bet · H501FiU37 · 2018-04-18 00:00:00 — Utskottet ställer sig bakom regeringens förslag till ändringar i kreditupplysningslagen och till ändring i lagen om 1996 års . Genom ändringarna anpassas kreditupplysningslagen till EU:s nya dataskyddsförordning när det gäller vilka krav som ställs vid behandling av personuppgifter och vilken information som ska lämnas till den registrerade. Förslagen innebär att behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning kommer att vara förbjudet i kreditupplysningsverksamhet. Förslagen innebär vidare att när en kreditupplysning lämnas ut ska fysiska personer ha rätt till information om bl.a. varifrån uppgifterna har hämtats, hur länge de kommer att lagras och möjligheten att klaga hos Datainspektionen. En fysisk persons rätt att få tillgång till personuppgifter som rör honom eller henne kommer i fortsättningen att regleras i EU:s dataskyddsförordning. Genom ändringen i lagen om 1996 års tas en hänvisning till personuppgiftslagen bort. Slutligen redovisar regeringen sin bedömning att det inte bör införas något förbud i kreditupplysningslagen mot att en kreditupplysning om en näringsidkare innehåller uppgifter om betalningsförsummelse som inte har fastställts av en domstol eller . Lagändringarna föreslås träda i kraft . Inga motioner har lämnats med anledning av propositionen. Proposition 2017/18:120 Kreditupplysningslagen och dataskyddsförordningen. Utskottets förslag till riksdagsbeslut Ärendet och dess beredning Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Utskottets förslag till riksdagsbeslut antar regeringens förslag till 1. lag om ändring i kreditupplysningslagen (1973:1173), 2. lag om ändring i lagen (2012:318) om 1996 års . Därmed bifaller proposition 2017/18:120 punkterna 1 och 2. Följande ledamöter har deltagit i beslutet: (S), (M), (M), (S), (SD), (S), (C), (MP), (M), (S), (SD), (L), (KD), (S), (M) och (V). Ärendet och dess beredning Utskottet behandlar proposition 2017/18:120 Kreditupplysningslagen och dataskyddsförordningen. Regeringens förslag till riksdagsbeslut framgår av bilaga 1. Regeringens lagförslag finns i bilaga 2. Lagrådet har granskat lagförslagen, och regeringen har följt Lagrådets förslag. Inga motioner har väckts med anledning av propositionen. Allmänna EU-regler om behandling av personuppgifter finns i dataskyddsdirektivet[1]. Syftet med direktivet är att garantera skyddet för enskildas grundläggande fri- och rättigheter vid personuppgiftsbehandling. Ett annat syfte är att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet gäller inte för behandling av personuppgifter på områden som faller utanför unionsrätten. Dataskyddsdirektivet har genomförts i svensk rätt framför allt genom personuppgiftslagen (1998:204). Personuppgiftslagen (PUL) är tillämplig även utanför direktivets tillämpningsområde och gäller för myndigheter och enskilda som behandlar personuppgifter. Lagen är dessutom subsidiär, vilket innebär att lagens bestämmelser inte ska tillämpas om det finns regler i en annan författning som avviker. I hög grad finns avvikande dataskyddsregler i vad som brukar kallas särskilda registerförfattningar eller andra informationshanteringsförfattningar. Dessa författningar reglerar i huvudsak hur olika statliga och kommunala myndigheter får behandla personuppgifter. En del författningar reglerar dataskyddet nästan fullständigt, medan andra innehåller enstaka bestämmelser som anger hur författningarna förhåller sig till PUL:s reglering. Utöver detta finns det även författningar som innehåller bestämmelser om personuppgiftsbehandling, men inte omfattar regler om registerföring. Slutligen finns bestämmelser om personuppgifter även i författningar som främst syftar till annat än att reglera personuppgiftsbehandling. utfärdades dataskyddsförordningen[2]. Förordningen är en ny övergripande reglering för personuppgiftsbehandling inom EU som, när den börjar tillämpas , ersätter dataskyddsdirektivet. Till stor del utgår dataskyddsförordningen från dataskyddsdirektivets struktur och innehåll, men förordningen innehåller även en rad nyheter. Förordningen syftar i huvudsak till att ytterligare harmonisera och effektivisera skyddet för personuppgifter så att den inre marknadens funktion förbättras och enskildas kontroll över sina personuppgifter stärks. En EU-förordning är direkt tillämplig i medlemsstaterna. Det innebär att när dataskyddsförordningen börjar tillämpas kommer den att ersätta PUL som det generella regelverk som reglerar behandling av personuppgifter. Regeringen föreslår i proposition 2017/18:105 Ny dataskyddslag en ny lag: lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Den kommer att upphäva PUL och på ett generellt plan komplettera och i viss utsträckning innehålla undantag från dataskyddsförordningen. Dataskyddsreformen leder till ett behov av att se över nationell sektorspecifik dataskyddsreglering. Bara om förordningen ger utrymme för det kommer bestämmelser som avviker från eller dubblerar bestämmelser i dataskyddsförordningen att kunna behållas. Emellertid ger dataskyddsförordningen ett relativt stort utrymme för att behålla eller införa särregleringar för sådan personuppgiftsbehandling som är nödvändig för att den som är personuppgiftsansvarig ska kunna uppfylla en rättslig skyldighet, utföra en uppgift av allmänt intresse eller behandla uppgifter i samband med myndighetsutövning. Dessutom behöver även hänvisningar i olika författningar till PUL tas bort. Kreditupplysningslagen (1973:1173) innehåller bestämmelser om kreditupplysningsverksamhet som bedrivs yrkesmässigt. Syftet med lagen är främst att undanröja risker för att kreditupplysningar ska medföra otillbörligt intrång i enskildas personliga integritet. Lagen ska bidra till en effektivt fungerande kreditupplysningsverksamhet. Kreditupplysningslagen innehåller bestämmelser om kreditupplysningar om både fysiska och juridiska personer. Lagen är inte heltäckande, utan även personuppgiftslagen kan vara tillämplig i kreditupplysningsverksamhet. Kreditupplysningar om fysiska personer utgör vanligtvis personuppgifter. Det innebär att PUL:s reglering av behandlingen av sådana uppgifter är tillämplig, om inte något annat följer av kreditupplysningslagen. Denna lag innehåller även ett antal bestämmelser som reglerar förhållandet mellan kreditupplysningslagen och PUL. Enligt kreditupplysningslagen avses med kreditupplysningar uppgifter, omdömen eller råd som lämnas för bedömning av någon annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende. I huvudsak består kreditupplysningar av ekonomisk information, t.ex. uppgifter om inkomster, fastighetsinnehav och betalningsförsummelser. Även andra uppgifter kan ingå, såsom civilstånd. I kreditupplysningsverksamhet fattas inte några beslut om kredit. Trots att en kreditgivares beslut enbart grundas på automatiserad behandling av uppgifter som är avsedda för att bedöma en persons kreditvärdighet är det inte i kreditupplysningsverksamheten som beslutet fattas. Kreditupplysningslagen ställer upp vissa väsentliga krav på hur verksamheten ska bedrivas. För känsliga uppgifter, t.ex. uppgifter om etniskt ursprung, hälsa och lagöverträdelser som innefattar brott, gäller särskilda och hårdare regler. När det gäller uppgifter om fysiska personer som inte är näringsidkare uppställs en frist för när gallring senast ska göras. När en kreditupplysning om en fysisk person lämnas ska den som frågan gäller få en kreditupplysningskopia. har också rätt att få besked om vilka uppgifter som finns registrerade om honom eller henne och att få felaktiga eller missvisande uppgifter rättade. Kreditupplysningslagen innehåller även bestämmelser om skadestånd och straff för överträdelser av vissa bestämmelser. Huvudregeln är att sådan kreditupplysningsverksamhet som omfattas av lagen endast får bedrivas efter tillstånd av Datainspektionen, som även utövar tillsyn över att lagen följs. Regeringen har tagit fram promemorian En anpassning till dataskyddsförordningen – kreditupplysningslagen och några andra författningar (Ds 2017:26). I promemorian lämnas förslag på anpassningar av författningar på familjerättens och den allmänna förmögenhetsrättens områden med anledning av dataskyddsförordningen. Regeringen remitterade promemorian (Ju2017/05721/L2). I propositionen ingår även frågan om en kreditupplysning om en näringsidkare ska få innehålla uppgifter om skulder som inte har fastställts av en domstol eller . beslutade om ett tillkännagivande om att regeringen bör överväga en ändring i kreditupplysningslagen så att kreditupplysningar om en näringsidkare inte omfattar skulder som inte blivit fastställda av en domstol eller (bet. 2015/16:FiU22 punkt 5, rskr. 2015/16:195). Utskottets förslag i korthet antar regeringens lagförslag. I proposition 2017/18:120 Kreditupplysningslagen och dataskyddsförordningen föreslår regeringen ändringar i kreditupplysningslagen (1973:1173) som anpassar lagen till EU:s nya dataskyddsförordning när det gäller vilka krav som ställs vid behandling av personuppgifter och vilken information som ska lämnas till den registrerade. Förslagen innebär att behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning kommer att vara förbjudet i kreditupplysningsverksamhet. Vidare innebär förslagen att när en kreditupplysning lämnas ut ska fysiska personer ha rätt till information om bl.a. varifrån uppgifterna har hämtats, hur länge de kommer att lagras och möjligheten att klaga hos Datainspektionen. En fysisk persons rätt att få tillgång till personuppgifter som rör honom eller henne kommer hädanefter att regleras i EU:s dataskyddsförordning. Syftet med förslagen i propositionen är att anpassa lagar på familjerättens och den allmänna förmögenhetsrättens områden till dataskyddsförordningen, så att enhetliga regler skapas. Anpassningen ska resultera i att de nationella regleringarna uppfyller ett mål av allmänt intresse och är proportionella mot de legitima mål som eftersträvas. Det föreslås även en ändring i lagen (2012:318) om 1996 års , som innebär att en hänvisning till personuppgiftslagen (PUL) tas bort. Härutöver redovisar regeringen sin bedömning att det inte bör införas något förbud i kreditupplysningslagen mot att en kreditupplysning om en näringsidkare innehåller uppgifter om betalningsförsummelser som inte har fastställts av en domstol eller . Förhållandet mellan nationella bestämmelser och dataskyddsförordningen Regeringen föreslår att det ska föreskrivas i kreditupplysningslagen att lagen, i den del den gäller behandling av personuppgifter, innehåller kompletterande bestämmelser till EU:s dataskyddsförordning och att när personuppgifter som omfattas av dataskyddsförordningen behandlas, gäller även den föreslagna dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av kreditupplysningslagen eller föreskrifter som regeringen har meddelat i anslutning till lagen. Regeringen föreslår i proposition 2017/18:105 kompletterande lagbestämmelser till EU:s dataskyddsförordning, som även upphäver PUL. De hänvisningar som görs till PUL behöver därför tas bort eller ersättas av hänvisningar till dataskyddsförordningen. I samma proposition konstaterar regeringen vidare att den EU-rättsliga dataskyddsregleringen inte inkräktar på området för tryckfrihetsförordningen och yttrandefrihetsgrundlagen. De bedömningar som görs i den aktuella propositionen utgår från de överväganden som görs i proposition 2017/18:105. Fastställande av den rättsliga grunden för behandling av personuppgifter Regeringen bedömer att bestämmelserna i dataskyddsförordning om att vissa rättsliga grunder för behandling av personuppgifter ska vara fastställda i unionsrätten eller den nationella rätten inte kräver några ändringar i kreditupplysningslagen eller andra lagar på familjerättens och den allmänna förmögenhetsrättens område. Enligt regeringen kan det förutsättas att den rättsliga grunden för personuppgiftsbehandling som sker som ett led i myndighetsutövning är fastställd på ett sådant sätt som dataskyddsförordningen kräver. Detta gäller även när den rättsliga grunden är en rättslig förpliktelse som en myndighet eller en enskild har och som kräver personuppgiftsbehandling. Grundläggande krav för behandling av personuppgifter I propositionen föreslår regeringen att hänvisningen i kreditupplysningslagen till personuppgiftslagens grundläggande krav för personuppgiftsbehandling ska ersättas med en hänvisning till motsvarande artikel i dataskyddsförordning. Krav på tillstånd för att bedriva verksamhet Enligt regeringens mening är kraven på att den som bedriver kreditupplysnings- eller inkassoverksamhet som huvudregel ska ha tillstånd för att bedriva verksamheten förenliga med EU:s dataskyddsförordning och kan behållas. Behandling av känsliga personuppgifter och uppgifter om lagöverträdelser Förbudet mot behandling av känsliga personuppgifter i kreditupplysningsverksamhet ska enligt regeringen även omfatta behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Regeringen bedömer även att förbudet i kreditupplysningslagen mot behandling av administrativa frihetsberövanden ska behållas. Regeringen konstaterar att det från integritetssynpunkt skulle vara olyckligt om någon begränsning inte skulle få göras när det gäller behandling av uppgifter om administrativa frihetsberövanden i kreditupplysningsverksamhet. Enligt regeringen ger dataskyddsförordningen utrymme för en sådan begränsning. Den registrerades rätt till information Dataskyddsförordningen ska ersätta kreditupplysningslagens regler om fysiska personers rätt till registerbesked. En hänvisning till förordningens bestämmelser om en fysisk persons rätt till tillgång till personuppgifter och annan information ska tas in i kreditupplysningslagen. Bestämmelserna i kreditupplysningslagen om kreditupplysningskopior ska anpassas till dataskyddsförordningen. Anpassningen innebär att fysiska personer även ska få information om – dataskyddsombudets kontaktuppgifter, om ett sådant ombud krävs enligt dataskyddsförordningen, – den rättsliga grunden för behandlingen, – vilka kategorier av personuppgifter som behandlas, varifrån uppgifterna hämtats och hur länge uppgifterna kommer att lagras, – möjligheten att få tillgång till uppgifter som rör den fysiska personen, – vilka kategorier av mottagare som kan ta del av personuppgifterna, – möjligheten att framställa klagomål till Datainspektionen. I lagen ska det också regleras hur och när denna information ska ges om en kreditupplysning om en fysisk person lämnas ut till ett svenskt kreditinstitut eller värdepappersbolag eller till ett motsvarande utländskt företag för beräkning av kapitalkrav med en s.k. internmetod. En fysisk person bör ha samma rätt att på begäran få tillgång till sina personuppgifter och annan information i kreditupplysningsverksamhet som i annan verksamhet där personuppgifter behandlas. Enligt regeringen är det därför inte förenligt med dataskyddsförordningen att införliva förordningens regler i kreditupplysningslagen. Dataskyddsförordningens regler om rätt till tillgång till personuppgifter och annan information bör därför ersätta kreditupplysningslagens bestämmelser om fysiska personers rätt till registerbesked i kreditupplysningsverksamhet. Regeringen konstaterar att frågan om hur dataskyddsförordningen i olika avseenden ska tillämpas handlar om en renodlad tillämpning av . Innebörden av unionsrätten är ytterst behörig att fastställa, och det är därför enligt regeringen inte möjligt att i lagstiftningsärendet göra några auktoritativa uttalanden om hur förordningen ska tolkas. Regeringen konstaterar att det varken behövs eller är lämpligt att ha uttryckliga föreskrifter om hur en viss bestämmelse i kreditupplysningslagen förhåller sig till dataskyddsförordningen, eftersom en sådan reglering skulle skapa osäkerhet om hur andra bestämmelser som anpassar tillämpningen av förordningen och som inte har en motsvarande föreskrift ska uppfattas. Skyldigheten att vidta rättelse och rätten till begränsning av behandling I kreditupplysningslagen ska det regleras att skyldigheten att vidta skäliga utredningsåtgärder även ska gälla om det finns anledning att misstänka att en uppgift som behandlas i kreditupplysningsverksamhet eller som har lämnats i en kreditupplysning har behandlats i strid med dataskyddsförordningen. Skyldigheten att rätta, komplettera eller radera en uppgift ska enligt regeringen även gälla om det visar sig att uppgiften har behandlats i strid med dataskyddsförordningen. En fysisk person ska på begäran kunna få information om vem som har fått en rättelse eller en komplettering sänd till sig. Det ska föreskrivas i kreditupplysningslagen att det i dataskyddsförordningen finns bestämmelser om fysiska personers rätt att begära att behandlingen av personuppgifter begränsas. Invändning mot att personuppgifter behandlas Regeringen bedömer att kreditupplysningslagens bestämmelse om att en registrerad inte har rätt att invända mot behandling av personuppgifter i kreditupplysningsverksamhet, är förenlig med EU:s dataskyddsförordning och kan behållas. Enligt regeringen måste frågan om begränsning av den registrerades rätt att göra invändningar ses i det större perspektivet – dvs. vikten av en väl fungerande kreditverksamhet. En sådan verksamhet anses enligt regeringen vara av ett sådant allmänt intresse som möjliggör att begränsningar får göras med stöd av dataskyddsförordningen. Säkerhet vid behandling av personuppgifter Regeringen föreslår att hänvisningen till personuppgiftslagen i kreditupplysningslagens regler om säkerhet vid behandling av personuppgifter ska ersättas av en hänvisning till EU:s dataskyddsförordning. Enligt regeringen ska det föreskrivas i kreditupplysningslagen att vid tillsyn över sådan behandling av personuppgifter som omfattas av EU:s dataskyddsförordning gäller Datainspektionens befogenheter enligt lagen utöver de befogenheter som en tillsynsmyndighet har enligt dataskyddsförordningen. Då framgår det tydligt att lagens tillsynsbestämmelser inte gäller i stället för förordningens. Regeringen konstaterar att EU:s dataskyddsförordning inte kräver några ändringar i kreditupplysningslagens regler om överklagande. Regeringen bedömer att kreditupplysningslagens straff- och vitesbestämmelser är förenliga med EU:s dataskyddsförordning och därför kan behållas. Enligt regeringen ska det när det gäller en registrerads rätt till skadestånd regleras i kreditupplysningslagen att för sådan behandling av personuppgifter som omfattas av EU:s dataskyddsförordning gäller förordningens bestämmelse om skadestånd i stället för kreditupplysningslagens bestämmelser. Regeringen konstaterar att avsikten inte är att de två regelverken ska vara tillämpliga parallellt, utan ett ersättningsanspråk för en personuppgiftsbehandling som omfattas av dataskyddsförordningen prövas enligt förordningen. I övriga fall prövas anspråket enligt kreditupplysningslagen. Regeringen bedömer att bestämmelserna om automatiserat beslutsfattande i EU:s dataskyddsförordning inte kräver några lagändringar på familjerättens och den allmänna förmögenhetsrättens områden. Några bestämmelser om automatiserat beslutsfattande finns inte vare sig i kreditupplysningslagen eller i inkassolagen. Det torde enligt regeringen inte heller i kreditupplysnings- eller inkassoverksamhet fattas några automatiserade beslut med rättsliga följder eller som i betydande omfattning påverkar den registrerade. Överföring av personuppgifter till tredjeland Det finns i lagen om 1996 års en bestämmelse om tillstånd att överföra personuppgifter till tredjeland. Regeringen föreslår att hänvisningen till PUL i den bestämmelsen tas bort. Tillkännagivande om innehållet i en kreditupplysning om ett företag beslutade ett tillkännagivande om att regeringen borde överväga en ändring i kreditupplysningslagen så att kreditupplysningar om näringsidkare inte omfattar skulder som inte blivit fastställda av en domstol eller (bet. 2015/16:FiU22 punkt 5, rskr. 2015/16:195). Enligt regeringen bör det inte införas något förbud mot sådana upplysningar. Att ändra reglerna skulle enligt regeringen öka risken för att företag som ligger efter med sina betalningar kan förlänga sina krediter och få nya krediter , även om företaget inte är kreditvärdigt. Emellertid skulle en ansökan om betalningsföreläggande kunna göras som ett led i ett fakturabedrägeri, och leda till en betalningsanmärkning. Uppgifter om betalningsförelägganden mot enskilda näringsidkare registreras i praktiken dock inte i kreditupplysningsföretagens register, eftersom den information som lämnas till kreditupplysningsföretagen bara gör skillnad på fysiska personer och juridiska personer – av informationen framgår det alltså inte om en fysisk person bedriver näringsverksamhet. Vidare samarbetar kreditupplysningsföretagen med och registrerar inte uppgifter om betalningsförelägganden mot juridiska personer, när sökanden finns med på Svensk Handels varningslista över oseriösa företag. Om anmärkningar grundar sig på krav som har bestridits redan innan en ansökan om betalningsföreläggande lämnades in eller på fakturabedrägerier kan dessutom kontakt tas med kreditupplysningsbolagen med en begäran att uppgiften rättas eller med för att få uppgiften blockerad eller rättad. Regeringen anser därför att nackdelarna med att införa ytterligare generella begränsningar av vilka uppgifter om betalningsförsummelser som får tas med i kreditupplysningar avseende näringsidkare väger tyngre än de fördelar som kan vinnas med detta. Enligt regeringen bör i stället arbetet med att komma till rätta med fakturabedrägerier bedrivas på annat sätt. Det är viktigt att höja kunskapsnivån i samhället, så att den som får ett oriktigt krav kan ta till vara sina rättigheter. Vidare kan bl.a. informationsinsatser göras för att få fler att våga bestrida oriktiga krav. Förslag om sådana insatser från Utredningen om åtgärder mot fakturabedrägerier (SOU 2015:77) bereds i . Utöver detta är det viktigt att brottsliga gärningar blir lagförda. Regeringen konstaterar att det har införts en straffbestämmelse i (9 kap. 3 a §) som reglerar systematiska bedrägerier med bluffakturor, för att åstadkomma en effektivare sanktion mot fakturabedrägerier. Med de överväganden som presenteras i propositionen anser regeringen att tillkännagivandet är slutbehandlat. Lagändringarna föreslås träda i kraft . Regeringen bedömer att det inte finns behov av några övergångsbestämmelser. Genom EU:s dataskyddsförordning stärks enskildas rättigheter vid personuppgiftsbehandling. ställs nya krav på myndigheter, företag och organisationer som behandlar personuppgifter. Förslagen bedöms medföra kostnader för kreditupplysningsföretagen, men inte några kostnader för enskilda eller det allmänna. Enligt regeringen innebär förslagen inte några negativa effekter för företagens arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt. Förslagen anses inte heller ha någon påverkan på vare sig jämställdheten mellan män och kvinnor eller möjligheten att nå de integrationspolitiska målen. Inte heller har förslagen några sociala eller miljömässiga konsekvenser, enligt regeringen. Utskottet ansluter sig till regeringens överväganden och tillstyrker förslaget till ändringar i kreditupplysningslagen (1973:1173) och förslaget till ändring i lagen (2012:318) om 1996 års . Förteckning över behandlade förslag Proposition 2017/18:120 Kreditupplysningslagen och dataskyddsförordningen: 1.Riksdagen antar regeringens förslag till lag om ändring i kredit-upplysningslagen (1973:1173). 2.Riksdagen antar regeringens förslag till lag om ändring i lagen (2012:318) om 1996 års .