bet · H501KU23 · 2018-04-13 00:00:00 — Som skäl för förslaget om en utvidgad tillämpning av bestämmelserna i dataskyddsförordningen anger regeringen i huvudsak följande (se prop. När dataskyddsdirektivet genomfördes i svensk rätt gjordes PUL generellt tillämplig eftersom det ansågs särskilt viktigt med ett starkt integritetsskydd för personuppgifter inom all offentlig verksamhet. Den lösningen ansågs också garantera att behovet av särregler i förhållande till PUL alltid skulle noga övervägas i den ordning som krävs för författningsgivning. Dessa skäl är enligt regeringens bedömning fortfarande giltiga. Till detta kommer enligt regeringen dels att det är svårt att bedöma närmare var gränserna för unionsrättens tillämpningsområde går, dels att till följd av internationella konventionsåtaganden måste införa en reglering om dataskydd för det område som inte skulle omfattas av det nya när PUL upphävs. Regeringen anser därför att dataskyddsförordningens tillämpningsområde bör utvidgas i den utsträckning och med de undantag som framgår av förslaget. Enligt förslaget bör hänvisningen till dataskyddsförordningen i denna del vara statisk, dvs. avse den ursprungliga lydelsen av förordningen. Dataskyddsregleringen ska inte tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen Enligt artikel 9 i dataskyddsdirektivet ska medlemsstaterna, med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande, besluta om undantag och avvikelser från delar av direktivet endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten. Vid genomförandet av dataskyddsdirektivet gjorde regeringen bedömningen att tryckfrihetsförordningen och yttrandefrihetsgrundlagen inte behövde ändras (prop. 1997/98:44 s. 50). I 7 § första stycket PUL infördes en upplysningsbestämmelse som anger att bestämmelserna i lagen inte ska tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Det innebär bl.a. att de grundlagsskyddade rättigheterna att framställa och sprida yttranden samt meddelar- och anskaffarfriheten undantas från PUL:s tillämpningsområde. I dataskyddsförordningen regleras förhållandet till yttrande- och informationsfriheten i artikel 85.1. Där framgår att medlemsstaterna i sin nationella lagstiftning ska förena rätten till integritet i enlighet med förordningen med rätten till yttrande- och informationsfrihet, inbegripet personuppgiftsbehandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Vid behandling för sådana ändamål ska medlemsstaterna enligt artikel 85.2 föreskriva om undantag eller avvikelser från i artikeln angivna delar av förordningens bestämmelser, om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten. I regeringens förslag till dataskyddslag finns en bestämmelse, 1 kap. 7 § första stycket, som anger att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Enligt författningskommentaren tydliggör bestämmelsen att tryckfrihetsförordningen och yttrandefrihetsgrundlagen har företräde framför dataskyddsförordningens och dataskyddslagens bestämmelser (se prop. s. 187). Två remissinstanser, Datainspektionen och , ifrågasätter förslagets förenlighet med . Enligt Datainspektionen ger dataskyddsförordningen inte utrymme för ett sådant generellt undantag i nationell rätt som föreslås i 1 kap. 7 § första stycket dataskyddslagen. Datainspektionen invänder således mot att det i dataskyddslagen anges att grundlagsbestämmelserna i tryckfrihetsförordningen och yttrandefrihetsgrundlagen ska ha företräde framför dataskyddsförordningen. Vidare framhåller Datainspektionen att myndigheten tidigare påpekat de risker som grundlagsskyddet medför för integritetsskyddet, särskilt när det gäller personuppgiftsbehandling på internet som omfattas av utgivningsbevis för databaser. ifrågasätter upplysningsbestämmelsens breda formulering och menar att den kan strida mot principen om företräde. Enligt regeringens bedömning ger regleringen i artikel 85 i dataskyddsförordningen ett något större utrymme för undantag än dataskyddsdirektivet, bl.a. genom att det inte längre krävs att behandling ska ske uteslutande för journalistiska ändamål för att undantag ska kunna göras. Därutöver konstaterar regeringen att skäl 153 i förordningen anger att begreppet yttrandefrihet måste ges en bred tolkning för att beakta vikten av rätten till yttrandefrihet i varje demokratiskt samhälle. Regeringen bedömer mot denna bakgrund, till skillnad från de två nämnda remissinstanserna, att den unionsrättsliga dataskyddsregleringen även fortsättningsvis ger utrymme för bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Regeringen framhåller även att den i propositionen Ändrade mediegrundlagar (prop. 2017/18:49) gör bedömningen att det med hänsyn till skyddet för den personliga integriteten finns skäl att begränsa grundlagsskyddet för vissa söktjänster som innehåller personuppgifter av särskilt integritetskänslig karaktär. I proposition 2017/18:49, som behandlas i betänkande 2017/18:KU16, föreslår regeringen därför att det införs bestämmelser i tryckfrihetsförordningen och yttrandefrihetsgrundlagen som ger utrymme för att under vissa förutsättningar i lag föreskriva om förbud mot att offentliggöra sådana personuppgifter, om de är tillgängliga på ett sätt som innebär särskilda risker för intrång i enskildas personliga integritet. Regeringen diskuterar också frågan om det alls finns något behov av en sådan bestämmelse i dataskyddslagen som föreslås i 1 kap. 7 § första stycket dataskyddslagen (se prop. 2017/18:105 s. 42). Som utredningen och flera remissinstanser konstaterar är det enligt regeringen angeläget att dataskyddsförordningens och dataskyddslagens bestämmelser inte ger upphov till osäkerhet kring möjligheterna till personuppgiftsbehandling på det grundlagsskyddade området. Regeringen anför att en sådan osäkerhet skulle kunna påverka vitala delar av opinionsskapande verksamhet som är av grundläggande betydelse för demokratin och som skyddas genom bl.a. censurförbudet och meddelarfriheten. Vidare anger regeringen att som utredningen konstaterar innebär det förhållandet att den unionsrättsliga dataskyddsregleringen är en direkt tillämplig förordning, som dessutom kan leda till kännbara sanktionsavgifter, ett än större behov av ett förtydligande av förhållandet till tryck- och yttrandefrihetsregleringen. Regeringen instämmer därför i utredningens bedömning att det bör införas en bestämmelse som tydliggör att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot grundlagsregleringen om tryck- och yttrandefrihet. Regeringen konstaterar vidare att dataskyddsförordningen innehåller en bestämmelse, artikel 86, som reglerar förhållandet till offentlighetsprincipen. Där anges att personuppgifter i allmänna handlingar som förvaras av en myndighet, ett offentligt organ eller ett privat organ för utförande av en uppgift av allmänt intresse får lämnas ut av myndigheten eller organet i enlighet med medlemsstatens nationella lagstiftning för att jämka samman allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd för personuppgifter i enlighet med förordningen. Enligt regeringen innebär förordningens artikel 86 till sin ordalydelse en något mer omfattande reglering än motsvarande bestämmelse i personuppgiftslagen (8 § PUL), eftersom även offentliga organ och privata organ som förvarar allmänna handlingar för utförande av en uppgift av allmänt intresse omfattas. Regeringen anför att det framgår av skäl 154 i förordningen framgår att allmänhetens rätt att få tillgång till handlingar kan betraktas som ett allmänt intresse och att handlingarna bör kunna lämnas ut offentligt om utlämning föreskrivs i den nationella lagstiftningen. Vidare anges att den nationella rätten bör sammanjämka allmänhetens rätt att få tillgång till allmänna handlingar och vidareutnyttjande av information från den offentliga sektorn med rätten till skydd för personuppgifter samt att nationell lagstiftning därför får innehålla föreskrifter om den nödvändiga sammanjämkningen med rätten till skydd för personuppgifter enligt förordningen. Enligt regeringens bedömning ger regleringen i förordningen ett ännu tydligare stöd än dataskyddsdirektivet för att den EU-rättsliga dataskyddsregleringen inte inkräktar på den grundlagsreglerade offentlighetsprincipen. Regeringen anför att den nödvändiga sammanjämkning som avses i dataskyddsförordningen i svensk rätt kommer till uttryck bl.a. genom bestämmelserna i offentlighets- och sekretesslagen, som är resultatet av noggranna avvägningar mellan allmänhetens intresse av insyn i det allmännas verksamhet och den enskildes behov av skydd för sin personliga integritet. Sammanfattningsvis anser regeringen att det finns ett tydligt behov av att klargöra dataskyddsregelverkets förhållande till grundlagarna. Regeringen föreslår därför att det införs en bestämmelse i dataskyddslagen med innebörden att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Visst undantag från dataskyddsregleringen medges utanför det grundlagsskyddade området I förslaget till dataskyddslag finns en bestämmelse, 1 kap. 7 § andra stycket, som medger ett visst undantag från förordningens och dataskyddslagens tillämpning när det gäller sådan behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Förslaget, som har sin grund i artikel 85.2 i dataskyddsförordningen, har utformats med utgångspunkt i bestämmelsen i nuvarande 7 § andra stycket PUL. I propositionen (s. 44) konstateras att genom artikel 85.2 i förordningen åläggs medlemsstaterna att göra vissa undantag från förordningen för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Undantag får dock bara göras om de är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten. I skäl 153 i dataskyddsförordningen anges att undantag särskilt bör gälla vid personuppgiftsbehandling inom det audiovisuella området och i nyhetsarkiv samt pressbibliotek. Begreppet akademiskt skapande är nytt och definieras inte närmare vare sig i skäl eller i artikeltext. Regeringen anger att utredningen bedömer att begreppet inte torde omfatta forskning, eftersom personuppgiftsbehandling för forskningsändamål är särreglerad på annat sätt i förordningen. Regeringen anför att det är svårt att uttala sig närmare om begreppets innebörd och att innebörden av begreppet i stället kommer att få utvecklas i praxis. Enligt regeringen innebär artikel 85.2 att möjligheterna till undantag från förordningen är något större än de som gäller enligt dataskyddsdirektiv. Regeringen delar därför utredningens bedömning att det även fortsättningsvis finns möjlighet att ha ett undantag av det slag som finns i 7 § andra stycket PUL. Enligt regeringen kan det konstateras att betydelsen av opinionsbildning genom alternativa kanaler såsom sociala medier, bloggar och liknande har ökat dramatiskt . Detta medför enligt regeringen att skälen för ett undantag utanför tryckfrihetsförordningens och yttrandefrihetsgrundlagens tillämpningsområde inte har minskat och inte heller kan förutses göra det framöver. I likhet med utredningen anser regeringen därför att det bör införas ett undantag för behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande i den utsträckning som förordningen tillåter det. Av den föreslagna bestämmelsen framgår att artiklarna 5–30 och 35–50 i dataskyddsförordningen och 2–5 kap. i dataskyddslagen inte ska tillämpas vid behandling av personuppgifter för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande utanför det grundlagsreglerade området. Den föreslagna bestämmelsen innebär när det gäller dataskyddsförordningen att endast förordningens bestämmelser om syfte, tillämpningsområde och definitioner (kapitel I), samarbete med tillsynsmyndigheten och säkerhet för personuppgifter (artiklarna 31–34 i kapitel IV), oberoende tillsynsmyndigheter (kapitel VI), samarbete och enhetlighet (kapitel VII) samt rättsmedel, ansvar och sanktioner (kapitel VIII) är tillämpliga vid behandling för de nämnda ändamålen. Övriga bestämmelser i förslaget till dataskyddslag Utöver vad som har redovisats ovan innehåller dataskyddslagen förslag till bestämmelser om bl.a. lagens territoriella tillämpningsområde, tystnadsplikt för dataskyddsombud, rättslig grund för behandling av personuppgifter, behandling av vissa kategorier av personuppgifter, användningsbegränsningar, begränsningar av vissa rättigheter och skyldigheter, tillsynsmyndighetens handläggning och beslut samt skadestånd och överklagande. Förslagen i dessa delar, som behandlas i avsnitt 6.2, 8–14, 16 och 17 i propositionen, redovisas inte närmare i detta betänkande. Förslag till ändringar i offentlighets- och sekretesslagen Hänvisningen till PUL i den s.k. generalklausulen i OSL tas bort Enligt den s.k. generalklausulen i 10 kap. 27 § första stycket OSL får en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Paragrafen reglerar utlämnande av uppgifter som omfattas av sekretess mellan myndigheter i fall då det saknas uttryckliga sekretessbrytande regler. I bestämmelsens andra och tredje stycke anges när ett utlämnande inte får ske. Således får uppgifter inte lämnas ut bl.a. om utlämnandet skulle strida mot lag eller förordning eller föreskrift som har meddelats med stöd av PUL (10 kap. 27 § tredje stycket OSL). I propositionen föreslås att hänvisningen till föreskrifter som har meddelats med stöd av PUL tas bort. Regeringen anför att hänvisningen till ”lag” i 10 kap. 27 § tredje stycket OSL också innefattar EU-förordningar. Enligt regeringen blir därmed innebörden av bestämmelsen att ett utlämnande till en annan myndighet som strider mot dataskyddsförordningen eller dataskyddslagen inte kan ske med stöd av generalklausulen. Sekretess ska gälla för personuppgifter om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsregleringen Enligt 21 kap. 7 § OSL gäller sekretess för personuppgifter, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med PUL. Regeringen konstaterar att bestämmelsen måste ändras eftersom PUL ska upphävas och den generella dataskyddsregleringen i stället kommer att finnas i dataskyddsförordningen och den nya dataskyddslagen. I propositionen föreslås därför att hänvisningen till PUL ersätts med en hänvisning till dataskyddsförordningen och dataskyddslagen. Vidare föreslås en ändring i bestämmelsen som innebär ett förtydligande av att prövningen gäller den behandling som kommer att ske efter ett eventuellt utlämnande. Förslaget medför att utlämnanden till utländska mottagare som omfattas av dataskyddsförordningens tillämpningsområde också kommer att omfattas av sekretessbestämmelsen. Regeringen anser att denna materiella utvidgning av bestämmelsens tillämpningsområde är rimlig och ligger väl i linje med de grundläggande principerna i dataskyddsförordningen. Hänvisningen till dataskyddsförordningen i paragrafen föreslås vara statisk, dvs. avse den ursprungliga lydelsen av förordningen. Det medför att lagstiftaren aktivt måste bedöma om eventuella ändringar och tillägg till förordningen ska omfattas av 21 kap. 7 § OSL. Information om regelverket och dataskyddsreformen samt konsekvenser Av propositionen framgår att vissa remissinstanser, utan att invända mot utredningens förslag, påpekar att dataskyddsreformen medför att rättsområdet blir mer komplext (prop. s. 23). Regeringen har förståelse för dessa synpunkter. Det förhållandet att personuppgiftslagen ersätts av den mer omfattande regleringen i dataskyddsförordningen och en kompletterande nationell reglering på generell nivå innebär enligt regeringen att regelverket kan uppfattas som mer komplext. Regeringen framhåller dock att den ökade komplexiteten är en följd av att det nya EU-rättsliga regelverket är direkt tillämpligt och att regelverket förutsätter kompletterande nationell reglering. kan det enligt regeringen konstateras att för de allra flesta personuppgiftsansvariga kommer endast dataskyddsförordningen och dataskyddslagen att vara tillämpliga. Regeringen anför att för personuppgiftsansvariga som har verksamhet i flera medlemsstater finns dessutom stora fördelar med en dataskyddsreglering som är direkt tillämplig i hela EU. En tillsynsmyndighet i varje EU-land ska övervaka att de som behandlar personuppgifter följer regelverket för dataskydd. ska vara fullständigt oberoende i utförandet av sina uppgifter och utövandet av sina befogenheter (artikel 52.1). I föreslås Datainspektionen få det uppdraget. Regeringen understryker (prop. s. 22 f.) att tillsynsmyndigheten, enligt artikel 57.1 b, har i uppgift att öka personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om sina skyldigheter enligt dataskyddsförordningen. Vidare anges i propositionen att det framgår av skäl 132 att medvetandehöjande kampanjer från tillsynsmyndighetens sida bör innefatta särskilda åtgärder riktade dels till personuppgiftsansvariga och personuppgiftsbiträden, inbegripet mikroföretag samt små och medelstora företag, dels till fysiska personer, särskilt i utbildningssammanhang. Regeringen anför dessutom att tillsynsmyndigheten, enligt artikel 57.1 b, har i uppgift att öka allmänhetens medvetenhet om och förståelse för risker, regler, skyddsåtgärder och rättigheter i fråga om behandling. Särskild uppmärksamhet ska ägnas åt insatser som riktar sig till barn. Vidare har regeringen gett Datainspektionen i uppdrag att förstärka sitt arbete med att underlätta näringslivets anpassning till dataskyddsförordningen och informera om regleringen, för att svenska företag inte ska tappa tempo i sitt digitaliseringsarbete och kunna upprätthålla ett gott integritetsskydd (N2016/07306/FÖF). Datainspektionen har samlat omfattande information om dataskyddsreformen under en särskild flik på sin webbplats. Där finns även bl.a. en introduktionsfilm om förordningen. Myndigheten har också medverkat till att ta fram en guide om de viktigaste grunderna i dataskyddsförordningen. Datainspektionen kommer som framgår även i övrigt att ha till uppgift att hjälpa, vägleda och informera om reglerna för personuppgiftsbehandling och dataskydd. I propositionen anges även att några myndigheter framhåller behovet av en samlad översyn av registerförfattningarna. Ett par remissinstanser ifrågasätter utredningens strävan att varken utvidga eller inskränka möjligheterna till behandling av personuppgifter annat än när dataskyddsförordningen kräver en sådan förändring. Regeringen konstaterar att den korta tid som står till buds för att anpassa den svenska dataskyddsregleringen till den nya EU-regleringen inte medger mer omfattande nationella reformer på detta område. Det utesluter enligt regeringen inte att vissa sådana övergripande förändringar skulle kunna vara befogade och därför bli föremål för överväganden i ett annat sammanhang (prop. s. 23). Av avsnitt 19 Konsekvenser i propositionen framgår att dataskyddsreformen kommer att få konsekvenser såväl för det allmänna som för enskilda organ. När det särskilt gäller enskilda organ anges i propositionen bl.a. att det stora flertalet remissinstanser instämmer i utredningens bedömning eller inte kommenterar den. En remissinstans, Företagarna, anser att införandet av dataskyddsförordningen kommer att få stora konsekvenser för företag, men att de förslag som utredningen föreslår är en försumbar del av dessa konsekvenser. Företagarna anser att det är viktigt att tillämpningen följs upp så att inte mindre företag slås ut från branscher som har en omfattande behandling av personuppgifter på grund av kraven på konsekvensbedömningar m.m. Företagarna påpekar vidare att många ideella föreningar kommer att drabbas av ökade krav vad gäller hanteringen av personuppgifter. En annan remissinstans, , menar bl.a. att införandet av en ny dataskyddslag är sammankopplat med dataskyddsförordningen, och det finns enligt förbundet en stor oro bland landets små företag när det gäller denna. För att små företag ska kunna säkerställa att de gör rätt uppstår det kostnader för utbildning av personal, utbildning för personuppgiftsbiträde samt översyn av och nya rutiner för registerhantering, vilket enligt förbundet borde ha behandlats i konsekvensavsnittet. Några instanser, bl.a. Svenskt Friluftsliv, Svenska och , anser att det är anmärkningsvärt att lagförslagens inverkan på föreningar och civilsamhället inte nämns av utredningen. Regeringen anför att det står klart att dataskyddsförordningens direkt tillämpliga bestämmelser kommer att leda till vissa konsekvenser för det allmänna och för företag, ideella föreningar och andra enskilda organ. Förordningens bestämmelser kan i vissa fall förväntas leda till ökade kostnader för administration och för anpassning av befintliga it-system. Det kommer också att krävas ökade resurser till utbildningsinsatser och eventuellt nyrekryteringar till tjänster som dataskyddsombud. Konsekvenserna av dataskyddsförordningens direkt tillämpliga bestämmelser behandlas dock inte i detta lagstiftningsärende. Vidare anför regeringen att en samlad konsekvensanalys av reformen i sin helhet inte går att utföra i ett enskilt lagstiftningsärende. Regeringen konstaterar också att konsekvenserna av dataskyddsförordningens direkt tillämpliga bestämmelser inte påverkar behovet, lämpligheten och konsekvenserna av de förslag som lämnas i detta lagstiftningsärende. Utskottet välkomnar de omfattande informationsåtgärder som har vidtagits och som även fortsatt kommer att vidtas när det gäller det dataskyddsrättsliga regelverket. Utskottet noterar med tillfredsställelse att Datainspektionen påbörjade sitt informationsarbete. Det är enligt utskottet av stor vikt att inte minst företag, ideella föreningar och andra enskilda organ upplyses om regleringen kring personuppgiftsbehandling. Utskottet vill därför i detta sammanhang påminna om att Datainspektionens webbplats innehåller information på en rad punkter inom dessa områden. Utskottet konstaterar att dataskyddsförordningens direkt tillämpliga bestämmelser kommer att leda till konsekvenser för såväl det allmänna som för privata företag, ideella föreningar och andra enskilda organ. Utskottet delar regeringens bedömning att en fullständig konsekvensanalys av dataskyddsreformen inte låter sig göras i detta lagstiftningsärende. Utskottet noterar att av propositionen framgår att flera remissinstanser har efterlyst mer vägledning kring hur dataskyddsförordningens bestämmelser ska tolkas och tillämpas. I propositionen behandlas inte frågor som rör tillämpningen av dataskyddsförordningens bestämmelser, annat än i samband med resonemang kring behovet och lämpligheten av kompletterande lagstiftning på generell nivå. Utskottet framhåller vikten av att regeringen, i den utsträckning så är möjligt i förhållande till , säkerställer att regelverket utformas så att dataskyddsregleringens bestämmelser tydliggörs och tillämpningen underlättas för såväl det allmänna som för företag, ideella föreningar och andra enskilda organ.