bet · H501FiU41 · 2018-04-18 00:00:00 — Ändringar i vissa författningar inom ansvarsområde med anledning av EU:s dataskyddsreform Utskottet ställer sig bakom regeringens förslag till lagändringar med anledning av EU:s dataskyddsreform. I propositionen föreslås lagändringar inom delar av ansvarsområde, bl.a. när det gäller den officiella statistiken, med anledning av och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Förordningen ersätter och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet), som i har genomförts genom personuppgiftslagen (1998:204) och ett stort antal specifika författningar med särskilda bestämmelser om behandling av personuppgifter inom särskilda områden. Lagändringarna föreslås träda i kraft . Inga motioner har lämnats med anledning av propositionen. Proposition 2017/18:107 Ändringar i vissa författningar inom ansvarsområde med anledning av EU:s dataskyddsreform. Utskottets förslag till riksdagsbeslut Ärendet och dess beredning Ändringar i vissa författningar inom ansvarsområde med anledning av EU:s dataskyddsreform Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Utskottets förslag till riksdagsbeslut Ändringar i vissa författningar inom ansvarsområde med anledning av EU:s dataskyddsreform antar regeringens förslag till 1. lag om ändring i kasinolagen (1999:355), 2. lag om ändring i lagen (2001:99) om den officiella statistiken, 3. lag om ändring i lagen (2006:378) om lägenhetsregister, 4. lag om ändring i lagen (2014:484) om en databas för övervakning av och tillsyn över finansmarknaderna, 5. lag om upphävande av lagen (1979:217) om allmän folk- och bostadsräkning , 6. lag om upphävande av lagen (1984:531) om 1985 års folk- och bostadsräkning, 7. lag om upphävande av lagen (1989:329) om en folk- och bostadsräkning . Därmed bifaller proposition 2017/18:107 punkterna 1–7. Följande ledamöter har deltagit i beslutet: (S), (M), (M), (S), (SD), (S), (C), (MP), (M), (S), (SD), (L), (KD), (S), (M) och (V). Ärendet och dess beredning I det här ärendet behandlar utskottet proposition 2017/18:107 Ändringar i vissa författningar inom ansvarsområde med anledning av EU:s dataskyddsreform. Regeringens förslag till riksdagsbeslut framgår av bilaga 1. Regeringens lagförslag redovisas i bilaga 2. utfärdade och rådet förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd dataskyddsförordningen. Den ska tillämpas fr.o.m. . Lagrådet har granskat lagförslagen, och regeringen har följt Lagrådets förslag. Inga motioner har väckts med anledning av propositionen. Regleringen av behandling av personuppgifter inom EU har sin grund i dataskyddsdirektivet. [1] Direktivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204), förkortad PUL. Denna lag är subsidiär i förhållande till andra lagar och förordningar och kompletteras av ett stort antal s.k. registerförfattningar. Det nu gällande dataskyddsdirektivet kommer att ersättas av dataskyddsförordningen som trädde i kraft och som ska tillämpas fr.o.m. . Dataskyddsförordningen är till stora delar baserad på dataskyddsdirektivet men innehåller också ett antal nyheter. EU-förordningar gäller utan att införlivas i svensk rätt och ska normalt inte införlivas. När det gäller den nuvarande svenska lagstiftningen innebär dataskyddsförordningen därför att PUL och den tillhörande personuppgiftsförordningen (1998:1191), samt de föreskrifter som Datainspektionen meddelat i anslutning till denna reglering, måste upphävas. Även om dataskyddsförordningen blir direkt tillämplig både förutsätter och möjliggör den kompletterande nationella bestämmelser av olika slag. Enligt skäl 8 till förordningen får den också delvis införlivas i nationell rätt, i den utsträckning som det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på. Nationella dataskyddsbestämmelser blir subsidiära i förhållande till förordningen och måste ha stöd i denna. Regeringen har i sin proposition 2017/18:105 Ny dataskyddslag lämnat förslag på hur svensk rätt på ett övergripande plan ska anpassas till förordningen. I den propositionen föreslås att PUL upphävs och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning införs, här benämnd dataskyddslagen. Vidare föreslås i propositionen att vissa bestämmelser i offentlighets- och sekretesslagen ändras. Dataskyddsförordningen har också föranlett ett antal propositioner med förslag som anpassar befintliga dataskyddsbestämmelser på olika områden till förordningen. I skäl 9 till dataskyddsförordningen konstateras att målen och principerna för dataskyddsdirektivet är giltiga men att det inte har kunnat förhindra bristande enhetlighet i genomförandet av dataskyddet i olika delar av unionen. Skillnader i nivån på skyddet av personuppgifter kan enligt skälet förhindra det fria flödet av personuppgifter och kan därför utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, snedvrida konkurrensen och hindra myndigheterna från att fullgöra sina skyldigheter enligt unionsrätten. För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter enligt skäl 10 vara likvärdig i alla medlemsstater. Den nya förordningen behövs enligt skäl 13 för att säkerställa en enhetlig nivå för skyddet av fysiska personer över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Förordningen ska skapa rättslig säkerhet och öppenhet för ekonomiska aktörer och ge fysiska personer i alla medlemsstater samma rättsligt verkställbara rättigheter och skyldigheter samt ålägga personuppgiftsansvariga och personuppgiftsbiträden samma ansvar. På så sätt ska övervakningen av behandling av personuppgifter bli enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt. Dataskyddsförordningen ska, precis som dataskyddsdirektivet, tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg och på annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Förordningen ska tillämpas på all behandling av personuppgifter som utförs inom ramen för den verksamhet som bedrivs av personuppgiftsansvariga eller personuppgiftsbiträden som är etablerade i unionen, oavsett om behandlingen utförs i unionen eller inte. En skillnad jämfört med dataskyddsdirektivet är att förordningen under vissa omständigheter ska tillämpas även på behandling av personuppgifter som utförs av personuppgiftsansvariga eller personuppgiftsbiträden som inte är etablerade i unionen. Detta gäller om behandlingen avser registrerade som befinner sig i unionen, under förutsättning att behandlingen har anknytning till antingen utbjudande av varor eller tjänster till sådana registrerade i unionen eller övervakning av deras beteende, så länge beteendet sker inom unionen. Slutligen ska dataskyddsförordningen också tillämpas på behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerad i unionen men på en plats där en medlemsstats nationella rätt gäller enligt folkrätten. Från förordningens tillämpningsområde undantas behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten eller som utförs av medlemsstaterna när de bedriver verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken. Behandling av personuppgifter som utförs av en fysisk person som ett led i verksamhet av privat natur eller som har samband med hans eller hennes hushåll omfattas inte heller av förordningens bestämmelser. Vidare gäller förordningen inte för sådan behandling av personuppgifter som utförs av behöriga myndigheter för ändamålen att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straffrättsliga påföljder. Sådan behandling regleras i stället genom ett nytt direktiv, här benämnt det nya dataskyddsdirektivet. Slutligen ska förordningens bestämmelser inte tillämpas av EU:s institutioner, organ och byråer. Den behandling av personuppgifter som utförs där regleras i stället genom en annan förordning. [3] Ett förslag till reviderad förordning om skydd för personuppgifter som behandlas av unionens institutioner, organ, kontor och byråer har lagts fram av kommissionen. Dataskyddsförordningen är som nämnts till stora delar baserad på dataskyddsdirektivet. Förordningen innebär dock en rad förändringar. Här nämns några av dessa. Den registrerades rättigheter förstärks I syfte att ge den registrerade ökad kontroll över sina personuppgifter förstärks dennes rättigheter. Den information som ska tillhandahållas den registrerade preciseras och utvidgas, och det anges uttryckligen att den personuppgiftsansvarige ska tillhandahålla informationen i en begriplig och lättillgänglig form. Förordningen innebär även en förstärkning av rätten för den registrerade att få åtkomst till sina personuppgifter för att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataportabilitet. Vidare införs en tydligare rätt till radering (i förordningen även kallat ”rätten att bli bortglömd”). Barns personuppgifter förtjänar enligt skäl 38 i förordningen särskilt skydd. Barns särställning och särskilda utsatthet poängteras också på flera ställen i förordningen. När informationssamhällets tjänster erbjuds direkt till ett barn krävs enligt förordningen att samtycke eller godkännande av barnets samtycke i vissa fall inhämtas av den som har föräldraansvar för barnet för att personuppgifter som rör barnet ska få behandlas. Den registrerade ska underrättas om personuppgiftsincidenter Det införs en skyldighet för den personuppgiftsansvarige att anmäla till tillsynsmyndigheten om det inträffar en s.k. personuppgiftsincident, dvs. en säkerhetsincident som oavsiktligt påverkar behandlingen av personuppgifter. Även den registrerade ska utan onödigt dröjsmål informeras om incidenten, om den sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Konsekvensbedömningar och tydligare kommunikation Om en viss behandling sannolikt kommer att leda till hög risk för enskildas rättigheter eller skyldigheter ska den personuppgiftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter. Den allmänna anmälningsskyldigheten till tillsynsmyndigheten som framgår av PUL tas däremot bort. Vidare införs det tydligare regler för kommunikation med den registrerade och ansvar för dem som behandlar personuppgifter. Nya åtgärder för enhetlig tillämpning Dataskyddsförordningen innebär på olika sätt ett ökat fokus på en enhetlig tillämpning av dataskyddsreglerna inom EU, t.ex. genom åtgärder som godkännande av uppförandekoder och certifiering. Genom förordningen införs ett nytt gemensamt system med sanktionsavgifter som ska tas ut vid överträdelser av förordningen. Det införs även en skyldighet för de nationella tillsynsmyndigheterna att samarbeta med varandra och en mekanism för enhetlighet när flera tillsynsmyndigheter är inblandade. införs en ny princip om en enda kontaktpunkt som ska underlätta för sådana personuppgiftsansvariga som är verksamma i flera medlemsstater genom att de endast ska behöva vara i kontakt med en av de behöriga tillsynsmyndigheterna. Det införs även ett nytt unionsorgan, Europeiska dataskyddsstyrelsen, som får långtgående befogenheter att uttala sig om tolkningen av förordningen också i enskilda fall. Offentlighetsprincipens företräde blir tydligare I artikel 86 i dataskyddsförordningen anges att personuppgifter i allmänna handlingar som förvaras av en myndighet eller ett offentligt organ eller ett privat organ för utförande av en uppgift av allmänt intresse får lämnas ut av myndigheten eller organet i enlighet med den unionsrätt eller den medlemsstats nationella rätt som myndigheten eller det offentliga organet omfattas av. Avsikten är enligt artikeln att allmänhetens rätt att få tillgång till allmänna handlingar ska jämkas samman med förordningens rätt till skydd av personuppgifter. Utrymmet för att ge offentlighetsprincipen företräde framför dataskyddsregleringen blir genom denna artikel tydligare. Artikeln möjliggör en tillämpning av bestämmelserna i tryckfrihetsförordningen (TF) om allmänhetens tillgång till allmänna handlingar som innehåller personuppgifter. I regeringens proposition Ny dataskyddslag föreslås också en bestämmelse i dataskyddslagen om förhållandet till tryck- och yttrandefriheten som innebär att dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot TF eller yttrandefrihetsgrundlagen. Särskilt om personuppgiftsbehandling för statistiska ändamål Med statistiska ändamål avses enligt skäl 162 till dataskyddsförordningen varje åtgärd som vidtas för den insamling och behandling av personuppgifter som är nödvändig för statistiska undersökningar eller för framställning av statistiska resultat. Dessa statistiska resultat kan vidare användas för olika ändamål, inbegripet vetenskapliga forskningsändamål. Ett statistiskt ändamål innebär enligt samma skäl att resultatet av behandlingen för statistiska ändamål inte består av personuppgifter, utan av aggregerade personuppgifter, och att resultatet eller uppgifterna inte används till stöd för åtgärder eller beslut som avser en särskild fysisk person. Behandling av personuppgifter är enligt dataskyddsförordningen endast laglig om den uppfyller något av de villkor som anges i artikel 6.1. Stöd för att samla in personuppgifter för den officiella statistiken, vilken i svensk rätt regleras av lagen (2001:99) om den officiella statistiken och förordningen (2001:100) om den officiella statistiken, och för annan reglerad statistik finns i artikel 6.1 e, som medger behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som en del i den personuppgiftsansvariges myndighetsutövning. Behandling av personuppgifter inom ramen för ett statistikprojekt som inte är nödvändigt för att utföra en fastställd uppgift av allmänt intresse och som inte heller i sig utgör en sådan uppgift kan däremot inte utföras med stöd av artikel 6.1 e i dataskyddsförordningen. Rättslig grund för behandlingen måste då sökas någon annanstans. I vissa fall kan insamling av personuppgifter för statistiska ändamål genomföras med stöd av samtycke från de registrerade. I andra fall kan insamling av personuppgifter för viss statistikverksamhet vara tillåten utan samtycke, med stöd av en intresseavvägning enligt artikel 6.1 f i dataskyddsförordningen. Det gäller dock inte behandling hos offentliga myndigheter. I artikel 9.2 j i dataskyddsförordningen finns ett undantag för behandling av särskilt känsliga uppgifter för bl.a. statistiska ändamål. Den behandlingen ska utföras i enlighet med vad som anges i artikel 89.1, vilket bl.a. innebär att den ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Regeringen har i propositionen Ny dataskyddslag gjort bedömningen att sådan behandling av personuppgifter som utförs under forskarens ansvar bör prövas utifrån de bestämmelser som gäller vid behandling för forskningsändamål (prop. 2017/18:105 s. 124). För den behandling av personuppgifter som utförs för statistiska ändamål gäller PUL, om statistikverksamheten inte är reglerad särskilt. I propositionen Ny dataskyddslag anför regeringen att förutsättningarna enligt dataskyddsförordningen för att det ska vara tillåtet att behandla känsliga personuppgifter för statistiska ändamål i huvudsak är desamma som enligt dataskyddsdirektivet (prop. 2017/18:105 s. 123). I den propositionen föreslås en bestämmelse i den nya dataskyddslagen som innebär att känsliga personuppgifter får behandlas med stöd av artikel 9.2 j i dataskyddsförordningen, om behandlingen är nödvändig för statistiska ändamål och samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Regeringen föreslår också i samma proposition en s.k. användningsbegränsning för personuppgifter som behandlas för statistiska ändamål. Den ska innebära att personuppgifter som behandlas enbart för statistiska ändamål får användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen (prop. 2017/18:105 s. 125 f.). Ändringar i vissa författningar inom ansvarsområde med anledning av EU:s dataskyddsreform Utskottets förslag i korthet antar regeringens lagförslag om ändringar i vissa författningar med anledning av EU:s dataskyddsreform. Till skillnad från vad som gällde enligt dataskyddsdirektivet och PUL tillåter dataskyddsförordningen inte att myndigheter behandlar personuppgifter med stöd av en intresseavvägning. Myndigheter behöver enligt dataskyddsförordningen kunna stödja sin behandling på någon av de grunder som anges i förordningen. För att behandlingen ska vara tillåten utan att den registrerade har lämnat sitt samtycke måste den också vara nödvändig för att fullgöra, skydda eller utföra den rättsliga grunden. I propositionen Ny dataskyddslag har regeringen, mot bakgrund av avgöranden i , gjort bedömningen att nödvändighetskravet inte har den strikta innebörden att det krävs att det utan behandlingen skulle vara omöjligt att fullgöra en förpliktelse, skydda intressen eller utföra en uppgift. Att det uppstår effektivitetsvinster ska anses tillräckligt för att behandlingen ska anses nödvändig. Dataskyddsförordningens krav på rättsligt stöd bedöms i praktiken inte innebära några begränsningar för myndigheters generella rätt att behandla personuppgifter, utöver vad som redan gäller . Bestämmelser om personuppgiftslagens tillämplighet i lagen om den officiella statistiken och lagen (2006:378) om lägenhetsregister ska ersättas med upplysningsbestämmelser om EU:s dataskyddsförordning. Det ska framgå att lagarna kompletterar dataskyddsförordningen och att den föreslagna dataskyddslagen gäller vid behandling av personuppgifter om inte annat följer av de särskilda författningarna. Andra hänvisningar som görs till personuppgiftslagen i de båda lagarna ska ändras till att avse motsvarande bestämmelser i dataskyddsförordningen eller tas bort om de inte fyller någon funktion. Bestämmelser i de nämnda lagarna och i kasinolagen (1999:355) som gör om rättelse och skadestånd tillämpliga vid överträdelser av lagarna ska upphävas. Datainspektionen anser att analysen inte har utgått från förordningen som primär rättskälla, vilket innebär en risk för normkonflikter och att personuppgiftsbehandling som genomförs inte kommer att kunna utföras när förordningen börjar tillämpas. Regeringen bedömer att den översyn som gjorts är tillräcklig för att undvika normkonflikter. Överväganden som Datainspektionen efterlyser har enligt regeringen redan gjorts. Statistikansvariga myndigheters framställning av statistik Den grundläggande regleringen av statistikansvariga myndigheters rätt att behandla personuppgifter för framställning av statistik finns i lagen om den officiella statistiken. Genom regleringen i denna lag och i förordningen om den officiella statistiken bedöms statistikansvariga myndigheter ha en rättslig grund att i enlighet med artikel 6.1 e i dataskyddsförordningen behandla personuppgifter för statistikändamål. Regeringen bedömer att det inte finns behov av någon ny reglering för att uppfylla dataskyddsförordningens krav på rättslig grund när statistikansvariga myndigheter utan samtycke samlar in och i övrigt behandlar personuppgifter vid framställning av statistik. Datainspektionen efterfrågar en analys av om nu gällande bestämmelser om annan statistik än officiell statistik är förenliga med dataskyddsförordningen och en större tydlighet när det gäller vilken statistik en myndighet kan framställa med eget rättsligt stöd, samt hur regleringen kring rättsligt stöd förhåller sig till regeringsformens och dataskyddsförordningens krav. Datainspektionen bedömer att de statistikansvariga myndigheterna inte har något rättsligt stöd att behandla personuppgifter utanför de statistikområden som följer av lagstiftningen. Regeringen framhåller att överväganden av regleringens tydlighet, precisering, förutsägbarhet och proportionalitet redan har gjorts, liksom nödvändiga överväganden av statistikförfattningarnas förenlighet med grundlag. En statistikansvarig myndighet är enligt 14 § lagen om den officiella statistiken personuppgiftsansvarig enligt PUL. I dataskyddsförordningen definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Det finns ingen skillnad i innebörden av begreppet personuppgiftsansvarig mellan dataskyddsdirektivet, PUL och dataskyddsförordningen. Regeringen bedömer att en statistikansvarig myndighet fortfarande ska ha ett utpekat personuppgiftsansvar vid behandling av personuppgifter i samband med statistikframställning. En sådan myndighets behandling av personuppgifter i samband med uppdragsverksamhet åt forskare är enligt regeringen att betrakta som behandling av personuppgifter för statistiska ändamål. Den som behandlar personuppgifter för den personuppgiftsansvariges räkning benämns personuppgiftsbiträde. En statistikansvarig myndighet ska kunna vara personuppgiftsbiträde åt en annan statistikansvarig myndighet. Behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser I artikel 9.1 i dataskyddsförordningen föreskrivs att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. Dessa kategorier av personuppgifter motsvarar i stort sett vad som enligt 13 § PUL utgör känsliga personuppgifter. Artikel 10 i dataskyddsförordningen föreskriver att behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder endast får utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. När det gäller personuppgifter om lagöverträdelser innebär artikel 10 i dataskyddsförordningen vissa ändringar jämfört med tidigare bestämmelser i dataskyddsdirektivet, då tillämpningsområdet begränsats till enbart fällande brottmålsdomar. Huvudregeln är enligt PUL att det är förbjudet att behandla känsliga personuppgifter och förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Det finns dock flera undantag. Enligt 15 § lagen om den officiella statistiken får känsliga personuppgifter och uppgifter om lagöverträdelser m.m. behandlas om det följer av föreskrifter som regeringen meddelar.