prop · H503115 · 2018-02-27 00:00:00 — Enligt den bestämmelsen gäller att om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för den fysiska personen, grundas enbart på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos personen, ska den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. Det finns inte någon hänvisning i 1 kap. 3 § lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar som gör personuppgiftslagens bestämmelser om automatiserade beslut tillämpliga vid personuppgiftsbehandling enligt lagen. I förarbetena har detta motiverats med att 29 § PUL förutsätter att de uppgifter på vilka den automatiserade behandlingen grundas är sådana som är avsedda att bedöma vissa personliga egenskaper hos den som är föremål för beslutet, t.ex. arbetsprestationer, kreditvärdighet, pålitlighet och uppträdande, och att det inte torde komma i fråga att fatta sådana beslut helt automatiserat i de aktuella verksamheterna (se prop. 2000/01:33 s. 94). Regleringen om automatiserade beslut i artikel 22 i dataskyddsförordningen har dock en annan utformning än motsvarande bestämmelser i personuppgiftslagen och dataskyddsdirektivet. Enligt artikel 22.1 har den registrerade rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. I artikel 4.4 i förordningen definieras profilering som ”varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar”. Från huvudregeln i artikel 22.1 görs vissa undantag i artikel 22.2. Bland annat ska artikel 22.1 inte tillämpas om beslutet tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade 2017/18:115 intressen (artikel 22.2 b). Beslut får enligt artikel 22.4 grunda sig på känsliga personuppgifter endast om behandlingen sker med stöd av artikel 9.2 a (samtycke) eller g (viktigt allmänt intresse) och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits. Artikel 22 är direkt tillämplig i medlemsstaterna men med stöd av artikel 23 är det möjligt att i nationell rätt begränsa tillämpningsområdet för Medan artikel 15.1 i dataskyddsdirektivet och 29 § PUL tar sikte på s.k. profilering gäller dataskyddsförordningen enligt sin lydelse beslut som enbart grundas på automatiserad behandling, inbegripet profilering. Frågan är om detta innebär att förordningens reglering har ett bredare tillämpningsområde än den nuvarande regleringen. Det kan konstateras att artikel 22 till sin ordalydelse kan tolkas på olika Bestämmelsen kan läsas så, vilket Datainspektionen anser är riktigt, att den är generellt tillämplig på automatiserade beslut. inbegripet profilering skulle då endast vara en upplysning om att bestämmelsen även omfattar profilering. Artikel 22 kan dock även läsas så att den automatiserade behandlingen måste omfatta profilering enligt definitionen i artikel 4.4 för att bestämmelsen ska bli tillämplig. som grundas på sådan behandling bör inte förekomma enligt lagen om behandling av personuppgifter i verksamhet med val och I skäl 71 i dataskyddsförordningen utvecklas frågan om automatiserat Där framgår att den registrerade bör ha rätt att inte bli föremål för ett beslut, vilket kan inbegripa en åtgärd, med bedömning av personliga aspekter rörande honom eller henne, vilket enbart grundas på automatiserad behandling och medför rättsverkan för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, såsom ett automatiserat avslag på en kreditansökan online eller e-rekrytering utan Vidare framgår att sådan behandling omfattar ”profilering” i form av automatisk behandling av personuppgifter med bedömning av personliga aspekter rörande en fysisk person, särskilt för att analysera eller förutse aspekter avseende den registrerades arbetsprestation, ekonomiska situation, hälsa, personliga preferenser eller intressen, pålitlighet eller beteende, vistelseort eller förflyttningar, i den mån dessa har rättsverkan rörande honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. sådan behandling, inbegripet profilering, bör dock, enligt skäl 71, tillåtas när det uttryckligen beviljas genom unionsrätten eller medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av, inbegripet för sådan övervakning och sådant förebyggande av bedrägerier och skatteundandragande som genomförs i enlighet med unions- institutionernas eller de nationella tillsynsorganens bestämmelser, standarder och rekommendationer samt för att sörja för tillförlitlighet hos en tjänst som tillhandahålls av den personuppgiftsansvarige, eller när det krävs för ingående eller genomförande av ett avtal mellan den registrerade och en personuppgiftsansvarig eller den registrerade har gett sitt Denna form av uppgiftsbehandling bör, enligt skäl 71, under alla omständigheter omgärdas av lämpliga skyddsåtgärder, som information till den registrerade och rätt att framföra sina synpunkter, att erhålla förklaring till det beslut som fattas efter sådan bedömning och att Prop. 2017/18:115 överklaga beslutet. Det kan alltså konstateras att skäl 71 endast tycks behandla automatiserade beslut grundade på profilering. Det kan vidare konstateras att skäl 73, vid uppräkningen av rättigheter som kan begränsas enligt artikel 23, endast omnämner ”profileringsbaserade beslut”. Det anförda talar för att avsikten med artikel 22 i dataskyddsförordningen är att endast omfatta automatiserade beslut som innefattar profilering. Någon säker slutsats kan dock i avsaknad av praxis inte dras i denna fråga. Även om en annan tolkning av artikel 22.1 i dataskyddsförordningen skulle göras, dvs. att bestämmelsen också omfattar automatiserat beslutsfattande som inte grundar sig på profilering, kan det emellertid konstateras att automatiserat beslutsfattande generellt är tillåtet för svenska myndigheter. Detta kommer bl.a. till uttryck i 28 § i förvaltningslagen (2017:900), som träder i kraft . I paragrafens första stycke tydliggörs att ett beslut kan fattas automatiserat och i propositionen uttalar regeringen att detta är ett klargörande av att det inte behövs en reglering i en specialförfattning för att en myndighet ska kunna använda denna beslutsform (propositionen En modern och rättssäker förvaltning – ny förvaltningslag, prop. 2016/17:180 s. 179– 180). Sådana automatiserade beslut som fattas inom den svenska förvaltningen är föremål för de rättssäkerhetsgarantier som uppställs i förvaltningslagen. Utöver de allmänna kraven på legalitet, objektivitet och proportionalitet säkerställs rätten till insyn, krav på kommunikation liksom möjligheten till ändring och rättelse av beslut samt rätten att överklaga beslut som kan antas påverka någons situation på ett inte obetydligt sätt. Genom den förvaltningsrättsliga regleringen är beslutsfattandet omgärdat av sådana skyddsåtgärder (lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen) som anges i artikel 22.2 b. Skulle artikel 22 bedömas vara tillämplig också på annat automatiskt beslutsfattande än profilering, och skulle sådant beslutsfattande förekomma inom den centrala valmyndighetens, eller verksamhet enligt lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar, kommer det således att finnas författningsstöd för detta beslutsfattande. För det fall det skulle förekomma beslut som grundar sig på känsliga personuppgifter måste det anses utgöra ett sådant viktigt allmänt intresse som omnämns i artikel 22.4, att aktuella myndigheter kan bedriva sin verksamhet med val och folkomröstningar på ett korrekt, rättssäkert och effektivt sätt (se prop. 2017/18:105 s. 85). Artikel 22.4 uppställer även krav på att lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits. Detta är ett krav som får anses rikta sig direkt till den personuppgiftsansvarige och således inte i sig förutsätter några nationella lagstiftningsåtgärder. Sammanfattningsvis innebär detta att det inte finns skäl att ändra lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar med anledning av artikel 22 i dataskyddsförordningen. 2017/18:115 5.9 Regeringens förslag: Det ska införas en bestämmelse som tydliggör att rätten att ta ut avgifter för att lämna ut uppgifter ur databaser enligt lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar inte får utgöra en inskränkning i förhållande till regleringen i EU:s dataskyddsförordning om registrerades rätt till kostnadsfria åtgärder. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser som yttrar sig tillstyrker eller har inga synpunkter på förslaget. Skälen för regeringens förslag: Av 2 kap. 14 och 24 §§ lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar följer att den centrala valmyndigheten, och får ta ut avgifter för att lämna ut uppgifter ur databaserna enligt de närmare föreskrifter som meddelas av regeringen. Vidare framgår att rätten att ta ut avgifter inte får innebära en inskränkning i rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt tryckfrihetsförordningen. I förarbetena till bestämmelsen uttalade regeringen bl.a. följande. Enskilda har normalt möjlighet att få tillgång till uppgifter med stöd av tryckfrihetsförordningen. För sådant uppgiftsutlämnande finns särskilda bestämmelser om avgifter. När enskilda vill ta del av en större mängd uppgifter på medium för automatiserad behandling – vilket inte omfattas av tryckfrihetsförordningens bestämmelser – av t.ex. marknadsföringsskäl eller av andra orsaker som betingas av bedriven näringsverksamhet, finns det anledning att låta dem som drar nytta av uppgifterna bidra ekonomiskt till den verksamhet från vilken utlämnandet sker. Vid utlämnande på elektronisk väg till enskilda bör de utlämnande myndigheterna således få ta ut avgifter (prop. 2000/01:33 s. 119). I artikel 12.5 a i dataskyddsförordningen fastslås att information som tillhandahålls enligt artiklarna 13 och 14 samt all kommunikation och samtliga åtgärder som vidtas enligt artiklarna 15– 22 och 34 ska tillhandahållas kostnadsfritt. För en begäran från en registrerad som är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art, får den personuppgiftsansvarige dock ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts. Bestämmelsen avser alltså bl.a. registrerades rätt till information och till tillgång till personuppgifter m.m. enligt artiklarna 13–15. Det bör tydliggöras att regleringen om avgifter i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar inte innebär en inskränkning av registrerades rätt till kostnadsfria åtgärder enligt artikel 12.5 a i förordningen. En bestämmelse med denna innebörd bör därför införas i lagen. Hänvisningen till dataskyddsförordningen avser förordningen i den gällande lydelsen (se avsnitt 5.3). 6Personuppgiftsbehandling vid medborgarinitiativ, medborgarförslag och folkinitiativ Regeringens bedömning: Den personuppgiftsbehandling som är nödvändig för att berörda myndigheter ska kunna utföra sina författningsreglerade förpliktelser i samband med medborgarinitiativ, medborgarförslag eller folkinitiativ kräver ingen ytterligare författningsreglering. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen efterlyser en analys av om särreglering krävs för aktuell personuppgiftsbehandling som utgår från dataskyddsförordningens krav. Övriga remissinstanser som yttrar sig tillstyrker eller har inte några invändningar mot promemorians bedömning. Skälen för regeringens bedömning kan medborgare i EU, i enlighet med och rådets förordning (EU) nr 211/2011 av om medborgarinitiativet, genomföra ett s.k. medborgarinitiativ för att uppmana Europeiska kommissionen att lägga fram ett visst lagförslag. Medborgarinitiativet är en form av direktkanal för EU:s medborgare att föra fram sina synpunkter och påverka kommissionen att föreslå en rättsakt inom EU:s kompetensområde. För att kommissionen ska behandla initiativet krävs att det stöds av sammanlagt minst en miljon medborgare med medborgarskap i minst sju olika EU-länder som har uppnått rösträttsåldern för val till . Ett initiativ stöds genom att medborgaren fyller i ett särskilt stödförklaringsformulär. I varje EU-land är en särskild myndighet utpekad för att kontrollera och intyga stödförklaringar för medborgarinitiativ. I har regeringen utsett som ansvarig myndighet (2 § förordningen [2007:977] med instruktion för ). Uppdraget innebär bl.a. att myndigheten ska kontrollera och intyga antalet giltiga stödförklaringar som har gjorts av unionsmedborgare från . De behöriga myndigheterna ska från mottagandet av begäran kontrollera de översända stödförklaringarna på lämpligt sätt, i förekommande fall i enlighet med nationell lagstiftning och praxis (artikel 8.2 i förordningen om medborgarinitiativet). På grundval av denna kontroll ska de tillhandahålla organisatörerna ett intyg som överensstämmer med i en bilaga till förordningen, i vilket antalet giltiga stödförklaringar för den berörda medlemsstaten intygas. I kommunallagen (2017:725) regleras två olika nationella institut som båda syftar till att ge enskilda en möjlighet att påverka den kommunala politiken: medborgarförslag och folkinitiativ. Enligt 8 kap. 1 § KL får den som är folkbokförd i kommunen eller i en kommun inom , om fullmäktige har beslutat det, väcka ärenden i fullmäktige (medborgarförslag). Detsamma gäller unionsmedborgare som avses i 1 kap. 5 § andra stycket KL. Enligt 8 kap. 2 § första stycket KL får ett ärende om att hålla folkomröstning i en viss fråga väckas i kommunfullmäktige av av de röstberättigade kommun- eller landstingsmedlemmarna enligt lagen om kommunala folkomröstningar (folkinitiativ). Initiativet ska vara skriftligt, ange den aktuella frågan samt innehålla initiativtagarnas egenhändiga namnteckningar, uppgifter om när namnteckningarna gjorts, namnförtydliganden, personnummer och uppgift om deras adresser. Behandling av personuppgifter vid medborgarinitiativ, medborgarförslag och folkinitiativ För att respektive kommunerna ska kunna hantera medborgarinitiativ, medborgarförslag och folkinitiativ och bl.a. kontrollera att initiativen stöds av tillräckligt många medborgare respektive röstberättigade kommunmedlemmar, krävs viss personuppgiftsbehandling. Sådan behandling av personuppgifter omfattas dock inte av tillämpningsområdet för lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Bedömningen har gjorts att det inte behövs någon särreglering av denna personuppgiftsbehandling som omfattas av de generella reglerna i personuppgiftslagen (se t.ex. promemoria , Medborgarinitiativ i Europeiska unionen s. 19, Ju2011/06798/D). har dock i ett remissvar beträffande departementspromemorian Några frågor om offentlighet och sekretess (Ds 2016:2) väckt frågan om behovet av ett särskilt författningsstöd vid behandlingen av personuppgifter i den aktuella verksamheten (Ju2016/01065). påpekar att vissa skrivningar i promemorian om att de uppgifter som behandlas kan röja en persons åskådning om politik, religion eller liknande känsliga frågor aktualiserar förbudet mot att behandla känsliga personuppgifter. menar därför att frågan om tillåtligheten av den aktuella personuppgiftsbehandlingen behöver analyseras ytterligare. Regeringen bedömer att den behandling av personuppgifter som kan bli aktuell för respektive kommunerna i samband med ett medborgarinitiativ, medborgarförslag eller folkinitiativ är nödvändig för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Personuppgiftsbehandlingen kan således ske med stöd av 10 § b, d och e PUL respektive artikel 6.1 c och e i dataskyddsförordningen. Enligt artikel 6.3 i dataskyddsförordningen krävs att den grund för behandlingen som avses i artikel 6.1 c och e ska vara fastställd i unionsrätten eller i nationell rätt. Genom den ovan redovisade författningsregleringen av medborgarinitiativ, medborgarförslag och folkinitiativ är grunden för behandlingen fastställd på det sätt som krävs enligt förordningen. När det gäller behandling av känsliga personuppgifter, bl.a. uppgifter som avslöjar politiska åsikter, är sådan behandling förbjuden enligt 13 § första stycket b PUL. För att behandling av känsliga personuppgifter ska vara tillåten krävs att något av lagens undantag är tillämpligt. Enligt 15 § PUL får exempelvis känsliga personuppgifter behandlas om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Enligt 16 § första stycket c PUL får känsliga personuppgifter också behandlas om behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Motsvarande förbud och undantagsregler finns i artikel 9.1 respektive 9.2 a, e och f i dataskyddsförordningen. Datainspektionen har i ett tillsynsbeslut prövat om en kommuns hantering av personuppgifter i samband med ett folkinitiativ har varit förenligt med bestämmelserna i personuppgiftslagen (beslut , dnr 440-2013). I beslutet konstaterade Datainspektionen att kommunen hade behandlat känsliga personuppgifter genom att upprätta en lista med personnummer över de personer som undertecknat det aktuella folkinitiativet (som rörde frågan om folkomröstning om trängselskatt) eftersom detta fick anses ha avslöjat personernas politiska åsikter på sätt som avses i 13 § PUL. Datainspektionen ansåg vidare att undantaget från förbudet att behandla känsliga uppgifter när den enskilde på ett tydligt sätt själv offentliggjort uppgifterna i 15 § PUL inte var tillämpligt. Däremot ansåg Datainspektionen att undantaget i 16 § första stycket c PUL var tillämpligt eftersom behandlingen var nödvändig för att fastställa ett rättsligt anspråk. Kommunen hade enligt Datainspektionen behövt fastställa om de som undertecknat folkinitiativet hade rätt att göra gällande sitt rättsliga anspråk på folkomröstning enligt reglerna om folkinitiativ i kommunallagen. Även om hanteringen av medborgarinitiativ, medborgarförslag och folkinitiativ i vissa fall kan kräva en behandling av uppgifter som kan anses avslöja politiska åsikter eller liknande finns ett stöd för behandling av sådana uppgifter både i den nuvarande och kommande generella personuppgiftsregleringen. Uppgifterna får nämligen behandlas om det är nödvändig för att fastställa ett rättsligt anspråk enligt 16 § första stycket c PUL, respektive artikel 9.2 f i dataskyddsförordningen. Enligt artikel i dataskyddsförordningen får känsliga personuppgifter dessutom under vissa förutsättningar behandlas om det är nödvändigt med hänsyn till ett viktigt allmänt intresse på grundval av unionsrätten eller medlemsstaternas nationella rätt. Motsvarande typ av undantag finns i det nuvarande dataskyddsdirektivet och kommer framförallt till uttryck i sektorsspecifik lagstiftning men också i exempelvis 8 § personuppgiftsförordningen som föreskriver att personuppgifter får behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Bestämmelsen gäller utöver den behandling som är tillåten enligt den s.k. missbruksregeln i 5 a § PUL. I propositionen Ny dataskyddslag föreslår regeringen bl.a. bestämmelser som innebär att myndigheter ska få behandla känsliga personuppgifter om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag eller är nödvändig för handläggningen av ett ärende, eller, i annat fall, om 2017/18:115 behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § dataskyddslagen). Ingen ytterligare författningsreglering krävs Regeringen konstaterar att det både genom regleringen i personuppgiftslagen och i dataskyddsförordningen finns ett tydligt rättsligt stöd för sådan personuppgiftsbehandling som är nödvändig för att berörda myndigheter ska kunna utföra sina författningsreglerade förpliktelser i samband med medborgarinitiativ, medborgarförslag och folkinitiativ. Mot denna bakgrund saknas anledning att utvidga tillämpningsområdet för lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar eller att på något annat sätt särreglera sådan personuppgiftsbehandling. Regeringens förslag: Författningsändringarna ska träda i kraft . Äldre föreskrifter om straff ska gälla för överträdelser som har skett före ikraftträdandet. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser som yttrar sig tillstyrker eller har inga synpunkter på promemorians förslag. Skälen för regeringens förslag: Enligt artikel 99 i dataskyddsförordningen ska förordningen träda i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning och börja tillämpas . Genom de författningsändringar som föreslås i denna proposition bedöms lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar vara i överensstämmelse med dataskyddsförordningen. Ändringarna bör träda i kraft som dataskyddsförordningen börjar tillämpas, dvs. Utgångspunkten enligt dataskyddsförordningen är att behandling som pågår den dag då förordningen börjar tillämpas ska bringas i överensstämmelse med förordningen (skäl 171). De personuppgiftsansvariga myndigheterna enligt lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar får därför förutsättas ha ordnat sin behandling så att exempelvis en begäran om information från en registrerad som inkommit, men inte hunnit besvaras, före kan tillmötesgås i enlighet med förordningens bestämmelser. Som regeringen konstaterar i propositionen Ny dataskyddslag följer av allmänna grundsatser att ny lagstiftning ska gälla i fråga om skadestånd med anledning av skadefall som inträffar efter ikraftträdandet, medan äldre lag ska tillämpas på skadefall som har inträffat (prop. 2017/18:105 s. 176). Det behöver därför inte införas någon övergångs- bestämmelse i denna del. Förslaget till dataskyddslag innebär vidare att den straffrättsliga regleringen i personuppgiftslagen upphävs. förslaget att upphäva hänvisningen till 49 § PUL i 1 kap. 3 § första stycket 9 lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar utmönstras straffregleringen även från denna lag. Som redogörs för i avsnitt 6.3 föreslås dataskyddslagen inte innehålla någon straffbestämmelse. En personuppgiftsansvarig eller ett personuppgiftsbiträde som bryter mot förordningen kommer i stället att kunna drabbas av sanktionsavgifter. Enligt regeringens förslag till dataskyddslag ska sådana avgifter även kunna påföras myndigheter (6 kap. 2 §). Detta väcker frågan om vad som ska gälla för straffbelagda gärningar som har begåtts vid behandling före . I propositionen Ny dataskyddslag gör regeringen bedömningen att äldre straffbestämmelser bör tillämpas på överträdelser som skett före den nya lagens ikraftträdande och föreslår en sådan övergångsbestämmelse (prop.