bet · H501KU23 · 2018-04-13 00:00:00 — Utskottet föreslår att antar regeringens förslag till lag med kompletterande bestämmelser till EU:s dataskyddsförordning och förslag till lag om ändring i offentlighets- och sekretesslagen. EU:s dataskyddsförordning, som börjar tillämpas , kommer att utgöra den generella regleringen av personuppgiftsbehandling inom EU. Genom lagförslagen införs vissa allmänna kompletteringar och förtydliganden till dataskyddsförordningens bestämmelser. Lagförslagen innebär att personuppgiftslagen upphävs och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning – dataskyddslagen – införs samt att vissa bestämmelser i offentlighets- och sekretesslagen ändras. Enligt dataskyddslagen ska dataskyddsförordningen, med vissa undantag, gälla även utanför sitt egentliga tillämpningsområde. Dataskyddslagen ska vara subsidiär i förhållande till annan lag eller förordning och möjliggör därmed avvikande bestämmelser i s.k. registerförfattningar. I dataskyddslagen förtydligas bl.a. under vilka förutsättningar vissa personuppgifter får behandlas med stöd av dataskyddsförordningen. Dataskyddslagen innehåller också vissa bestämmelser om begränsning av de registrerades rättigheter samt om skadestånd och överklagande av beslut. I lagen anges även att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Lagändringarna föreslås träda i kraft . I betänkandet finns två reservationer (SD) och ett särskilt yttrande (C). Proposition 2017/18:105 Ny dataskyddslag. Två yrkanden i en följdmotion. Utskottets förslag till riksdagsbeslut Ärendet och dess beredning Ny dataskyddslag och ändringar i offentlighets- och sekretesslagen Rätten att bli bortglömd respektive handel med och spridning av personuppgifter 1.Rätten att bli glömd, punkt 3 (SD) 2.Handel med och spridning av personuppgifter, punkt 4 (SD) Ny dataskyddslag, punkt 1 (C) Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Utskottets förslag till riksdagsbeslut antar regeringens förslag till lag med kompletterande bestämmelser till EU:s dataskyddsförordning. Därmed bifaller proposition 2017/18:105 punkt 1. Ändringar i offentlighets- och sekretesslagen antar regeringens förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400). Därmed bifaller proposition 2017/18:105 punkt 2. Rätten att bli glömd 2017/18:3998 av och (båda SD) yrkande 1. Reservation 1 (SD) Handel med och spridning av personuppgifter 2017/18:3998 av och (båda SD) yrkande 2. Reservation 2 (SD) Följande ledamöter har deltagit i beslutet: (M), (S), (S), (M), (S), (SD), (M), (C), (MP), Dag Klackenberg (M), (SD), (L), (V), Skånberg (KD), (S), (S) och (S). Ärendet och dess beredning utfärdades och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. Dataskyddsförordningen börjar tillämpas . I proposition 2017/18:105 Ny dataskyddslag föreslår regeringen att personuppgiftslagen (1998:204) upphävs och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning införs. Vidare föreslås att vissa bestämmelser i offentlighets- och sekretesslagen (2009:400) ändras. Regeringen redovisar i propositionen ärendets beredning fram till dess att propositionen beslutades. Av denna redovisning framgår i huvudsak följande. överlämnade (Ju 2016:04) betänkandet Ny dataskyddslag – Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). I utredningens uppdrag (dir. 2016:15) ingick att föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till. Betänkandet har remissbehandlats. Remissvaren finns tillgängliga i (Ju2017/04264/L6). har i en promemoria som kompletterar betänkandet lämnat förslag om den nya lagens territoriella tillämpningsområde. Promemorian har remissbehandlats. Remissvaren finns tillgängliga i (Ju2017/06940/L6). Vissa frågor av övergångskaraktär behandlas i Utredningen om 2016 års dataskyddsdirektivs delbetänkande Brottsdatalag (SOU 2017:29, Ju2017/03283/L4). Lagrådet har granskat lagförslagen. Regeringen har i allt väsentligt följt Lagrådets förslag. I förhållande till lagrådsremissens lagförslag har vissa språkliga och redaktionella ändringar gjorts. En förteckning över de behandlade förslagen finns i bilaga 1. Regeringens lagförslag finns i bilaga 2. En följdmotion har lämnats med anledning av propositionen. I propositionen föreslås att personuppgiftslagen (1998:204), förkortad PUL, upphävs och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning, nedan dataskyddslagen, införs. Vidare föreslås att vissa bestämmelser i offentlighets- och sekretesslagen (2009:400), förkortad OSL, ändras. Enligt den föreslagna dataskyddslagen ska dataskyddsförordningen, med vissa undantag, gälla även utanför sitt egentliga tillämpningsområde. Dataskyddslagen föreslås vara subsidiär i förhållande till annan lag eller förordning för att därmed möjliggöra avvikande bestämmelser i s.k. registerförfattningar. I lagförslaget anges att dataskyddsförordningen och den nya lagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. I dataskyddslagen förtydligas bl.a. under vilka förutsättningar vissa personuppgifter får behandlas med stöd av dataskyddsförordningen. Dataskyddslagen innehåller också vissa bestämmelser om begränsning av de registrerades rättigheter samt om skadestånd och överklagande av beslut. Ny dataskyddslag och ändringar i offentlighets- och sekretesslagen Utskottets förslag i korthet antar regeringens förslag till lag med kompletterande bestämmelser till EU:s dataskyddsförordning samt förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400). Jämför det särskilda yttrandet (C). Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Dataskyddsdirektivet gäller inte för behandling av personuppgifter på områden som faller utanför unionsrätten, t.ex. allmän säkerhet och försvar samt statens verksamhet på straffrättens område. Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbeten och straffrättsligt samarbete (dataskyddsrambeslutet) är tillämpligt på informationsutbyte över gränserna. Dataskyddsrambeslutet gäller däremot inte för rent nationell personuppgiftsbehandling inom exempelvis polisens område. Från dataskyddsrambeslutets tillämpningsområde undantas också personuppgiftsbehandling inom området nationell säkerhet. På detta område finns det således inte någon EU-gemensam reglering om behandling av personuppgifter. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom PUL. PUL följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om bl.a. personuppgiftsansvar, grundläggande krav för behandling av personuppgifter och information till den registrerade. PUL är tillämplig även utanför område och gäller för både myndigheter och enskilda som behandlar personuppgifter. Lagen är subsidiär, vilket innebär att dess bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller en förordning. Det finns en stor mängd sådana bestämmelser i sektorsspecifika författningar, s.k. registerförfattningar, som främst reglerar hur olika myndigheter får behandla personuppgifter. PUL kompletteras av bestämmelser i personuppgiftsförordningen (1998:1191), förkortad PUF. I 2 § PUF anges att Datainspektionen är tillsynsmyndighet enligt PUL. Enligt 16 § PUF bemyndigas Datainspektionen att meddela närmare föreskrifter om bl.a. i vilka fall behandling av personuppgifter är tillåten och vilka krav som ställs på den personuppgiftsansvarige. EU:s dataskyddsreform – En ny förordning och ett nytt direktiv antogs en ny allmän dataskyddsförordning[1], som gäller för behandling av personuppgifter generellt, och ett nytt direktiv om skydd för personuppgifter på det brottsbekämpande området[2]. Syftet med det nya regelverket är att modernisera och ersätta reglerna i dataskyddsdirektivet och få till stånd en mer enhetlig tillämpning av dataskyddet inom EU. Dataskyddsförordningen kommer fr.o.m. att ersätta dataskyddsdirektivet och utgöra den generella regleringen av personuppgiftsbehandling inom EU. Enligt artikel 288 andra stycket i fördraget om Europeiska unionens funktionssätt ska en EU-förordning ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat. Trots att dataskyddsförordningen är direkt tillämplig, innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Förordningen har därmed i vissa delar en direktivliknande karaktär. Dataskyddsförordningen ska, precis som dataskyddsdirektivet, tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1). Från dataskyddsförordningens tillämpningsområde undantas behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten eller som utförs av medlemsstaterna när de bedriver verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken (artikel 2.2 a och b). Behandling av personuppgifter som utförs av en fysisk person som ett led i verksamhet av privat natur eller som har samband med hans eller hennes hushåll omfattas inte heller av förordningens bestämmelser (artikel 2.2 c). Vidare gäller förordningen inte för sådan behandling av personuppgifter som utförs av behöriga myndigheter för ändamålen att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straffrättsliga påföljder (artikel 2.2 d). Sådan behandling regleras i stället genom det nya dataskyddsdirektivet. Slutligen ska förordningens bestämmelser inte tillämpas av EU:s institutioner, organ och byråer (artikel 2.3). Den behandling av personuppgifter som sker där regleras i stället genom och rådets förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter. Ett förslag till reviderad förordning om skydd för personuppgifter som behandlas av unionens institutioner, organ, kontor och byråer har lagts fram av kommissionen[3]. Dataskyddsförordningen ska tillämpas på behandling av personuppgifter som sker inom ramen för den verksamhet som bedrivs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad i unionen, oavsett om behandlingen utförs i unionen eller inte (artikel 3.1). En skillnad jämfört med dataskyddsdirektivet är att förordningen under vissa omständigheter ska tillämpas även på behandling av personuppgifter som utförs av personuppgiftsansvariga eller personuppgiftsbiträden som inte är etablerade i unionen. Detta gäller om behandlingen avser registrerade som befinner sig i unionen, under förutsättning att behandlingen har anknytning till antingen utbjudande av varor eller tjänster till sådana registrerade i unionen eller övervakning av deras beteende, så länge beteendet sker inom unionen (artikel 3.2). Slutligen ska dataskyddsförordningen också tillämpas på behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerad i unionen, men på en plats där en medlemsstats nationella rätt gäller enligt folkrätten (artikel 3.3). Dataskyddsförordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll, men innebär även en rad förändringar. Nedan redogörs för de förändringar som särskilt lyfts fram i propositionen (s. 20 f.). Den registrerades rättigheter förstärks i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Den information som ska tillhandahållas den registrerade preciseras och utvidgas och det anges uttryckligen att den personuppgiftsansvarige ska tillhandahålla informationen i en begriplig och lättillgänglig form (artikel 12). Förordningen innebär även en förstärkning av rätten för den registrerade att få åtkomst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataportabilitet (artikel 20). Vidare införs i artikel 17 en tydligare rätt till radering (rätten att bli bortglömd). När informationssamhällets tjänster erbjuds direkt till ett barn, krävs enligt dataskyddsförordningen att samtycke eller godkännande av barnets samtycke i vissa fall inhämtas av den som har föräldraansvar för barnet för att personuppgifter som rör barnet ska få behandlas (artikel 8). Barns särställning och särskilda utsatthet framhålls på flera ställen i förordningen. Genom artikel 33 i förordningen införs en skyldighet för den personuppgiftsansvarige att anmäla till tillsynsmyndigheten om det inträffar en s.k. personuppgiftsincident, dvs. en säkerhetsincident som oavsiktligt påverkar behandlingen av personuppgifter. Även den registrerade ska informeras om incidenten om den sannolikt leder till en hög risk för enskildas rättigheter och friheter (artikel 34). Det införs krav på konsekvensanalyser om en viss behandling sannolikt kommer att leda till hög risk för enskildas rättigheter eller skyldigheter (artikel 35). Den allmänna anmälningsskyldigheten till tillsynsmyndigheten tas däremot bort. Vidare införs det tydligare regler för kommunikation med den registrerade och ansvar för dem som behandlar personuppgifter. Ett krav på inbyggt dataskydd och dataskydd som standard införs (artikel 25). Genom förordningen införs ett nytt gemensamt system med sanktionsavgifter som ska tas ut vid överträdelser av förordningen (artikel 83). Även på andra sätt innebär förordningen ett ökat fokus på en enhetlig tillämpning av dataskyddsreglerna inom EU, t.ex. genom åtgärder som godkännande av uppförandekoder och certifiering. Det införs även en skyldighet för de nationella tillsynsmyndigheterna att samarbeta med varandra och en mekanism för enhetlighet när flera tillsynsmyndigheter är inblandade (kapitel VII, avsnitt 1 och 2). Det införs en ny princip om en enda kontaktpunkt, som ska underlätta för sådana personuppgiftsansvariga som är verksamma i flera medlemsstater, genom att de endast ska behöva vara i kontakt med en av de behöriga tillsynsmyndigheterna. Det införs även ett nytt unionsorgan, Europeiska dataskyddsstyrelsen, som får långtgående befogenheter att uttala sig om tolkningen av förordningen (kapitel VII, avsnitt 3). Förordningen innehåller även en bestämmelse (artikel 86) om personuppgiftsbehandling och allmänhetens tillgång till allmänna handlingar. Av bestämmelsen följer bl.a. att personuppgifter i allmänna handlingar får lämnas ut i enlighet med nationell rätt, för att jämka samman allmänhetens rätt att få tillgång till handlingar med rätten till skydd för personuppgifter i enlighet med förordningen. Ett nytt svenskt regelverk om dataskydd En dataskyddslag införs och personuppgiftslagen upphävs I propositionen föreslås, som ovan har nämnts, att en ny lag med bestämmelser som kompletterar EU:s dataskyddsförordning på ett generellt plan införs och att PUL upphävs. Regeringen konstaterar att dataskyddsförordningen ersätter dataskyddsdirektivet, som har genomförts i svensk rätt huvudsakligen genom PUL, PUF och Datainspektionens föreskrifter. Det noteras att dataskyddsförordningen inte ska genomföras i svensk rätt, utan att den i stället ska tillämpas direkt av enskilda, myndigheter och domstolar. När dataskyddsförordningen börjar tillämpas kommer således den generella regleringen om behandling av personuppgifter att finnas i dataskyddsförordningen. Regeringen anför att det svenska generella regelverket om dataskydd då kan finnas kvar, eftersom det skulle leda till en otillåten dubbelreglering. Enligt regeringen bör därför PUL upphävas. I propositionen anges att dataskyddsförordningen både förutsätter och medger nationella bestämmelser som kompletterar eller föreskriver undantag från förordningens regler. Enligt regeringen bör därför, som ett komplement till förordningen, vissa generella kompletterande bestämmelser till dataskyddsförordningen samlas i en ny övergripande lag om dataskydd (dataskyddslagen). Regeringen konstaterar att regleringen i dataskyddsförordningen innebär att det även fortsättningsvis finns ett utrymme för sådan sektorsspecifik särreglering om behandling av personuppgifter som finns i de svenska registerförfattningarna. Anpassningen av sådana sektorsspecifika författningar behandlas inte i det lagstiftningsärende som är aktuellt. Inte heller behandlas frågor som rör tillämpningen av dataskyddsförordningens bestämmelser, annat än i samband med resonemang kring behovet och lämpligheten av kompletterande lagstiftning på generell nivå. Förslaget till en ny dataskyddslag Som ovan har nämnts, föreslås den nya dataskyddslagen komplettera och förtydliga dataskyddsförordningens bestämmelser i vissa avseenden. Nedan redogörs särskilt för vissa bestämmelser i den föreslagna dataskyddslagen. Dataskyddslagen ska vara subsidiär I förslaget till dataskyddslag, 1 kap. 6 §, anges att om en annan lag eller en förordning innehåller någon bestämmelse som avviker från dataskyddslagen, ska den avvikande bestämmelsen tillämpas. Enligt förslaget ska dataskyddslagen således vara subsidiär i förhållande till avvikande bestämmelser i annan författning. En motsvarande bestämmelse finns i 2 § PUL. Begränsningen i den föreslagna bestämmelsen till avvikande bestämmelser i lag och förordning innebär att myndighetsföreskrifter inte ska ha företräde framför dataskyddslagen. I författningskommentaren anges att förslaget innebär en möjlighet att avvika från dataskyddslagen och inte en möjlighet att införa bestämmelser som avviker från dataskyddsförordningen (prop. s. 187). Regeringen utvecklar skälen för förslaget i avsnitt 5.1.3 och anför att dataskyddslagen kommer att innehålla endast övergripande och generella bestämmelser samt att de flesta bestämmelser som kompletterar dataskyddsförordningen kommer att finnas i någon annan författning. Enligt regeringen krävs det enligt 8 kap. 2 § första stycket 2 och 3 § regeringsformen bemyndiganden i lag för att anslutande föreskrifter ska kunna meddelas av regeringen eller av en förvaltningsmyndighet. När det däremot gäller sektorsspecifika författningar som enbart rör behandling av personuppgifter som utförs av statliga myndigheter som lyder under regeringen förhåller det sig annorlunda enligt regeringen. Regeringen anser att sådana föreskrifter som direkt eller indirekt rör behandling av personuppgifter kan, med undantag för de fall som avses i 2 kap. 6 § andra stycket regeringsformen, meddelas av regeringen med stöd av dess restkompetens enligt 8 kap. 7 § första stycket 2 regeringsformen. Regeringen konstaterar att det finns ett stort antal förordningar av detta slag. Vidare kan enligt regeringen sektorsspecifika föreskrifter som reglerar kommunala myndigheters eller enskilda organs behandling av personuppgifter meddelas med stöd av bemyndiganden i annan lag än dataskyddslagen. I sitt yttrande över förslaget till bestämmelsen i 1 kap. 6 § dataskyddslagen anförde Lagrådet i huvudsak att det av lagrådsremissen inte framgick i vilken omfattning det var tänkt att det skulle förekomma förordningsbestämmelser på området. Enligt Lagrådet redovisades det inte heller några överväganden om hur den föreslagna regleringen i 1 kap. 6 § dataskyddslagen förhöll sig till den formella lagkraftens princip enligt 8 kap. 18 § regeringsformen. Den omständigheten att PUL innehåller en subsidiaritetsbestämmelse och att det förekommer förordningar som rör behandling av personuppgifter borde enligt Lagrådet inte vara tillräckligt för att begränsa den formella lagkraftens princip. Lagrådet anförde även att skälen för en ordning som innebär att föreskrifter i förordning ska gälla framför dataskyddslagens bestämmelser fick övervägas vidare under den fortsatta beredningen. I propositionen utvecklar regeringen sina överväganden i dessa avseenden. Regeringen anför att som Lagrådet påpekade innebär en ordning enligt vilken föreskrifter i förordning ska gälla framför dataskyddslagens bestämmelser att räckvidden av den formella lagkraftens princip enligt 8 kap. 18 § regeringsformen begränsas. Enligt regeringen är det emellertid på dataskyddsområdet en väl etablerad ordning att även föreskrifter på förordningsnivå kan ges företräde framför den generella regleringen om skydd för personuppgifter. Regeringen konstaterar att en förutsättning för detta givetvis är att föreskrifterna har beslutats med stöd av regeringens restkompetens eller med stöd av ett bemyndigande i lag. Vidare kommer det enligt regeringens bedömning även i fortsättningen att finnas ett stort behov av både lagar och förordningar som innehåller bestämmelser som rör behandling av personuppgifter. Det anförs att dessa bestämmelser i första hand kommer att komplettera dataskyddsförordningen men att de i vissa fall kan avse frågor som också regleras i dataskyddslagen. Regeringen gör mot denna bakgrund bedömningen att såväl lagar som förordningar som avviker från dataskyddslagen bör ha företräde framför bestämmelserna i dataskyddslagen, på motsvarande sätt som har gällt i förhållande till PUL. I sammanhanget noterar regeringen att den bestämmelse om subsidiaritet som föreslås i dataskyddslagen kommer att få en betydligt mer begränsad betydelse än dess motsvarighet i 2 § PUL, även om dess innebörd är densamma. Detta beror enligt regeringen på att dataskyddslagen, till skillnad mot PUL, inte är heltäckande utan endast reglerar vissa frågor. Regeringen föreslår sammanfattningsvis att dataskyddslagen ska vara subsidiär. Dataskyddsförordningens materiella tillämpningsområde utsträcks Som ovan har framgått, har dataskyddsförordningen i likhet med dataskyddsdirektivet ett begränsat materiellt tillämpningsområde. Förordningen ska således inte tillämpas på bl.a. behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten eller på behandling av personuppgifter som medlemsstaterna utför när de bedriver verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken (artikel 2.2 a och 2.2 b). Enligt 1 kap. 2 § i förslaget till dataskyddslag ska dock bestämmelserna i dataskyddsförordningen och dataskyddslagen gälla även vid sådan behandling av personuppgifter. Genom den föreslagna paragrafen, som saknar motsvarighet i PUL, utsträcks det materiella tillämpningsområdet för dataskyddsförordningens bestämmelser, i den mån dessa kan tillämpas i rent nationella sammanhang. Av författningskommentaren framgår bl.a. att förslaget innebär att dataskyddsförordningens bestämmelser ska gälla som svensk rätt även vid personuppgiftsbehandling som utförs i sådan verksamhet som enligt artikel 2.2 a och 2.2 b i dataskyddsförordningen är undantagen från förordningens tillämpningsområde (se prop. s. 183 f.). Det utsträckta tillämpningsområdet föreslås emellertid inte gälla i verksamhet som omfattas av lagen om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst, lagen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet eller 6 kap. polisdatalagen (se 1 kap. 3 § i förslaget till dataskyddslagen). Förslaget i denna del innebär att dataskyddsförordningens och dataskyddslagens bestämmelser inte ska gälla i nu nämnd verksamhet.