bet · H501KU23 · 2018-04-13 00:00:00 — Utskottet anser att de förslag som lämnas i propositionen framstår som väl avvägda utifrån behovet av de anpassningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till. Utskottet ställer sig därför bakom de överväganden som görs i propositionen. Utskottet föreslår att antar regeringens förslag till dataskyddslag och förslag till ändringar i offentlighets- och sekretesslagen (2009:400). Rätten att bli bortglömd respektive handel med och spridning av personuppgifter Utskottets förslag i korthet avslår två motionsyrkanden om tillkännagivande om rätten att bli bortglömd respektive handel med och spridning av personuppgifter. Jämför reservation 1 (SD) och 2 (SD). och (båda SD) begär i motion 2017/18:3998 yrkande 1 ett tillkännagivande om en utredning av regleringen om rätten att bli bortglömd. Motionärerna anser att utredningen bör fokusera på hur regleringen i dataskyddsförordningen om rätten att bli bortglömd kan få en ännu större genomslagskraft. Utredningen bör enligt motionärerna överväga bl.a. förutsättningarna för att införa en straffsanktionerad skyldighet för samtliga aktörer på internet att radera personuppgifter i vid bemärkelse. Vidare begär motionärerna ett tillkännagivande om en utredning av hur handeln med och spridningen av personuppgifter kan begränsas ytterligare (yrkande 2). Motionärerna anser att det i princip ska råda ett totalförbud mot handel med personuppgifter, såvida inte den registrerade har lämnat ett tydligt samtycke i varje enskilt fall. Enligt motionärerna ska utredningen även se över i vilken utsträckning det är möjligt att begränsa spridningen av personuppgifter, för att säkerställa att personuppgifter inte sprids utanför gränser. Dataskyddsförordningens reglering om rätt till radering (”rätten att bli bortglömd”) Av skäl 65 och 66 i dataskyddsförordningen framgår följande. Den registrerade bör ha rätt att få sina personuppgifter rättade och en rätt att bli bortglömd, om lagringen av uppgifterna strider mot förordningen eller unionsrätten eller medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av. En registrerad bör särskilt ha rätt att få sina personuppgifter raderade och kunna begära att dessa personuppgifter inte behandlas, om de inte längre behövs med tanke på de ändamål för vilka de samlats in eller på annat sätt behandlats, om en registrerad har återtagit sitt samtycke till behandling eller invänder mot behandling av personuppgifter som rör honom eller henne, eller om behandlingen av hans eller hennes personuppgifter på annat sätt inte överensstämmer med förordningen. Denna rättighet är särskilt relevant när den registrerade har gett sitt samtycke som barn, utan att vara fullständigt medveten om riskerna med behandlingen, och senare vill ta bort dessa personuppgifter, särskilt på internet. Den registrerade bör kunna utöva denna rätt även när han eller hon är barn. Ytterligare lagring av personuppgifterna bör dock vara laglig, om detta krävs för att utöva yttrandefrihet och informationsfrihet, för att uppfylla en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som anförtrotts den personuppgiftsansvarige, med anledning av ett allmänt intresse inom folkhälsoområdet, för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål eller för fastställande, utövande eller försvar av rättsliga anspråk. För att stärka ”rätten att bli bortglömd” i nätmiljön bör rätten till radering utvidgas genom att personuppgiftsansvariga som offentliggjort personuppgifter är förpliktade att vidta rimliga åtgärder, däribland tekniska åtgärder, för att informera de personuppgiftsansvariga som behandlar dessa personuppgifter om att den registrerade har begärt radering av alla länkar till och kopior eller reproduktioner av dessa personuppgifter. I samband med detta bör den personuppgiftsansvarige vidta rimliga åtgärder, med beaktande av tillgänglig teknik och de hjälpmedel som står den personuppgiftsansvarige till buds, däribland tekniska åtgärder, för att informera de personuppgiftsansvariga som behandlar personuppgifterna om den registrerades begäran. Dataskyddsförordningen innehåller en bestämmelse, artikel 17, om rätt till radering (”rätten att bli bortglömd”). I artikel 17.1 anges att den registrerade ska ha rätt att utan onödigt dröjsmål få sina personuppgifter raderade av den personuppgiftsansvarige och att den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter under vissa förutsättningar. Således ska personuppgifterna raderas om något av följande gäller (artikel 17.1 a–f): – Om uppgifterna inte längre behövs för de ändamål som de samlades in för. – Om behandlingen grundar sig på den registrerades samtycke och han eller hon återkallar samtycket. – Om behandlingen sker för direkt marknadsföring och den registrerade motsätter sig att uppgifterna behandlas. – Om den enskilde motsätter sig personuppgiftsbehandling som sker inom ramen för myndighetsutövning eller efter en intresseavvägning och det inte finns berättigade skäl som väger tyngre än den registrerades intresse. – Om personuppgifterna har behandlats olagligt. – Om radering krävs för att uppfylla en rättslig förpliktelse. – Om personuppgifterna avser barn och har samlats in i samband med erbjudande av informationssamhällets tjänster. Av artikel 19 i dataskyddsförordningen följer att om uppgifter raderas på den registrerades begäran, måste den personuppgiftsansvarige också informera varje mottagare till vilken den personuppgiftsansvarige har lämnat ut den registrerades personuppgifter om raderingen. Det gäller dock inte om detta skulle visa sig vara omöjligt eller medföra en oproportionerlig ansträngning. Den registrerade har också rätt att begära att få information om till vem hans eller hennes personuppgifter har lämnats ut. I artikel 17.2 i dataskyddsförordningen föreskrivs att om den personuppgiftsansvarige har offentliggjort personuppgifterna och är skyldig att radera personuppgifterna enligt regleringen i artikel 17.1, ska den personuppgiftsansvarige med beaktande av tillgänglig teknik och kostnaden för genomförandet vidta rimliga åtgärder, inbegripet tekniska åtgärder, för att underrätta personuppgiftsansvariga som behandlar personuppgifterna om att den registrerade har begärt att de ska radera eventuella länkar till, eller kopior eller reproduktioner av dessa personuppgifter. Av bestämmelsen i artikel 17.2 följer alltså att när personuppgifterna har publicerats eller på annat sätt gjorts offentliga (exempelvis i ett socialt nätverk, ett internetforum eller på en webbsida) räcker det inte alltid att de raderas där. I dessa situationer ska den som offentliggjort uppgifterna också vidta rimliga åtgärder för att informera andra som behandlar uppgifterna om den registrerades begäran så att även kopior av eller länkar till uppgifterna tas bort. I artikel 17.3 i dataskyddsförordningen finns undantag från den registrerades rätt till radering (artikel 17.1) och den personuppgiftsansvariges informationsskyldighet (artikel 17.2), bl.a. om personuppgiftsbehandlingen är nödvändig för att utöva rätten till yttrande- och informationsfrihet, uppfylla en rättslig förpliktelse, utföra en uppgift av allmänt intresse eller om behandlingen är ett led i myndighetsutövning. Dataskyddsförordningen om det fria flödet av personuppgifter inom EU I skäl 3 i dataskyddsförordningen anges att dataskyddsdirektiv syftar till att harmonisera skyddet av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter och att säkerställa det fria flödet av personuppgifter mellan medlemsstaterna. I skäl 9 konstateras att målen och principerna direktiv är giltiga, men att dataskyddsdirektivet inte har kunnat förhindra bristande enhetlighet i genomförandet och tillämpningen av dataskyddet i olika delar av unionen. Det anförs att skillnader i nivån på skyddet av personuppgifter kan förhindra det fria flödet av personuppgifter och därför kan utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, snedvrida konkurrensen och hindra myndigheterna från att fullgöra sina skyldigheter enligt unionsrätten. I skäl 5 anförs att den ekonomiska och sociala integration som uppstått tack vare den inre marknaden har lett till en betydande ökning av de gränsöverskridande flödena av personuppgifter. Det konstateras att utbytet av personuppgifter mellan offentliga och privata aktörer, inbegripet fysiska personer, sammanslutningar och företag över hela unionen har ökat. Nationella myndigheter i medlemsstaterna uppmanas i unionsrätten att samarbeta och utbyta personuppgifter för att vara i stånd att fullgöra sina uppdrag eller utföra arbetsuppgifter för en myndighet som finns i en annan medlemsstat. I skäl 6 anges bl.a. att tekniken har omvandlat både ekonomin och det sociala livet och bör ytterligare underlätta det fria flödet av personuppgifter inom unionen samt överföringar till tredjeländer och internationella organisationer, som en hög skyddsnivå säkerställs för personuppgifter. Enligt skäl 10 bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater för att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen. I skäl 12 påminns om att i artikel 16.2 i EUF-fördraget[4] bemyndigas och rådet att fastställa bestämmelser om skydd för fysiska personer när det gäller behandling av personuppgifter och bestämmelser om den fria rörligheten för personuppgifter. För att säkerställa en enhetlig skyddsnivå över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden behövs, enligt skäl 13 i förordningen, en förordning som skapar rättslig säkerhet och öppenhet för ekonomiska aktörer och som ger fysiska personer i alla medlemsstater samma rättsligt verkställbara rättigheter och skyldigheter samt ålägger personuppgiftsansvariga och personuppgiftsbiträden samma ansvar. På så sätt blir övervakningen av behandling av personuppgifter enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt. Utskottet har senast under innevarande (bet. 2017/18:KU38 s. 17 f.) behandlat motionsyrkanden om bl.a. offentlighetsprincipen och skyddet av den personliga integriteten, tillgången till uppgifter ur offentliga register samt konsumenters integritet och rättigheter vid internethandel. Utskottet ansåg, i likhet med i ett tidigare ställningstagande (bet. 2016/17:KU15 s. 28), att det är viktigt att värna den personliga integriteten och att den tekniska utvecklingen har medfört nya risker samt att det på många områden krävs noggranna avvägningar mellan olika intressen och skyddet av den personliga integriteten för att en godtagbar balans ska uppnås. Utskottet anförde att pågående beredning av utredningsförslag inom inte borde föregripas och noterade även att regeringen avsåg att genomföra förändringar i Datainspektionens uppdrag och verksamhet. Motionsyrkandena avstyrktes därför. Liberalerna, och reserverade sig mot vissa motionsyrkanden. Utskottet anser inte att det finns anledning att föreslå ett tillkännagivande om rätten att bli bortglömd och avstyrker därför motion 2017/18:3998 yrkande 1. Utskottet anser inte heller att det finns anledning att föreslå ett tillkännagivande om handel med respektive spridning av personuppgifter. Utskottet avstyrker därför motion 2017/18:3998 yrkande 2. Rätten att bli glömd, punkt 3 (SD) av (SD) och (SD). Vi anser att förslaget till riksdagsbeslut under punkt 3 borde ha följande lydelse: ställer sig bakom det som anförs i reservationen och tillkännager detta för regeringen. 2017/18:3998 av och (båda SD) yrkande 1. saknade representation i och rådet när originalförslaget till EU:s dataskyddsförordning introducerades. Vi har därför inte haft möjlighet att lägga fram ändringsförslag eller reservationer. När slutkompromissen var uppe för beslut i utskott för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor röstade nej till förordningen. Medan ställer sig positiva till en ökad reglering av användningen av personuppgifter är vi oroade över dataskyddsförordningens komplexitet när det gäller framför allt små och medelstora företag. Vi ställer oss därutöver kritiska till den maktförflyttning som dataskyddsförordningen och liknande EU-förordningar med tydliga överstatliga och federala inslag innebär och anser bestämt att detta bör motarbetas. Givet de förutsättningar som antagandet inom EU av dataskyddsförordningen innebär motsätter vi oss dock inte regeringens ansatser i nu aktuell proposition. Däremot önskar vi att bygga ut den enligt vad som anförs nedan i denna reservation och i vår reservation 2. Vi anser att med den ökade internetanvändningen har människors integritet – frivilligt eller ofrivilligt – blivit alltmer exponerad. Vi är trots vårt EU-motstånd därför positivt överraskade över dataskyddsförordningens regler om rätten att bli bortglömd. Vi vill dock se en nationell utredning som enbart fokuserar på hur rätten att bli bortglömd kan få än större genomslagskraft. Till exempel bör en sådan utredning ta ställning till om alla aktörer som befinner sig på internet bör få en ovillkorlig skyldighet att omgående och i ett sammanhang radera samtliga uppgifter de har om en fysisk person. En sådan utredning bör även överväga om ett underlåtande av detta bör kriminaliseras. Rätten att bli glömd måste vara långtgående och omfatta alla former av personuppgifter såväl som övriga data kopplade till enskilda personer. Exempel på sådana data kan vara inlägg på forum och i sociala medier. Även chattloggar och liknande bör omfattas av rätten att bli glömd. För att underlätta polisutredningar kan utredningen se över möjligheten att sådana data sparas krypterat även efter att någon valt att bli bortglömd, men att då endast relevanta rättsvårdande myndigheter genom domstolsbeslut kan få tillgång till informationen. Handel med och spridning av personuppgifter, punkt 4 (SD) av (SD) och (SD). Vi anser att förslaget till riksdagsbeslut under punkt 4 borde ha följande lydelse: ställer sig bakom det som anförs i reservationen och tillkännager detta för regeringen. 2017/18:3998 av och (båda SD) yrkande 2. Vår principiella inställning till dataskyddsförordningen framgår av reservation 1. Som där anges, motsätter vi oss inte regeringens ansatser i nu aktuell proposition, men vi anser att en utredning bör utreda också frågor om handel med och spridning av personuppgifter enligt följande. är det svårt att ens gå online eller registrera sig på sociala medier utan att tvingas gå med på att operatören får rätt att överlåta ens uppgifter till tredje man. En utredning bör även få i uppgift att se över hur handeln med personuppgifter kan begränsas ytterligare. I princip bör det råda ett totalförbud mot handel med personuppgifter med mindre att varje individ ger sitt samtycke varje gång detta sker. Samtycket måste också vara tydligt, och får inte gömmas i långa avtal som är alltför komplexa och omfattande för att enskilda på ett enkelt sätt ska kunna förstå innebörden av vad de går med på att acceptera. När det gäller spridning av personuppgifter bör utgångspunkten i stället vara segmentering där servrar som lagrar dessa uppgifter ska finnas i samma land som användarna. Med dataskyddsförordningen vill EU att spridningen av uppgifter inom EU, och till viss del även till tredjeland ska underlättas. Vi är av motsatt uppfattning. I stället bör utredningen se över vilka möjligheter har att säkerställa hur personuppgifter som regel ska stanna kvar inom landets gränser i så stor utsträckning som möjligt. Ny dataskyddslag, punkt 1 (C) (C) anför: För , som beslutar om den nya dataskyddslagen, är det angeläget att kunna överblicka konsekvenserna av hela dataskyddslagstiftningen. För de som i sin verksamhet ska tillämpa den och som kan drabbas av mycket höga sanktionsavgifter om reglerna inte följs är det nödvändigt att förstå lagstiftningen. Regeringen anger dock i propositionen att en samlad konsekvensbedömning av dataskyddsreformen inte går att göra i ett enskilt lagstiftningsärende. I remissvaren över utredningen som ligger till grund för den nya dataskyddslagen har man pekats på att många ideella föreningar kommer att drabbas av lagförslagets ökade krav när det gäller hanteringen av personuppgifter. Detta gäller bl.a. föreningarnas medlemsregister och bearbetning av dessa. Jag anser liksom flera remissinstanser att det är anmärkningsvärt att förslagens inverkan på föreningar och civilsamhället inte har nämnts i utredningsarbetet och inte har belysts i regeringens proposition om en ny dataskyddslag. I EU:s dataskyddsförordning anges att medlemsstaterna bör anta lagstiftningsåtgärder som fastställer olika undantag som behövs för att skapa balans mellan grundläggande rättigheter, alltså yttrande- och tryckfrihet i förhållande till personlig integritet. Ett sådant undantag finns i dataskyddslagens 1 kap. 7 §, där rätten ges, att för journalistiska ändamål och för akademiskt, konstnärligt eller litterärt skapande använda dataregister med personuppgifter och på olika sätt datamässigt bearbeta dessa registeruppgifter. Jag anser att dataskyddslagstiftningen skulle behöva tydliggöra vad som är konstnärligt och akademiskt skapande och göra avgränsningar i hur personuppgifter databehandlingsmässigt får användas i dessa verksamheter. Att i lagstiftningen helt överlämna tolkningen av vad som är konstnärligt och akademiskt skapande till rättspraxis skapar en stor osäkerhet. Förteckning över behandlade förslag Proposition 2017/18:105 Ny dataskyddslag: 1.Riksdagen antar regeringens förslag till lag med kompletterande bestämmelser till EU:s dataskyddsförordning. 2.Riksdagen antar regeringens förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400). 2017/18:3998 av och (båda SD): 1.Riksdagen ställer sig bakom det som anförs i motionen om rätten att bli glömd och tillkännager detta för regeringen. 2.Riksdagen ställer sig bakom det som anförs i motionen om handel med och spridning av personuppgifter och tillkännager detta för regeringen. [1] och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). [2] och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. [3] COM(2017) 8 final Förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ, kontor och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut /2002/EG. [4] Fördraget om Europeiska unionens funktionssätt. Fru talman och kära utskottskollegor - god morgon! har till detta betänkande, som handlar om en ny dataskyddslag, två reservationer. Jag yrkar bifall till reservationerna 1 och 2. har vi kunnat följa turerna kring hur känsliga data om oss som användare har läckt ut från världens största sociala medieplattform, Facebook. Vi vet att alla data vi delar med oss av, både frivilligt och ofrivilligt, bara genom att nyttja tjänster på internet används av företag runt om i världen för att kartlägga och tjäna pengar på oss användare. Det är ett obestridligt faktum att den kartläggning som pågår under dygnets alla timmar och runt om i hela världen saknar motstycke i historien, fru talman. Rätten att inte bli kartlagd finns dock inskriven i vår grundlag. I regeringsformens andra kapitel tydliggörs att "ingen svensk medborgare får utan samtycke antecknas i ett allmänt register enbart på grund av sin politiska åskådning". Det stadgas också att var och en är skyddad gentemot det allmänna mot intrång "samt mot undersökning av brev eller annan förtrolig försändelse och mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande". Det står även uttryckligen att man ska vara skyddad gentemot det allmänna "mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden". Jag vågar nog påstå att de regler om skyddet av vår integritet som finns inskrivna i vår grundlag inte räcker till ens på långa vägar. I de paragrafer i regeringsformen som reglerar detta används, som ni hörde, begreppet "gentemot det allmänna". Det handlar således om staten. Den datainsamling som Facebook och andra privata företag bedriver mot svenska medborgare skulle aldrig vara laglig om den bedrevs av vår egen stat. Faktum är, fru talman, att privata företag på andra sidan vet mer om svenska medborgare än vad svenska staten eller ens våra närmaste gör. Det här måste få ett slut. Bestämmelserna i vår grundlag måste förstärkas, och reglerna måste omfatta även Facebook och andra internationella företag. STYLEREF Kantrubrik \* MERGEFORMAT Ny dataskyddslag Det finns de som säger att den som inte har någonting att dölja inte heller har någonting att vara orolig för. Alla här inne och alla ni som tittar på detta just nu har i livet gjort, sagt eller skrivit något - kanske tagit en bild eller fastnat på en bild - som ni ångrar. Därför menar jag, fru talman, att alla i någon mening faktiskt har något att dölja - något vi inte är stolta över och som vi inte vill ska komma någon annan till del. Människor gör mänskliga misstag, och det måste vi tillåtas göra. Med all den information som finns lagrad om oss ökar självklart också riskerna för intrång i våra privata liv. Att de företag vi ger all denna information till använder den för kartläggning är såklart illa nog, men än värre är det om informationen läcker genom exempelvis dataintrång. Låt mig ta ett exempel: noterades ett enormt säkerhetshål i routrar från en särskild tillverkare. Tillverkaren var och är än en av de största på den internationella marknaden, och dess produkter finns sannolikt i tiotusentals eller till och med hundratusentals svenska hem. I praktiken innebar säkerhetshålet att betydande delar av de här personernas privata hårddiskar stod öppna för alla i hela världen. Någon kanske tänker att det ändå bara kan röra sig om ett fåtal individer som har den kunskap som krävs för att använda den här typen av säkerhetshål och således komma åt innehållet. Men det tar att skaffa sig den kunskap som krävs, även för den som saknar större förkunskaper. efter att någon fått den kunskapen kan samma person kopiera eller radera hela eller delar av din eller min privata hårddisk. Den nya dataskyddslagen är en förbättring gentemot den tidigare personuppgiftslagen, men den går inte långt nog. I två avseenden vill gå längre än regeringen och de övriga partierna. För det första menar vi att rätten att bli glömd, vilken i praktiken gäller den som vill radera sitt konto, måste bli absolut. Personen måste garanteras att precis alla uppgifter om och spår av dennes närvaro faktiskt raderas. För det andra vill stoppa den spridning av och handel med personuppgifter som bedrivs - och som tyvärr kommer att kunna fortsätta bedrivas även med det nuvarande förslaget till ny dataskyddslag. I princip bör det råda ett totalförbud mot handel med personuppgifter om inte varje individ ger sitt uttryckliga samtycke varje gång det sker.