rubriken närmast före 3 § ska ha följande lydelse. Utredningens förslag till lydelse Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den enskilde motsätter sig behandlingen. Första stycket gäller inte om Första stycket gäller inte om personuppgifter samlas in direkt personuppgifter samlas in direkt från den enskilde. från den enskilde. endast om den enskilde har endast om den enskilde har lämnat sitt uttryckliga samtycke lämnat sitt uttryckliga samtycke serna i 12 § lämnat samtycke tillämpas på mot- svarande sätt vid behandling av personuppgifter enligt denna lag. Personuppgiftslagen (1998:204) Denna lag kompletterar Europa- gäller vid behandling av person- parlamentets och rådets förordning uppgifter inom verksamheten vid (EU) 2016/679 av inspektionen om inte annat följer 2016 om skydd för fysiska perso- Sådana särskilda kategorier av personuppgifter som anges i arti- kel 9.1 i och rådets förordning (EU) 2016/679 (känsliga personuppgifter) och personuppgifter om lagöverträdel- ser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihets- berövanden får behandlas om uppgifterna har lämnats i ettPersonuppgifter får behand- las för att fullgöra ett utläm- nande av uppgifter som sker i överensstämmelse med lag eller förordning. Att personuppgifter som behandlas för ändamål som anges i 6 § även får behandlas för andra ändamål framgår av arti- kel 5.1 b i och rådets förordning (EU) 2016/679. av denna lag eller föreskrifter som har meddelats med stöd av denna lag. ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrif- ter som har meddelats med stöd av lagen. Personuppgifter får behand- las för att fullgöra ett utläm- nande av uppgifter som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204). Känsliga personuppgifter en- ligt 13 § personuppgiftslagen (1998:204) och personuppgifter som avses i 21 § samma lag får behandlas om uppgifterna har lämnats i ett tillsyns- eller granskningsärende eller annars är nödvändiga för handlägg- ningen av ett sådant ärende. tillsyns- eller granskningsärende eller annars är nödvändiga för handläggningen av ett sådant ärende. Information som ska lämnas enligt 26 § personuppgiftslagen (1998:204) behöver inte omfatta en uppgift som har försetts med en beteckning så att den inte är direkt hänförlig till en enskild. Personuppgifter ska gallras så snart uppgifterna inte längre behövs för det ändamål som de behandlas för, om inte reger- ingen eller den myndighet som regeringen bestämmer har med- delat föreskrifter eller i ett en- skilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller veten- skapliga ändamål. lag om ändring i lagen (1996:1156) om receptregister Härigenom föreskrivs i fråga om lagen (1996:1156) om recept- register2 dels att 24 § ska upphöra att gälla, dels att rubriken närmast före 24 § ska utgå, dels att 3, 7 och 20 §§ och rubriken närmast före 3 § ska ha följande lydelse. Personuppgiftslagen (1998:204) gäller för behandling av person- uppgifter i receptregistret, om inte annat följer av denna lag eller föreskrifter som meddelas i an- slutning till denna lag. 2Senaste lydelse av 24 § 2009:370. 3Senaste lydelse 2009:370. 4Senaste lydelse 2009:370. I fråga om behandling av per- Att personuppgifter som be- handlas för ändamål som anges i annat ändamål än vad som anges 6 § även får behandlas för andra i 6 § gäller 9 § första stycket d och ändamål framgår av artikel 5.1 b (1998:204). förordning (EU) 2016/679. Utöver vad som framgår av att den enskilde får information artikel 13.1, 13.2, 13.3, 14.1, 14.2 och 14.4 i och rådets förordning (EU) 2016/679 1. vem som är personuppgifts- enligt denna lag till den registre- rade lämna information om 2. ändamålen med registret, 3. vilka uppgifter registret får 1. vilka uppgifter registret får 4. de tystnadsplikts- och säker- 2. de tystnadsplikts- och säker- hetsbestämmelser som gäller för 5. rätten att ta del av uppgifter (1998:204), 6. rätten till rättelse av orik- (2018:xx) med tiga eller missvisande uppgifter enligt 24 §, 7. rätten till skadestånd enligt personuppgifter i strid med denna 8. de begränsningar i fråga 4. de begränsningar i om sökbegrepp och bevarande av om sökbegrepp som gäller för uppgifter som gäller för registret, 5Senaste lydelse 2009:370. 6Senaste lydelse 2013:1021. 9. att registreringen inte är frivillig med undantag för ända- mål enligt 6 § första stycket 2 och 8. 5. att registreringen inte är frivillig med undantag för ända- mål enligt 6 § första stycket 2 och 8. 1.Denna lag träder i kraft . 2.Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet. Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning).Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrif- ter som har meddelats med stöd av lagen. lag om ändring i lagen (1998:543) om hälsodataregister Härigenom föreskrivs i fråga om lagen (1998:543) om hälso- dataregister dels att 11 § ska upphöra att gälla, dels att rubriken närmast före 11 § ska utgå, dels att 2 § och rubriken närmast före 2 § ska ha följande lydelse. Om inget annat följer av denna lag eller föreskrifter som meddelats med stöd härav, tillämpas person- uppgiftslagen (1998:204) vid be- handling av personuppgifter för hälsodataregister. 1.Denna lag träder i kraft . 2.Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet. hos domstolar,2. för forsknings- och stati- stikändamål, eller3. som utförs av behöriga myn- digheter för syften som anges i 1 kap. 2 § brottsdatalagen (2018:xx).Denna lag tillämpas, om inte annat anges i 3 §, vid behandling av personuppgifter inom social- tjänsten, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukture- rad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt ett eller flera särskilda kriterier. lag om ändring i lagen (2001:454) om behandling av personuppgifter inom Härigenom föreskrivs i fråga om lagen (2001:454) om behand- ling av personuppgifter inom dels att 9 och 10 §§ ska upphöra att gälla, dels att rubrikerna närmast före 9 och 10 §§ ska utgå, dels att 1, 3, 4, 7 och 7 a §§ och rubriken närmast före 4 § ska ha följande lydelse. Denna lag tillämpas vid be- handling av personuppgifter inom , om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en struktu- rerad samling av personuppgif- ter som är tillgängliga för sökning eller sammanställning enligt ett eller flera särskilda kriterier. Lagen tillämpas inte vid be- handling av personuppgifter hos domstolar. Den tillämpas inte heller vid behandling av person- uppgifter för forsknings- och statistikändamål. 7 Senaste lydelse 2003:136. Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom , om inte annat följer av denna lag eller föreskrifter som har med- delats med stöd av denna lag eller annars av 2 § personuppgifts- lagen. 1. person- och samordningsnummer, 2. känsliga personuppgifter som 2. sådana särskilda kategorier avses i 13 § personuppgiftslagen av personuppgifter som anges i (1998:204), samt artikel 9.1 i och rådets förordning (EU) 2016/679 (känsliga personuppgifter), samt 3. uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa fri- hetsberövanden. Personuppgifter enligt första stycket får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för verk- samheten. Enligt artikel 9.3 i Europa- parlamentets och rådets förord- ning (EU) 2016/679 får känsliga av eller under ansvar av den som omfattas av tystnadsplikt. I sammanställningar av per- I sammanställningar av per- sonuppgifter får det inte tas in sonuppgifter får det inte tas in uppgifter i övrigt om ömtåliga som avses i 7 § första stycket 2 eller uppgifter i övrigt om öm- tåliga personliga förhållanden. Undantag från första stycket gäller för 1.uppgifter om åtgärder som har beslutats inom som innebär myndighetsutövning och om den bestämmelse som ett sådant beslut grundar sig på, 2.uppföljning, utvärdering och kvalitetssäkring, 3.tillsynsverksamhet som bedrivs av Inspektionen för vård och omsorg, 4.administration som bedrivs av centralt, och 5.verksamhet enligt lagen (2007:606) om utredningar avseende vissa dödsfall. Uppgift som avslöjar medlemskap i fackförening får aldrig tas in. 1.Denna lag träder i kraft i fråga om 1 och 3 §§ och i övrigt . 2.Äldre föreskrifter gäller fortfarande för överklagande av be- slut som har meddelats före ikraftträdandet. 3.Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.