bet · H501KU23 · 2018-04-13 00:00:00 — Ett samtycke måste vara tydligt och inte gömmas i långa avtal som är alltför komplexa och omfattande för att enskilda ska kunna förväntas förstå innebörden av vad de faktiskt går med på och accepterar. När det gäller spridningen av personuppgifter bör utgångspunkten vara segmentering, där servrarna som lagrar uppgifterna ska finnas i samma land som vi användare. Med dataskyddsförordningen vill EU att spridningen av uppgifterna inom EU, och till viss del inom tredjeland, ska underlättas. Vi från är av motsatt uppfattning. Till skillnad från regeringen och EU vill i stället se att personuppgifter stannar kvar inom landets gränser i så stor utsträckning som möjligt. Det finns mycket att säga om den personliga integriteten. Människor, och särskilt ungdomar, lever större delen av sina liv på internet. I någon mening vet internet mer om oss som individer än vad vår egen familj och våra närmaste vänner gör. Den utvecklingen oroar mig, och den borde nog oroa oss alla. Facebook, Google, Microsoft, Instagram och allt vad de heter har fått fritt spelrum alltför . Det är dags att äganderätten till våra personuppgifter faktiskt lämnas tillbaka. Det är vi själva och inga andra - inte stater och inte privata företag - som ska äga kunskaper om våra intressen, vilken politisk uppfattning vi har, vilka vi kommunicerar med och vad vi säger. STYLEREF Kantrubrik \* MERGEFORMAT Ny dataskyddslag Låt mig komma tillbaka till det jag sa om dem som påstår att den som inte har något att dölja inte heller har något att vara rädd för. Skulle samma personer vara beredda att avstå från sin yttrandefrihet i händelse av att de inte har något att säga? Skulle de av våra medborgare som aldrig röstar förespråka ett avskaffande av rösträtten och demokratin? Det tror jag knappast. Försvaret av vår demokrati och vår yttrandefrihet, liksom rätten till personlig integritet, angår oss alla. Vi är åtta partier som sitter representerade här i kammare. Genom vår representativa demokrati är vi folkets främsta företrädare. De beslut vi fattar påverkar generationer efter oss. vill ge dessa generationer en chans att leva fria från otillbörlig kartläggning och övervakning från både staten och multinationella företag, fru talman. Låt den personliga integriteten bli en fråga vi kan komma överens om, så att både vi och generationerna efter oss kan känna att vi får makt och kontroll över våra egna liv! I detta anförande instämde (SD). Vi debatterar nu det här betänkandet som jag visar upp för kammarens ledamöter. Jag vill börja med att yrka bifall till utskottets förslag i betänkandet. Utskottet föreslår att antar regeringens förslag till lag med kompletterande bestämmelser till EU:s dataskyddsförordning och förslag till lag om ändringar i offentlighets- och sekretesslagen. EU:s dataskyddsförordning börjar tillämpas och kommer att utgöra den generella regleringen av personuppgiftsbehandling inom EU. Genom lagförslagen införs vissa allmänna kompletteringar och förtydliganden till dataskyddsförordningens bestämmelser. Lagförslagen innebär att personuppgiftslagen upphävs och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen, införs samt att vissa bestämmelser i offentlighets- och sekretesslagen ändras. Enligt dataskyddslagen ska dataskyddsförordningen med vissa undantag gälla även utanför sitt egentliga tillämpningsområde. Dataskyddslagen ska vara subsidiär i förhållande till annan lag eller förordning. Det möjliggör för avvikande bestämmelser i så kallade registerförfattningar. I dataskyddslagen förtydligas bland annat under vilka förutsättningar vissa personuppgifter får behandlas med stöd av dataskyddsförordningen. Dataskyddslagen innehåller också vissa bestämmelser om begränsning av de registrerades rättigheter samt om skadestånd och överklagande av beslut. STYLEREF Kantrubrik \* MERGEFORMAT Ny dataskyddslag I lagen anges även att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i en utsträckning som skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Betänkandet har remissbehandlats. Lagrådet har granskat lagförslagen. Regeringen har i allt väsentligt följt Lagrådets förslag. I förhållande till lagrådsremissens lagförslag har vissa språkliga och redaktionella ändringar gjorts. Den allmänna regleringen om behandling av personuppgifter inom EU finns i det som brukar kallas dataskyddsdirektivet. Det gäller inte för behandling av personuppgifter på områden som faller utanför unionsrätten, till exempel allmän säkerhet och försvar och ett antal ytterligare områden. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen, som vi kallar PUL i dagligt tal. PUL följer i princip dataskyddsdirektivets struktur. Regeringen konstaterar att dataskyddsförordningen ersätter dataskyddsdirektivet, som har genomförts i svensk rätt huvudsakligen genom PUL, PUF och Datainspektionens föreskrifter. Det noteras att dataskyddsförordningen inte ska genomföras i svensk rätt, utan den ska i stället tillämpas direkt av enskilda myndigheter och domstolar. Enligt artikel 9 i dataskyddsdirektivet ska medlemsstaterna, med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande, besluta om undantag och avvikelser från delar av direktivet endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten. Två remissinstanser, Datainspektionen och , ifrågasätter förslagets förenlighet med . Regeringen menar dock att det är förenligt. Datainspektionen föreslås bli tillsynsmyndighet, och regeringen anför att tillsynsmyndigheten har i uppgift att öka allmänhetens medvetenhet om och förståelse för risker, regler, skyddsåtgärder och rättigheter i fråga om behandling. Särskild uppmärksamhet ska ägnas åt insatser som riktar sig till barn. Vidare har regeringen gett Datainspektionen i uppdrag att förstärka sitt arbete med att underlätta näringslivets anpassning till dataskyddsförordningen och informera om regleringen för att svenska företag inte ska tappa tempo i sitt digitaliseringsarbete och kunna upprätthålla ett gott integritetsskydd. Datainspektionen har samlat omfattande information om dataskyddsreformen under en särskild flik på sin webbplats. Myndigheten har också medverkat till att ta fram en guide om de viktigaste grunderna i dataskyddsförordningen och hur den fungerar. Datainspektionen kommer som framgår även i övrigt att ha till uppgift att hjälpa, vägleda och informera om reglerna för personuppgiftsbehandling och dataskydd. I propositionen anges även att några myndigheter framhåller behovet av en samlad översyn av registerförfattningarna. Regeringen konstaterar att den korta tid som står till buds för att anpassa den svenska dataskyddsregleringen till den nya EU-regleringen inte medger mer omfattande nationella reformer på detta område. Det utesluter enligt regeringen inte att vissa sådana övergripande förändringar skulle kunna vara befogade och därför bli föremål för övervägande i ett annat sammanhang. STYLEREF Kantrubrik \* MERGEFORMAT Ny dataskyddslag Några instanser anser att det är anmärkningsvärt att lagförslagens inverkan på föreningar och civilsamhället inte nämns av utredningen. Regeringen anför att det står klart att dataskyddsförordningens direkt tillämpliga bestämmelser kommer att leda till vissa konsekvenser för det allmänna och för företag, ideella föreningar och andra enskilda organ. Utskottet välkomnar de omfattande informationsåtgärder som har vidtagits och som även kommer att fortsätta vidtas. Det är enligt utskottet av stor vikt att inte minst företag, ideella föreningar och andra enskilda organ upplyses om regleringen av just personuppgiftsbehandling. Utskottet delar regeringens bedömning att en fullständig konsekvensanalys av dataskyddsreformen inte låter sig göras i detta lagstiftningsärende. Utskottet framhåller dock vikten av att regeringen, i den utsträckning som är möjlig i förhållande till , säkerställer att regelverket utformas så att dataskyddsregleringens bestämmelser tydliggörs och tillämpningen underlättas såväl för det allmänna som för företag, ideella föreningar och andra enskilda organ. Utskottet anser att de förslag som lämnas i propositionen framstår som väl avvägda utifrån behovet av de anpassningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till. Utskottet ställer sig därför bakom de överväganden som görs i propositionen och föreslår att antar regeringens förslag till dataskyddslag och förslag till ändringar i offentlighets- och sekretesslagen. har redovisat en oro för den lagstiftning som vi har framför oss. har beskrivit väl vad den innehåller och uttryckt tillfredsställelse. Jag vill gärna ansluta mig till utskottets majoritet och säga att jag tycker att regeringen har lagt fram ett bra förslag. Det går att beskriva på olika sätt. I branschtidningen i den bransch där familjen är verksam sattes en braskande rubrik: Är du beredd på GDPR? Är du färdig? Vet du att du kan få betala stora böter? Det är ett sätt att beskriva det hela. Ett annat sätt är att sluta säga GDPR, vilket branschtidningarna säger bara för att trassla till det och höja konsultarvodena. Vi kan kalla det för dataskyddslagen eller dataskyddsförordningen. Jag tycker att alla i den här salongen ska försöka använda det svenska uttrycket. Vad betyder det? Varför tycker vi att det är ett bra förslag? Jo, det är en anpassning och en förbättring. Det kommer naturligtvis att behöva göras mycket även framöver för att anpassa det till den snabba tekniska utvecklingen. Men det förslag som ligger på bordet nu kommer att innebära ett stärkt skydd. Det kommer också att innebära att alla måste tillämpa det, oavsett om man är företag, förening eller vad man nu är. Samlar man in persondata måste man följa den nya dataskyddslagen och dataskyddsförordningen. När jag benar i texten kan jag se tre grundläggande principer som man ska hålla sig till. Till att börja med måste man ha ett tydligt ändamål när man börjar samla in persondata. Man måste alltså vara tydlig med varför man gör det. Man kan inte bara helt random samla ihop det för att det kan vara bra att ha - i bostadsrättsföreningen, båtklubben eller den lilla bokhandeln. STYLEREF Kantrubrik \* MERGEFORMAT Ny dataskyddslag Man får inte heller ändra ändamål efteråt och säga att man har en bra samling personuppgifter, som man skulle använda till ett annat ändamål. Det är alltså uttryckligen förbjudet. Och det är en förbättring. Sedan måste man vara öppen i förhållande till dem man registrerar. Det gäller naturligtvis också en bostadsrättsförening, ett småföretag och även de jättelika företagen. Om en registrerad frågar vad som har registrerats om denne räcker det inte med att båtklubben säger: Vi har namnet på din båt. Men man kanske har registrerat något annat som de inte redovisar. Man måste alltså berätta allt man har registrerat, och det måste kunna svara mot det syfte som man har. En förbättring är att den som samlar in personuppgifter måste vara så tekniskt och organisatoriskt ordnad att man klarar de krav som förordningen ställer. Klarar man inte av tekniken och inte har ordning har man inte följt lagen. Man kan inte säga att man inte förstod eller att man slarvade. Då kan man naturligtvis få en kostnad för det. Det kallas för ett inbyggt dataskydd. Egentligen får det som effekt ständiga förbättringar i hanteringen av ens dataskydd. ska detta vara klart . Det är naturligtvis det som konsulterna lever på, att närmar sig och att det kan bli höga böter om man inte har det man ska. Då vill jag bara från den här talarstolen säga att om man inte är klar till - det är många som inte kommer att vara det - ska man ha prioriterat. Har man då prioriterat att försöka anpassa sig till den nya lagstiftningen och dokumenterat det man har gjort men inte är färdig är det naturligtvis bättre än att gömma sig under täcket och hoppas att ingen ser en. Om man inte har gjort någonting här är det som när man inte gjort något yrkande inför . Har man yrkat ett avdrag kan säga att man har försökt men misslyckats, men de kan inte säga att man har dolt något. Det är samma sak här. Börjar man arbeta enligt den nya dataskyddslagen men inte är klar behöver man inte vara speciellt rädd för att man kommer att straffas med att betala mångmiljonbelopp, vilket det står i vissa tidningar. En annan sak som är bra med den nya lagen, till skillnad från den tidigare, är att man inte får samla in fler uppgifter än nödvändigt. Många som samlar in uppgifter brukar ha känslan att det är bra-att-ha-uppgifter. Det duger inte längre, utan nu ska man bara samla in precis så mycket uppgifter som behövs. Och man får bara samla in uppgifter i förhållande till i förväg bestämda ändamål, vilket också är en klar förbättring. Som varande objekt för denna insamling ska man kunna fråga varför uppgifterna samlas in, vad som är det bestämda ändamålet. Vidare - och där syndas det mycket - får man bara spara personuppgifterna så länge som de ska användas för det fastställda ändamålet. Det är utmärkt att det står att man ska spara på så få ställen som möjligt. Det betyder att en förening med länsavdelningar, ett företag med 120 butiker eller något annat med spridning i landet inte behöver ha 120 register som ser likadana ut. Man kan ha registret på ett ställe, och de som behöver får gå in och titta där utan att kopiera hela registret. Detta är ett framsteg. Alla användare ska vara beredda på att visa vad som har registrerats om personer. De får inte trassla och säga att de har telefontider eller på annat sätt göra det besvärligt, utan de måste rakt upp och ned tala om vilka uppgifter de har om dig. STYLEREF Kantrubrik \* MERGEFORMAT Ny dataskyddslag Sist men inte minst kanske är på rätt spår i sin reservation, men det är väldigt översiktligt beskrivet hur det i praktiken ska gå till att bli glömd. Det kanske är därför som vi har läst reservation men inte riktigt hängt med. Men visst ska man ha rätt att bli bortglömd, helt enkelt struken - självklart. Det finns regler nu för hur det ska gå till, och kanske måste vi utveckla dem mer. De vi har sett är alltför svepande, men här kanske det finns ett spår. Likaså finns det i det särskilda yttrandet från tankar som är mycket värdefulla och som måste bearbetas vidare framöver. Det handlar om hur vi ska göra med gränserna för konstnärlig verksamhet, akademisk verksamhet etcetera. Det kommer nya krav på oss som lagstiftare vad gäller dataskyddet. Icke desto mindre yrkar jag bifall till utskottets förslag. Tack, Dag Klackenberg, för passningen! Frågan rörde ju reservation på temat rätten att bli glömd. Som jag tolkar det liggande förslaget till lagstiftning kommer inte den rätten att bli helt absolut, för alla uppgifter kommer inte att försvinna. Det är i grund och botten samma problematik . För att ta ett konkret exempel, som folk inom datavärlden talar mest om, handlar det ofta om sociala medier. Du och jag har fört en konversation över Messenger eller andra applikationer. Jag kan radera mitt konto, men vad jag har skrivit i våra privata konversationer stannar kvar och finns fortfarande lagrat. Då kan man resonera att det är meddelanden som du har fått av mig och fråga sig vem det är som äger meddelandena. Om vi backar bandet kan vi jämföra det med att jag har skickat ett brev till dig. Då kan jag inte komma hem till dig och hämta brevet något senare, när jag har ångrat vad jag har skrivit. Jag menar att internet inte är riktigt jämförbart. Barn och unga skickar tusentals meddelanden fram och tillbaka. Man kan ju fråga sig om det är någonting som de ska behöva stå för när de söker jobb. Jag kan tycka att detta inte är så enkelt. Detta behöver man problematisera kring, och det är därför vi vill anföra att det bör utredas hur rätten att bli glömd kan bli mer absolut. Detta var ett tydliggörande. Tack, , för din kommentar! Det är uppenbart att vi är inne på samma spår. Men du vidgar det nu till att också omfatta alla sociala medier. Jag höll mig till dem som verkligen håller ett register. Vi får fundera framöver på hur vi ska lagstifta kring detta. Analytica visar ju verkligen vilken problematik vi har i detta. Vi måste ha ett gediget lagstiftningsarbete som gör att alla medborgare förstår vilka rättigheter och faror som finns med sociala medier. Där menar jag att ni kanske är på rätt spår, men reservationen är inte tekniskt tillräckligt bra för att vi ska ansluta oss till den från majoritetens sida. STYLEREF Kantrubrik \* MERGEFORMAT Ny dataskyddslag Det är egentligen inte så mycket att replikera på. Men det var ju bra att jag fick möjligheten att förtydliga vad vi menar. Dag Klackenberg nämnde flera exempel i sitt anförande, bland annat den lokala båtklubben och bostadsrättsföreningen. Jag tror inte att det är där som människor oroar sig mest . När vi ändå tar det här greppet om dataskyddet tycker jag att vi även hade kunnat titta på de lite mer oroande aspekterna av framför allt internet när det gäller sociala medier. Jag tolkar det som att det är där som de flesta människor känner en viss oro över vilka uppgifter som finns sparade och vad vi själva kan välja att ta bort, hur våra personuppgifter används för marknadsföring och hur kartlagda vi blir som individer. Svaret på dessa frågor fick vi för inte så länge sedan, då vi kunde lyssna på utfrågningen i av Facebooks grundare. Det finns tyvärr också en hel del andra rätt skrämmande exempel på hur våra personuppgifter har använts på ett felaktigt sätt. Jag välkomnar ett intresse från i de här frågorna. tycker att den personliga integriteten är viktig. Det här är en fråga där jag tror att vi åtta partier måste sätta oss ned och komma överens för att på lång sikt få till ett system som fungerar och som stärker vår personliga integritet. Jag kan helt kort säga att det inte är sista gången som den här frågan diskuteras i kammaren. kommer den nya dataskyddsförordningen att träda i kraft. Det handlar om EU-lagstiftning som går direkt in i svensk lag. I samband med det anpassar vi en rad andra lagstiftningsprodukter, och jag tror att det är ett tjugotal som kommer att passera kammare . får vi ca 500 miljoner EU-invånare ett betydligt starkare integritetsskydd för uppgifter som ligger på nätet. har jobbat oerhört mycket på EU-nivå för att stärka integritetsskyddet på nätet, kanske alldeles särskilt genom den gröne rapportören , som har gjort ett stort jobb i förhandlingarna för att lotsa detta enorma lagstiftningsarbete i hamn. Vi är många som får mejl från banken eller någon annan organisation där vi är registrerade. De berättar om sitt arbete med GDPR - om jag nu vågar säga det, Dag Klackenberg - och om möjligheterna att bli glömd om man vill det, rätten att få information när data flyttas med mera. I lagstiftningen handlar det vidare om att man inte längre ska behöva få information på ett sådant sätt att man bara måste acceptera något genom att kryssa i. finns det en tydlig rätt att man ska kunna förstå vad det är man säger ja till och att man ska kunna låta bli utan att vara helt utanför samhället. STYLEREF Kantrubrik \* MERGEFORMAT Ny dataskyddslag Det handlar också om att bolag inte längre ska komma undan genom att placera sig i ett land där det finns svaga integritetsskyddslagar. Lagstiftningen gäller nämligen för alla personuppgifter i hela EU. Det är många organisationer och företag som hör av sig till oss politiker och är oroliga över de höga viten de riskerar om de inte sköter sig. Jag har en viss förståelse för den oron. Liksom många av de internationella lagstiftningsprodukter som ska fungera i många länder är denna lagstiftning rätt komplicerad. Men Datainspektionen, som ska döpas om till , har gjort ett fantastiskt jobb med att på ett pedagogiskt sätt förklara den nya lagstiftningen. Man ger mycket stöd, information och utbildningar, precis som var inne på. Dagens produkt, KU23, behandlar inte själva förordningen. I stället behandlar vi lag med kompletterande bestämmelser till EU:s dataskyddsförordning och avgränsningar. har redogjort för många av dessa avgränsningar. Det finns dock två saker som har varit uppmärksammade i debatten men som vi i utskottet inte har talat särskilt mycket om. Den ena gäller åldersgränsen för sociala medier. I förordningen föreslås en 16-årsgräns som standard, men vill sänka åldern för när man själv kan godkänna att vara med på sociala medier till den undre gränsen, . Detta har varit ganska omdiskuterat, och jag tror att denna lägre åldersgräns är mycket önskad. Den andra gäller sanktionsavgifter i offentlig sektor. Den nya integritetsskyddsmyndigheten kommer att kunna ta ut sanktionsavgifter på upp till 5 miljoner för mindre allvarliga överträdelser och upp till 10 miljoner för allvarliga överträdelser. Jag tycker att den nya EU-lagstiftningen är ett stort steg framåt. Vi kommer att se ett betydligt bättre integritetsskydd. Kompletteringarna är mycket bra, och därför yrkar jag bifall till utskottets förslag. För oss riksdagsledamöter som debatterar och ska besluta om den nya dataskyddslagen är det angeläget att kunna överblicka konsekvenserna av hela den nya dataskyddslagstiftningen. För dem som i sin verksamhet ska tillämpa den nya lagstiftningen och som kan drabbas av mycket höga sanktionsavgifter om lagstiftningen inte följs är det givetvis nödvändigt att förstå lagstiftningen. Regeringen anger dock i propositionen att en samlad konsekvensbeskrivning inte går att göra i detta enskilda lagstiftningsärende. I ett särskilt yttrande i betänkande i detta ärende har jag framfört kritik mot avsaknaden av konsekvensbeskrivning och mot att lagstiftningen i stor omfattning lämnar över till rättspraxis, alltså till domstolarna och Datainspektionen, att göra tolkningar av hur dataskyddslagstiftningen ska tillämpas. Jag kan ännu mindre än regeringen bidra med en konsekvensbeskrivning av dataskyddslagstiftningen, men lagstiftningsmässigt ersätter EU:s dataskyddsförordning och den dataskyddslag vi ska besluta om EU:s dataskyddsdirektiv och vår tidigare personuppgiftslag, PUL. STYLEREF Kantrubrik \* MERGEFORMAT Ny dataskyddslag För är dataskyddslagen det viktigaste ärendet i den kedja av lagstiftningsärenden som har sin grund i EU:s dataskyddsförordning och som träder i kraft . Regeringen kommer att besluta om särskilda dataskyddsregler för olika statliga verksamheter och om förordningar på dataskyddsområdet. Datainspektionen kommer att besluta om föreskrifter för skydd av personuppgifter. Datainspektionen kommer dessutom att utöva tillsyn och besluta om åtgärder och sanktionsavgifter för dem som inte följer lagstiftningens, förordningarnas och föreskrifternas krav på hur personuppgifter får hanteras och användas. I ett remissvar på utredningen, som ligger till grund för den nya dataskyddslagen, har det påpekats att många ideella föreningar kommer att drabbas av lagförslagets ökade krav på hanteringen av personuppgifter. Det gäller bland annat medlemsregistren och hur de får bearbetas. Jag anser liksom flera remissinstanser att det är anmärkningsvärt att förslagens inverkan på föreningar och civilsamhälle inte har nämnts i utredningsarbetet och inte heller blir belyst i den proposition vi nu behandlar. När jag gick in på internet och letade efter föreningar och dataskydd fann jag en artikel med rubriken Texten uppges vara en enkel introduktion eftersom de flesta föreningar kommer att påverkas. Det nämns också att det för en del föreningar kommer att finnas behov av att söka juridisk rådgivning. För de flesta föreningar kostar juridisk rådgivning pengar, pengar som föreningarna hellre vill använda i sin verksamhet än till kostnader för juridisk rådgivning.