bet · H501TU12 · 2018-04-20 00:00:00 — EU:s dataskyddsförordning och lagstiftningen inom ansvarsområden Utskottet föreslår att antar regeringens lagförslag om ändring av ett antal lagar inom ansvarsområden med anledning av att EU:s dataskyddsförordning träder i kraft och personuppgiftslagen upphävs. Utskottet konstaterar att regeringens förslag inte innebär några större ändringar i sak utan främst går ut på att hänvisningar till personuppgiftslagen i relevanta fall ersätts med hänvisningar till dataskyddsförordningen och dataskyddslagen samt att dubbelreglering tas bort. Lagändringarna föreslås träda i kraft . Proposition 2017/18:122 EU:s dataskyddsförordning och lagstiftningen inom ansvarsområden. Utskottets förslag till riksdagsbeslut Ärendet och dess beredning Regeringens lagförslag (SD) Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Utskottets förslag till riksdagsbeslut antar regeringens förslag till 1. lag om ändring i rennäringslagen (1971:437), 2. lag om ändring i skogsvårdslagen (1979:429), 3. lag om ändring i lagen (2003:389) om elektronisk kommunikation, 4. lag om ändring i lagen (2006:24) om nationella toppdomäner för på Internet, 5. lag om ändring i lagen (2007:1150) om tillsyn över hundar och katter, 6. lag om ändring i lagen (2009:619) om djurskyddskontrollregister, 7. lag om ändring i postlagen (2010:1045), 8. lag om ändring i lagen (2011:725) om behörighet för lokförare, 9. lag om ändring i lagen (2013:315) om intelligenta transportsystem vid vägtransporter, 10. lag om ändring i lagen (2013:1164) om elektroniska vägtullssystem, 11. lag om ändring i lagen (2014:52) om infrastrukturavgifter på väg. Därmed bifaller proposition 2017/18:122 punkterna 1–11. Följande ledamöter har deltagit i beslutet: (MP), (M), (S), (S), (M), (S), (M), (C), (S), Per Klarberg (SD), (L), (V), (KD), (S), (M), (S) och (SD). Ärendet och dess beredning I betänkandet behandlar utskottet regeringens proposition 2017/18:122 EU:s dataskyddsförordning och lagstiftningen inom ansvarsområden. Propositionen syftar till att anpassa befintliga dataskyddsbestämmelser inom ansvarsområden till och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning, nedan kallad dataskyddsförordningen). Ingen följdmotion har väckts med anledning av propositionen. Till grund för propositionen ligger departementspromemorian En anpassning till dataskyddsförordningen av dataskyddsbestämmelser inom verksamhetsområde (Ds 2017:28). Promemorian innehåller förslag till de författningsändringar som krävs med anledning av att dataskyddsförordningen träder i kraft och personuppgiftslagen (1998:204) och personuppgiftsförordningen (1998:1191) upphävs. Promemorian har remissbehandlats. Regeringen beslutade att inhämta Lagrådets yttrande över lagförslagen. Lagrådet lämnade förslagen utan invändning. En förteckning över behandlade förslag finns i bilaga 1, och regeringens lagförslag finns i bilaga 2. finns de allmänna EU-reglerna om behandling av personuppgifter i och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). EU:s dataskyddsdirektiv har huvudsakligen genomförts i svensk rätt genom personuppgiftslagen som är tillämplig vid personuppgiftsbehandling som utförs av myndigheter såväl som av enskilda, men som även sträcker sig utanför område. Personuppgiftslagen är subsidiär, dvs. dess bestämmelser ska inte tillämpas om det finns avvikande bestämmelser i en annan författning, och kompletteras av ett stort antal registerförfattningar och flera lagar som innehåller bestämmelser om behandling av personuppgifter. antogs EU:s dataskyddsförordning. Förordningen syftar till att ytterligare harmonisera och effektivisera behandlingen av personuppgifter inom EU och därigenom förbättra den fria rörligheten av personuppgifter och öka skyddet för fysiska personer. Dataskyddsförordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll men innebär även en rad förändringar, t.ex. att den registrerades rättigheter förstärks och att bestämmelser om administrativa sanktions-avgifter införs. Förordningen är direkt tillämplig när den träder i kraft och innebär att medlemsstaternas möjlighet att införa och behålla nationella regleringar om personuppgiftsbehandling begränsas. kräver dataskyddsförordningen att svenska författningar anpassas för att säkerställa att svensk rätt inte strider mot förordningen och att den får ett effektivt genomslag. Förordningen innehåller också bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Mot denna bakgrund föreslår regeringen i proposition 2017/18:105 Ny dataskyddslag en ny lag som upphäver personuppgiftslagen och på ett generellt plan kompletterar och gör undantag från dataskyddsförordningen (förslag till lag med kompletterande bestämmelser till EU:s dataskyddsförordning, nedan kallad dataskyddslagen). Lagen kommer bl.a. att reglera frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, skadestånd och överklagande. Liksom personuppgiftslagen föreslås dataskyddslagen bli subsidiär. Regeringen föreslår också i ett tiotal kompletterande propositioner ändringar i de lagar och förordningar som innehåller bestämmelser om personuppgiftsbehandling eller hänvisningar till personuppgiftslagen inom de olika departementens ansvarsområden. För del samlas de föreslagna ändringarna i proposition 2017/18:122. Utskottets förslag i korthet antar regeringens lagförslag. Utskottet konstaterar att regeringens förslag inte innebär några större ändringar i sak utan främst går ut på att hänvisningar till personuppgiftslagen i relevanta fall ersätts med hänvisningar till dataskyddsförordningen och dataskyddslagen samt att dubbelreglering tas bort. Utskottet anser att förslaget är väl avvägt. Jämför det särskilda yttrandet (SD). Inom ansvarsområden finns ett antal lagar som innehåller bestämmelser om behandling av personuppgifter eller hänvisningar till personuppgiftslagen. I proposition 2017/18:122 lämnar regeringen förslag till de författningsändringar som krävs inom ansvarsområden med anledning av att EU:s dataskyddsförordning träder i kraft och personuppgiftslagen upphävs. Lagändringarna föreslås träda i kraft , dvs. som bestämmelserna i dataskyddsförordningen och den nya dataskyddslagen. Bestämmelser om behandling av personuppgifter och övrig dataskyddsreglering Dataskyddsförordningen är direkt tillämplig och kommer automatiskt att bli en del av den svenska rättsordningen. Förordningen möjliggör dock i vissa fall för kompletterande nationella bestämmelser i form av preciseringar och undantag. som dataskyddsförordningen börjar tillämpas kommer personuppgiftslagen, som genomför dataskyddsdirektivet, att upphävas av dataskyddslagen. Hänvisningar till personuppgiftslagen kan därmed inte finnas kvar utan måste i relevanta fall ersättas med hänvisningar till dataskyddsförordningen och dataskyddslagen. I några av lagarna inom ansvarsområden finns upplysningsbestämmelser om hur respektive författning förhåller sig till personuppgiftslagen vid behandling av personuppgifter. I lagen (2009:619) om djurskyddskontrollregister och i lagen (2011:725) om behörighet för lokförare finns ett flertal bestämmelser om personuppgiftsbehandling som kommer att komplettera dataskyddsförordningen i fråga om preciseringar och undantag. Vidare finns en eller ett fåtal kompletterande bestämmelser till dataskyddsförordningen i rennäringslagen (1971:437), lagen (2006:24) om nationella toppdomäner för på Internet och lagen (2007:1150) om tillsyn över hundar och katter. Enligt regeringen bör de befintliga upplysningsbestämmelserna i dessa lagar behållas men ändras så att de hänvisar till dataskyddsförordningen. Dessutom föreslår regeringen att de omformuleras så att det tydligt framgår att lagen i fråga om behandling av personuppgifter inte utgör den primära regleringen utan innehåller bestämmelser som kompletterar dataskyddsförordningen. Regeringen föreslår också att nämnda lagar ska upplysa om hur lagen förhåller sig till dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen. Vidare anser regeringen att andra typer av upplysningsbestämmelser som hänvisar till personuppgiftslagen av tydlighetsskäl bör behållas men ändras så att de hänvisar till dataskyddsförordningen och till dataskyddslagen. Sådana upplysningar finns t.ex. i lagen (2013:315) om intelligenta transportsystem vid vägtransporter och lagen (2013:1164) om elektroniska vägtullssystem. I postlagen (2010:1045) finns en reglering som syftar till att klargöra förhållandet mellan postlagens bestämmelser om tystnadsplikt och personuppgiftslagens bestämmelser vid utlämnade av personuppgifter. Regeringen anser att bestämmelsen inte är behövlig längre och föreslår att den ska tas bort. Dataskyddsförordningen fastställer de grundläggande principer som gäller för behandling av personuppgifter, däribland finalitetsprincipen som innebär att personuppgifter inte får behandlas för något ändamål som är oförenligt med insamlingsändamålen (artikel 5.1). Av förordningen följer att ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål inte ska anses vara oförenlig med de ursprungliga ändamålen under förutsättning att lämpliga skyddsåtgärder för den registrerades rättigheter och friheter vidtas. En motsvarande reglering om finalitetsprincipen finns i 9 § personuppgiftslagen. Inom ansvarsområden finns hänvisningar till nämnda reglering i personuppgiftslagen i anslutning till ändamålsbestämmelserna i lagen om djurskyddskontrollregister och lagen om behörighet för lokförare. Regeringen föreslår att hänvisningarna ska tas bort. Eftersom artikel 5.1 i dataskyddsförordningen fastställer de principer som gäller för behandling av personuppgifter, inte bara finalitetsprincipen, gör regeringen bedömningen att en ny bestämmelse av tydlighetsskäl bör införas i lagarna. Bestämmelsen ska ange att personuppgifter som behandlas enligt ändamålsbestämmelserna i lagen får behandlas även för andra ändamål, förutsatt att uppgifterna inte behandlas på ett sätt som är oförenligt med insamlingsändamålen. Enligt dataskyddsförordningen utgörs en personuppgiftsansvarig av en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter (artikel 4.7). Av förordningen följer att det är tillåtet men inte ett krav att i nationell rätt ange vem som är personuppgiftsansvarig. Inom ansvarsområden finns ett flertal bestämmelser där det anges vem som är personuppgiftsansvarig, bl.a. i rennäringslagen, skogsvårdslagen (1979:429) och lagen om nationella toppdomäner för på Internet. Flera av dessa bestämmelser hänvisar till personuppgiftslagen. Regeringen anser att bestämmelserna kan behållas men bör ändras så att eventuella hänvisningar till personuppgiftslagen tas bort. Enligt dataskyddsförordningen ska behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning vara förbjuden (artikel 9.1). Förordningen innehåller även föreskrifter om i vilka situationer ovannämnda personuppgifter får behandlas trots förbudet, t.ex. om behandling anses nödvändig med hänsyn till ett viktigt allmänt intresse och det finns bestämmelser som säkerställer den registrerades grundläggande rättigheter och intressen (artikel 9.2). finns ett förbud mot behandling av s.k. känsliga personuppgifter i 13 § personuppgifts-lagen. Bestämmelserna i personuppgiftslagen överensstämmer i stort med dataskyddsförordningen men omfattar inte genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning. Inom sektorsspecifika regleringar finns bestämmelser om behandling av känsliga personuppgifter i lagen om djurskyddskontrollregister och lagen om behörighet för lokförare. I lagen om djurskyddskontrollregister anges att sådana känsliga uppgifter som avses i personuppgiftslagen inte får behandlas i registret. Regeringen föreslår att hänvisningen till personuppgiftslagen ska ersättas med en hänvisning till dataskyddsförordningen. Den nya hänvisningen innebär en materiell förändring eftersom det inte längre blir tillåtet att behandla genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om en persons sexuella läggning. Sådana uppgifter behandlas dock inte av registret , varför ändringen inte förväntas få någon effekt i praktiken. Lagen om behörighet för lokförare innehåller bestämmelser om under vilka förutsättningar uppgifter om en persons fysiska och psykiska hälsa får behandlas i förarbevisregistret. Bland annat anges att känsliga personuppgifter om hälsa får behandlas om uppgifterna är nödvändiga för handläggning av ett ärende. Regeringen bedömer att behandling av personuppgifter om hälsa i förarbevisregistret är nödvändig med hänsyn till ett viktigt allmänt intresse samt konstaterar att lagen innehåller bestämmelser som säkerställer den registrerades grundläggande rättigheter; bestämmelsen anses därmed vara förenlig med dataskyddsförordningen. Regeringen konstaterar dock att terminologin måste anpassas till förordningen. Vidare innehåller lagen ett förbud mot att använda sådana känsliga personuppgifter som avses i personuppgiftslagen som sökbegrepp i förarbevisregistret. Regeringen föreslår att hänvisningen till personuppgiftslagen ska ersättas med en hänvisning till dataskyddsförordningen. På så sätt utvidgas förbudet mot att använda sökbegrepp som avslöjar känsliga personuppgifter till att även omfatta genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om en persons sexuella läggning. I dataskyddsförordningen fastställs att den registrerade har rätt till rättning av felaktiga uppgifter som rör honom eller henne. Även rätten till radering och begränsning av behandling regleras i förordningen (artiklarna 16–18). Bestämmelser om den registrerades rätt till rättelse, inklusive blockering och utplåning, finns i 28 § personuppgiftslagen. Flera lagar inom ansvarsområden innehåller en reglering som anger att bestämmelserna i personuppgiftslagen gäller vid behandling av personuppgifter som sker enligt lagen. Sådana hänvisningar finns i skogsvårdslagen, lagen om nationella toppdomäner för på Internet, lagen om tillsyn över hundar och katter, lagen om djurskyddskontrollregister och i lagen om behörighet för lokförare. Eftersom bestämmelserna om den registrerades rättigheter är direkt tillämpliga behövs ingen hänvisning till dem i nationell rätt. Regeringen föreslår därför att de bestämmelser som hänvisar till 28 § personuppgiftslagen ska tas bort. Den registrerades rätt att invända mot behandling av personuppgifter regleras också i dataskyddsförordningen. Enligt förordningen har den registrerade rätt att när som helst göra invändningar mot behandling av personuppgifter om honom eller henne som grundar sig på en uppgift av allmänt intresse, myndighetsutövning eller en intresseavvägning. Den personuppgiftsansvarige får vid en sådan invändning inte fortsätta att behandla personuppgifterna, såvida inte tvingande berättigade skäl för behandlingen kan påvisas (artikel 21.1). Dataskyddsförordningen möjliggör dock för nationella undantag från rätten att invända mot behandling (artikel 23.1). I lagen om djurskyddskontrollregister och lagen om behörighet för lokförare finns bestämmelser som anger att den registrerade inte kan motsätta sig sådan personuppgiftsbehandling som är tillåten i förarbevisregistret, intygs-registret, tillståndsregistret och djurskyddskontrollregistret. Regeringen gör bedömningen att begränsningen alltjämt är tillämplig då den sker med stöd av artikel 23.1 i dataskyddsförordningen. Begränsningen är enligt regeringen nödvändig och proportionerlig; dessutom syftar den till att säkerställa viktiga mål av generellt allmänt intresse. Regeringen anser dock att de befintliga bestämmelserna bör omformuleras så att det blir tydligt hur de förhåller sig till dataskyddsförordningen. I bestämmelserna bör det följaktligen anges att rätten att göra invändningar enligt dataskyddsförordningen inte gäller vid behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till lagen. Dataskyddsförordningen innehåller även en rätt för den registrerade att när som helst invända mot behandling av personuppgifter som avser honom eller henne för direkt marknadsföring (artikel 21.2). Om den registrerade invänder mot behandlingen ska personuppgifterna inte längre behandlas för direkt marknadsföring. I 11 § personuppgiftslagen finns bestämmelser om direkt marknadsföring som innebär att personuppgifter inte får behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Skogsvårdslagen innehåller en reglering om direkt marknadsföring som anger att ett visst register har till ändamål att tillhandahålla uppgifter för uttag av urval av personuppgifter för direkt marknadsföring, med en hänvisning till den begränsning som följer av personuppgiftslagen. Regeringen föreslår att hänvisningen i skogsvårdslagen ersätts med en hänvisning till motsvarande begränsning i dataskyddsförordningen. Dataskyddsförordningens kapitel VIII innehåller bestämmelser om rättsmedel, ansvar och sanktioner. Generella processuella bestämmelser kommer att regleras av dataskyddslagen. I skogsvårdslagen finns en bestämmelse som bl.a. anger att beslut om avslag på ansökan om information och rättelse enligt personuppgiftslagen får överklagas hos allmän förvaltningsdomstol. Enligt regeringen är regleringen i skogsvårdslagen överflödig eftersom den nya dataskyddslagen kommer att innehålla generella processuella bestämmelser. Regeringen föreslår därmed att regleringen ska tas bort. När det gäller den registrerades rätt till ersättning finns bestämmelser i artikel 82 i dataskyddsförordningen. finns bestämmelser om skadestånd i 48 § personuppgiftslagen. Inom ansvarsområde finns flera lagar som innehåller bestämmelser som innebär att bestämmelsen om skadestånd i personuppgiftslagen gäller när behandling sker i strid med författningen i fråga. Sådana regleringar finns i skogsvårdslagen, lagen om nationella toppdomäner för på Internet, lagen om tillsyn över hundar och katter, lagen om djurskyddskontrollregister och i lagen om behörighet för lokförare. Eftersom det framgår av dataskyddsförordningen att den registrerade har rätt till ersättning vid överträdelser av bestämmelser som kompletterar förordningen föreslår regeringen att nämnda regleringar ska tas bort. Anpassning av vissa bestämmelser i lagen om elektronisk kommunikation Av artikel 95 i dataskyddsförordningen framgår hur förordningen förhåller sig till bestämmelserna i och rådets direktiv /58/EG om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktivet om integritet och elektronisk kommunikation). Enligt artikeln ska dataskyddsförordningen inte innebära några ytterligare förpliktelser för fysiska eller juridiska personer som behandlar personuppgifter inom ramen för tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster i allmänna kommunikationsnät i unionen, när det gäller områden inom vilka de redan omfattas av särskilda skyldigheter för samma ändamål i enlighet med direktivet om integritet och elektronisk kommunikation. I svensk rätt har nämnda direktiv huvudsakligen genomförts genom lagen (2003:389) om elektronisk kommunikation. innehåller lagen om elektronisk kommunikation en bestämmelse om förhållande till annan lag som hänvisar till bestämmelserna om behandling av personuppgifter i personuppgiftslagen. Enligt regeringen är det tillräckligt att upplysa om att bestämmelser om behandling av personuppgifter även finns i dataskyddsförordningen och i dataskyddslagen samt i föreskrifter som meddelats i anslutning till lagen. Hänvisningen till personuppgiftslagen bör därmed tas bort. Regeringen påpekar att artikel 95 i dataskyddsförordningen kan innebära en materiell förändring eftersom den inte innefattar behandling av personuppgifter vid tillhandahållande av elektroniska kommunikationsnät och elektroniska kommunikationstjänster som inte är allmänna. Sådan behandling av personuppgifter kan således komma att regleras av dataskyddsförordningen. I övrigt omfattas tillhandahållande av elektroniska kommunikationsnät- och kommunikationstjänster som inte är allmänna av lagen om elektronisk kommunikation. Vilka regler som ska tillämpas får enligt regeringen avgöras av tillämparen i det enskilda fallet med utgångspunkt i den samlade regleringen. Vidare innehåller lagen om elektronisk kommunikation en hänvisning till bestämmelserna i personuppgiftslagen om rättelse och skadestånd. Regeringen föreslår att den ersätts med en hänvisning till motsvarande bestämmelser i dataskyddsförordningen. Enligt artikel 2 i direktivet om integritet och elektronisk kommunikation gäller definitionerna i dataskyddsdirektivet, så länge som inget annat anges. hänvisar därför till personuppgiftslagen, som genomför dataskyddsdirektivet, i fråga om definitionerna av begreppen behandling, samtycke och personuppgiftsansvarig. Regeringen föreslår att hänvisningen till personuppgiftslagen ska ersättas med en hänvisning till motsvarande definitioner i dataskyddsförordningen. konstaterar att ett antal lagar inom ansvarsområden behöver anpassas till EU:s dataskyddsförordning. Utskottet välkomnar att dataskyddsförordningen förväntas stärka skyddet och rättigheterna för den som får sina personuppgifter behandlade och anser att det är viktigt att förordningen får ett effektivt genomslag när den träder i kraft . Regeringens lagförslag synes enligt utskottet kunna bidra till ett effektivt genomförande av förordningen, t.ex. genom att förhindra eventuell dubbelreglering. Utskottet noterar att de anpassningar som regeringen föreslår i propositionen endast avser ändringar som är direkt nödvändiga till följd av förordningen och att ingen allmän översyn har gjorts över de lagar som innehåller bestämmelser om behandling av personuppgifter eller annan dataskyddsreglering. Regeringens förslag innebär således inte några större ändringar i sak utan går främst ut på att hänvisningar till personuppgiftslagen i relevanta fall ersätts med hänvisningar till dataskyddsförordningen och den föreslagna dataskyddslagen samt att dubbelreglering tas bort. Det befintliga rättsläget kommer därmed att ändras i mycket begränsad omfattning av förslaget. Slutligen kan utskottet konstatera att det inte har väckts någon följdmotion med anledning av propositionen. Utskottet anser sammanfattningsvis att regeringens förslag är väl avvägt och föreslår därför att bifaller propositionen och antar regeringens lagförslag. Regeringens lagförslag (SD) Per Klarberg (SD) och (SD) anför: saknade representation i och rådet när originalförslaget till EU:s dataskyddsförordning introducerades. Vi har därför inte haft möjlighet att lägga ändringsförslag eller reservationer. När slutkompromissen var uppe för beslut i utskott för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor röstade nej till förordningen.