prop · H503133 · 2018-03-01 00:00:00 — Inom Miljö- och verksamhetsområde finns det författningar som pekar ut en myndighet att föra ett närmare angivet register eller en förteckning. En del av dessa anger även att den utpekade myndigheten är personuppgiftsansvarig för behandlingen av personuppgifter i det aktuella registret. Andra saknar uppgift om personuppgiftsansvar, t.ex. lagen om vattenförbund och lagen (1990:613) om miljöavgift på utsläpp av kväveoxider vid energiproduktion författningar. Vissa av de lagar som pekar ut en personuppgiftsansvarig myndighet innehåller också en hänvisning till personuppgiftslagen. Det gäller lagen om handel med utsläppsrätter och lagen om elcertifikat. Dataskyddsförordningen förutsätter att det finns en personuppgiftsansvarig för den personuppgiftsbehandling som utförs, men förordningen kräver inte att det ska finnas bestämmelser om vem som är personuppgiftsansvarig. Begreppet personuppgiftsansvarig har inte ändrats genom dataskyddsförordningen. Regeringen bedömer därför att det inte behövs kompletterande bestämmelser om vem som är personuppgiftsansvarig i de sektorsspecifika lagar som pekar ut en registerförande myndighet, men där bestämmelser om personuppgiftsansvar saknas. I lagen om handel med utsläppsrätter och lagen om elcertifikat, där det anges vilken myndighet som är personuppgiftsansvarig enligt personuppgiftslagen, måste dock hänvisningarna till personuppgiftslagen tas bort. 2017/18:133 6.3 Bestämmelser om behandling av Regeringens bedömning: Bestämmelserna om behandling av personnummer i lagar inom Miljö- och verksamhetsområde bör behållas. Promemorians bedömning överensstämmer i huvudsak med regeringens bedömning. Remissinstanserna har inga särskilda synpunkter på bedömningen. Skälen för regeringens bedömning: Enligt 22 § personuppgiftslagen får personnummer och samordningsnummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering, eller c) något annat beaktansvärt skäl. Regeringen eller den myndighet som regeringen bestämmer får enligt 50 § c personuppgiftslagen meddela närmare föreskrifter om i vilka fall användningen av personnummer är tillåten. Inom Miljö- och verksamhetsområde finns det författningar som reglerar vilka uppgifter myndigheter och i vissa fall även enskilda har att utföra. I vissa fall anges det även uttryckligen i författningarna vilken behandling av personuppgifter som är tillåten. Be- stämmelser om behandling av personuppgifter finns exempelvis i lagen om miljöavgift på utsläpp av kväveoxider vid energiproduktion. Enligt 18 § den lagen ska föra ett register över vad som förekommer i ett avgiftsärende. Från det register som förs får vissa angivna uppgifter lämnas ut till en enskild, om det inte av särskild anledning kan antas att den enskilde eller någon närstående lider men om uppgiften röjs. Enligt uppräkningen i tredje stycket får bl.a. uppgifter om namn och personnummer lämnas ut. I artikel 87 i dataskyddsförordningen finns det bestämmelser om identifikationsnummer. Enligt artikeln får medlemsstaterna närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Ett nationellt identifikationsnummer eller ett annat vedertaget sätt för identifiering ska i sådana fall endast användas med iakttagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt denna förordning. Regeringen bedömer i prop. 2017/18:105 att en särskild reglering av personnummer och samordningsnummer i den nya dataskyddslagen är motiverad och konstaterar att den intresseavvägning som sker enligt personuppgiftslagen är flexibel och väl anpassad för att förhindra omotiverad behandling av personnummer och samordningsnummer. Mot denna bakgrund föreslår regeringen i det lagstiftningsärendet att det ska införas en bestämmelse i dataskyddslagen som motsvarar 22 § personuppgiftslagen (3 kap. 10 § dataskyddslagen). Vidare föreslås att regeringen ska få meddela föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten (3 kap. 11 § dataskyddslagen). Bestämmelser om behandling av personnummer i lagar inom Miljö- och verksamhetsområde bedöms vara förenliga med 22 § personuppgiftslagen och bedöms därmed även vara förenlig med dataskyddsförordningen och den föreslagna bestämmelsen i dataskydds- Prop. 2017/18:133 lagen. Bestämmelserna kan därmed behållas. Regeringens förslag: En bestämmelse i lagen om energideklaration för byggnader som hänvisar till bestämmelser om rättelse i personuppgiftslagen tas bort. En bestämmelse i lagen om elcertifikat som särreglerar rätten till rättelse kompletteras med en upplysning om att rättelsebestämmelsen i den lagen gäller i stället för bestämmelsen om rättelse i EU:s dataskyddsförordning. En bestämmelse i lagen om handel med utsläppsrätter, som reglerar rätten till rättelse utanför dataskyddsförordningens tillämpningsområde, kompletteras med en upplysning om att vid behandling av personuppgifter enligt den lagen gäller i stället rätten till rättelse enligt dataskyddsförordningen. Promemorians förslag överensstämmer delvis med regeringens förslag. I fråga om rätten att göra invändningar överensstämmer promemorians förslag inte med regeringens bedömning. I promemorian föreslås att en förtydligande hänvisning till dataskyddsförordningens bestämmelser om rätten att göra invändningar ska införas i 18 § 5 lagen om energideklaration för byggnader. Regeringen lämnar inget förslag till ändring av den bestämmelsen. Vidare finns det några lagtekniska skillnader mellan promemorians och regeringens förslag. Remissinstanser: Flertalet av remissinstanserna har inga särskilda synpunkter på förslagen. tillstyrker förslagen avseende lagen om handel med utsläppsrätter och lagen om elcertifikat. Datainspektionen tillstyrker däremot inte den förslagna ändringen i fråga om rätten till rättelse i lagen om elcertifikat. Datainspektionen efterfrågar en analys av huruvida rättelsebestämmelsen i lagen om elcertifikat är förenlig med dataskyddsförordningen, och särskilt det tidsutrymme som enligt artikel 16 finns att utreda om rättelse ska ske och en närmare beskrivning av bedömningen som visar att kraven i artikel 23.2 i förordningen är uppfyllda. I fråga om rätten att göra invändningar avstyrker Datainspektionen promemorians förslag och ifrågasätter om det är fråga om enbart ett återgivande av dataskyddsförordningens bestämmelser samt framhåller att den föreslagna regleringen lämnar utrymme för olika tolkningar. framhåller bl.a. att förslagen innebär försämringar av privatpersoners rättigheter till dataskydd i förhållande till nuvarande rätt och att privatpersoners rättigheter försvagas samt att flera registreringsåtgärder undantas från räckvidden av dataskyddsbestämmelserna. När det gäller förslaget att 20 § lagen om energideklaration för byggnader ska tas bort anser att borttagandet av bestämmelsen medför att rätten till rättelse inte går att tillämpa på 18 § 1–4 samma lag. Skälen för regeringens förslag I dataskyddsförordningens tredje kapitel finns bestämmelser om den registrerades rättigheter. Bestämmelserna rör bl.a. rätten till information, rätten till rättelse, rätten att göra invändningar och rätten till begränsning av behandling. Bestämmelserna om den registrerades rättigheter, med motsvarande skyldigheter för den personuppgiftsansvarige, är direkt tillämpliga. Regeringen bedömer därmed att det inte behövs några nya bestämmelser som slår fast att dessa rättigheter gäller. Av artikel 16 i dataskyddsförordningen följer att den enskilde utan onödigt dröjsmål har rätt till rättelse av felaktiga personuppgifter. Med beaktande av ändamålet med behandlingen, ska den registrerade vidare ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande. I skäl 59 till dataskyddsförordningen anges bl.a. att personuppgiftsansvariga utan onödigt dröjsmål och senast inom en månad bör vara skyldiga att besvara registrerades önskemål och lämna en motivering om de inte avser att uppfylla sådana önskemål. Enligt artikel 5.1 d gäller därutöver som princip för behandling av personuppgifter att de ska vara korrekta och om nödvändigt uppdaterade och att alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Av artikel 23 i dataskyddsförordningen följer att rättigheterna under vissa förutsättningar kan begränsas. Enligt artikel 23.1 får begränsning av rättigheter under vissa förutsättningar ske för att säkerställa skydd för den registrerades eller andras fri- och rättigheter. I den mån sådana begränsningar kan medföra ytterligare skyldigheter för enskilda eller kommuner eller innebära ingrepp i enskildas personliga förhållanden ska de enligt 8 kap. 2 § första stycket 2 och 3 regeringsformen föreskrivas genom lag. Det krävs därmed i vissa fall ett bemyndigande i lag för att sektorsspecifik särreglering i förordningsform även i fortsättningen ska kunna innehålla föreskrifter om undantag. 2017/18:105 föreslår regeringen därför att det ska införas ett bemyndigande för regeringen att meddela ytterligare föreskrifter om begränsningar enligt artiklarna 23, 89.2 och 89.3 i dataskyddsförordningen. Vidare föreslår regeringen att artiklarna 13–15 om information och rätt att få tillgång till personuppgifter inte ska gälla sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Regeringen föreslår också att artikel 15 under vissa förutsättningar inte ska gälla personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande (se 5 kap. dataskyddslagen). I artikel 23.2 anges att de lagstiftningsåtgärder som avses i punkten 1 ska innehålla specifika bestämmelser åtminstone, när så är relevant, avseende a) ändamålen med behandlingen eller kategorierna av behandling, b) kategorierna av personuppgifter, c) omfattningen av de införda begränsningarna, d) skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, e) specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga, f) lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling, g) riskerna för de registrerades rättigheter och friheter, och h) de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Rätten till rättelse av personuppgifter i energideklarationsregistret följer av dataskyddsförordningens direkt tillämpliga bestämmelse Dataskyddsdirektivet och personuppgiftslagen innehåller en rätt för en enskild att få personuppgifter rättade, utplånade eller blockerade. Personuppgiftslagens bestämmelse om rättelse avser endast behandling som har skett enligt personuppgiftslagen eller föreskrifter som har meddelats i anslutning till lagen (jfr 28 § personuppgiftslagen). För att bestämmelsen i 28 § personuppgiftslagen ska bli tillämplig på en behandling enligt en annan författning krävs det en hänvisning i den författningen till personuppgiftslagens bestämmelser. En sådan hänvisning finns i lagen om energideklaration för byggnader. När dataskyddsförordningen ska börja tillämpas kommer den registrerades rätt till rättelse av personuppgifter att framgå av förordningens direkt tillämpliga bestämmelse i artikel 16. Det behövs därmed inte någon hänvisning till denna bestämmelse i författningar inom Miljö- och verksamhetsområde för att den ska bli tillämplig. Bestämmelsen i 20 § lagen om energideklaration för byggnader, som hänvisar till personuppgiftslagens bestämmelse om rättelse, måste tas bort. Ett borttagande av bestämmelsen i 20 § innebär inte, såsom anför, att rätten till rättelse av personuppgifter i energideklarationsregistret begränsas i förhållande till dataskyddsförordningens bestämmelser eller att rätten till rättelse av personuppgifter inte omfattar samtliga delar av registret. Rätten till rättelse av personuppgifter i energideklarationsregistret kommer att följa av dataskyddsförordningens direkt tillämpliga bestämmelser. Rätten till rättelse enligt 3 kap. 15 § lagen om elcertifikat ska gälla i stället för dataskyddsförordningens bestämmelse om rättelse Av 3 kap. 15 § lagen om elcertifikat följer att en uppgift på ett certifikatkonto ska rättas om den innehåller någon uppenbar oriktighet till följd av skrivfel, räknefel eller liknande förbiseende eller till följdav något tekniskt fel. Den vars rätt berörs ska ges möjlighet att yttra sig, om inte rättelsen är till förmån för denne eller yttrandet annars är uppenbart obehövligt. Bestämmelsen har vissa likheter med den lagstadgade möjligheten för en myndighet att rätta ett av myndigheten meddelat beslut som innehåller uppenbara skrivfel, räknefel eller något annat liknande förbiseende (jfr 26 § förvaltningslagen (1986:223) och 36 § nya förvaltningslagen (2017:900)). Bestämmelsen är en särreglering i förhållande till 28 § personuppgiftslagen och dataskyddsdirektivet. Vid införandet av bestämmelsen gjorde regeringen bedömningen att de begränsningar som rättelsebestämmelsen innefattar avser bl.a. att skydda enskilds äganderätt och att begränsningarna därmed omfattas av undantaget i dataskyddsdirektivet (se prop. 2002/03:40 s. 91 och 169–170). Enligt artikel i direktivet får omfattningen av rätten till rättelse begränsas i nationell lagstiftning i de fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till skyddet för den registrerades eller andras 2017/18:133 fri- och rättigheter. Artikel 23.1 i dataskyddsförordningen motsvarar till stor del regleringen i dataskyddsdirektivets artikel . 23.1 i i dataskyddsförordningen är det möjligt att begränsa den registrerades rättigheter om begränsningen sker med respekt för ande- meningen i de grundläggande rättigheterna och friheterna och utgör en proportionerlig åtgärd i ett demokratiskt samhälle i syfte att säkerställa skydd av den registrerade eller andras rättigheter. Elcertifikatssystemet är ett marknadsbaserat stödsystem, som syftar till att främja en ökad elproduktion från förnybara energikällor. innebär att producenter av förnybar el under vissa förutsättningar blir till- delade elcertifikat av staten och att elleverantörer och vissa elanvändare har en skyldighet att inneha elcertifikat i förhållande till sin försäljning respektive användning av el (kvotplikt). På det sättet skapas en marknad för elcertifikat som innebär att förnybar el kan produceras kostnads- effektivt (se prop. 2010/11:155 s. 29). består av certifikatkonton som kontoföringsmyndigheten lägger upp för elcertifikatberättigade innehavare av anläggningar, för kvotpliktiga och deklarationsskyldiga samt efter skriftlig ansökan (3 kap. 1 §). ringsmyndigheten tilldelar elcertifikat genom att certifikatet registreras på det certifikatkonto som tillhör den elcertifikatberättigade innehavaren av en anläggning (3 kap. 2 §). Enligt 3 kap. 10 § får en innehavare av ett certifikatkonto, med de begränsningar som framgår av registreringar på kontot, förfoga över de elcertifikat som finns registrerade på kontot. Bestämmelsen i 3 kap. 10 § ger därmed uttryck för presumtionen att en innehavare anses ha rätt att förfoga över de elcertifikat som finns registre- rade på dennes konto, om annat inte framgår av informationen på kontot. En registrering om kontohavarens konkurs, eller pantsättning, utmätning, kvarstad eller betalningssäkring avseende ett elcertifikat kan vara sådan information, som visar att kontohavaren inte har rätt att förfoga över certifikaten på kontot. En registrerad uppgift på ett certifikatkonto är alltså sådan information som visar vem som inom ramen för elcertifikatsystemet är behörig respektive inte behörig att förfoga över certifikat på kontot. av uppgifter på ett certifikatkonto medför därmed viktiga rättsverkningar för den registrerade innehavaren och utgör även grunden för ett väl Mot denna bakgrund gör regeringen, till skillnad från Datainspektionen, bedömningen att en begränsning av rätten till rättelse kan ske i syfte att bl.a. skydda enskilds äganderätt (se även bedömningen i det tidigare lagstiftningsärendet, prop. 2002/03:40 s. 91 och 169–170). Det är enligt regeringens mening fråga om en begränsning som syftar till att säkerställa skydd för den registrerades eller andras fri- och rättigheter på sätt som föreskrivs i artikel 23.1 i i dataskyddsförordningen. Begränsningen är nödvändig och proportionell för att säkerställa registrerade innehavares behörighet att förfoga över certifikat på kontot och för att kontoföringsmyndigheten effektivt ska kunna utföra de uppgifter som myndigheten tilldelats av riksdag och regering. rättelse görs enligt lagen om elcertifikat ska kommunicering ske med den vars rätt berörs, om inte rättelsen är till förmån för denne eller yttrandet annars är uppenbart obehövligt. Den personuppgiftsansvarige har därmed en utredningsskyldighet innebärande att denne, i de fall som rättelsen inte är till förmån för den berörde, ska kommunicera med den vars rätt berörs om det inte är uppenbart obehövlig. Även detta bedöms förenligt med det tidsutrymme som enligt artikel 16 i dataskyddsförordningen finns att utreda om rättelse ska ske. När det gäller dataskyddsförordningens krav på begränsande lagstiftning i artikel 23.2 kan det konstateras att omfattningen av den aktuella begränsningen framgår av ordalydelsen i 3 kap. 15 § lagen om elcertifikat. Vidare innehåller lagen om elcertifikat bl.a. specifika ändamålsbestämmelser och bestämmelser om personuppgiftsansvar som enligt regeringens uppfattning uppfyller de krav som enligt artikel 23.2 dataskyddsförordningen ställs på begränsande lagstiftning. Sammantaget anser regeringen att det är förenligt med dataskyddsförordningen att behålla den särskilda rättelsebestämmelsen i lagen om elcertifikat. För att tydliggöra att det vid rättelse av personuppgifter är bestämmelsen i 3 kap. 15 § lagen om elcertifikat som ska tillämpas i stället för dataskyddsförordningens bestämmelse om rättelse ska en upplysning om det införas i den lagen. Bestämmelsen i 4 kap. 19 § första stycket lagen om handel med utsläppsrätter innebär inte någon begränsning av rätten till rättelse enligt dataskyddsförordningen I 4 kap. 19 § lagen om handel med utsläppsrätter finns en bestämmelse om rättelse som är delvis likalydande med rättelsebestämmelsen i lagen om elcertifikat. Av bestämmelsens första stycke följer att en uppgift på ett konto i unionsregistret ska rättas, om den innehåller någon uppenbar oriktighet till följd av skrivfel, räknefel eller liknande förbiseende eller till följd av något tekniskt fel. Den vars rätt berörs ska ges möjlighet att yttra sig, om inte rättelsen är till förmån för denne eller yttrandet annars är uppenbart obehövligt. I bestämmelsens andra stycke anges att bestämmelser om återkallande av transaktioner i unionsregistret finns i artikel 70 i registerförordningen. Slutligen uttrycks det, i bestämmelsens tredje stycke, att vid behandling av personuppgifter enligt denna lag gäller i stället för första stycket bestämmelserna om rättelse i 28 § personuppgiftslagen. I förarbetena till lagen om handel med utsläppsrätter anges bl.a. att med den utformning som den kommande registerförordningen fått uppställs inga hinder för tillämpning av personuppgiftslagens bestämmelser och det saknas anledning att komplettera lagen med särskilda bestämmelser avseende utsläppsrättsregistret (se prop. 2004/05:18 s. 61). Av artikel 2.1 i dataskyddsförordningen följer att förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår eller kommer att ingå i ett register. Eftersom den särskilda regleringen om rättelse av uppenbara oriktigheter, i 4 kap. 19 § första stycket lagen om handel med utsläppsrätter, inte gäller vid behandling av personuppgifter bedöms regleringen inte stå i strid med dataskyddsförordningen eller utgöra någon begränsning av rätten till rättelse enligt förordningen. Vid rättelse av personuppgifter på ett konto i unionsregistret gäller alltså dataskyddsförordningens direkt tillämpliga bestämmelse om rättelse i artikel 16. Bestämmelsen i 4 kap. 19 § första stycket lagen om handel med utsläppsrätter föranleder därmed inte några lagändringar. För att tydliggöra vilken reglering som ska tillämpas vid 2017/18:133 personuppgiftsbehandling och att 4 kap. 19 § första stycket lagen om handel med utsläppsrätter inte utgör någon begränsning av dataskyddsförordningens bestämmelser om rättelse bör dock hänvisningen till personuppgiftslagen ersättas med en hänvisning till dataskyddsförordningens bestämmelse om rättelse. Rätten till begränsning av behandling föranleder inte några lagändringar inom Miljö- och verksamhetsområde Enligt artikel 18 i dataskyddsförordningen har den registrerade rätt att under vissa förutsättningar kräva att behandlingen av personuppgifter begränsas. Den registrerade kan kräva att behandlingen begränsas om a) den registrerade bestrider personuppgifternas korrekthet, b) behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas, c) den personuppgiftsansvarige inte längre behöver personuppgifterna för ändamålen med behandlingen men den registrerade behöver uppgifterna för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller d) den registrerade har invänt mot behandling i enlighet med artikel 21.1 i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl (artikel 18.1). Med begränsning av behandling avses, enligt definitionen i artikel 4.3 i dataskyddsförordningen, markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa . Rätten till begränsning av behandling ersätter den åtgärd som i artikel 12 b i dataskyddsdirektivet benämns som blockering. Bestämmelsen har genomförts i 28 § personuppgiftslagen, tillsammans med rätten till rättelse och utplåning. Artikel 18 i dataskyddsförordningen är direkt tillämplig och det behövs inte någon ny bestämmelse som slår fast att denna rätt till begränsning av behandling gäller. Det finns inte heller anledning att införa mer långtgående rätt till begränsning än den som följer av dataskyddsförordningen. I fråga om lagen om elcertifikat, som med hänsyn till enskilds äganderätt innehåller en begränsning av rätten till rättelse av uppgifter på ett certifikatkonto, har det inte framkommit något behov av att inskränka rätten till begränsning av behandling. Förutsättningarna för begränsning av behandling enligt artikel 18 i dataskyddsförordningen framstår som proportionella i förhållande till elcertifikatregistrets funktion. Om behandlingen har begränsats med anledning av att någon av förutsättningarna för begränsning är uppfyllda, får sådana personuppgifter enligt artikel 18.2 i dataskyddsförordningen dock behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller försvara ett rättsligt anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör något viktigt allmänintresse för unionen eller en medlemsstat. De beaktansvärda intressen som kan finnas mot en begränsning av behandling av uppgifter på ett certifikatkonto bedöms därmed i förevarande fall anses tillgodosedda genom de direkt tillämpliga bestämmelserna i artikel 18 i dataskyddsförordningen. Rätten till begränsning av behandling föranleder därmed inte några förslag till lagändringar inom Miljö- och verksamhetsområde. Rätten att göra invändningar föranleder inte några lagändringar inom Miljö- och verksamhetsområde