prop · H503120 · 2018-03-06 00:00:00 — Regeringens proposition 2017/18:120 Regeringen överlämnar denna proposition till . Regeringen lämnar förslag som anpassar kreditupplysningslagen till EU:s nya dataskyddsförordning i fråga om vilka krav som ställs vid behand- ling av personuppgifter och vilken information som ska lämnas till den registrerade. Förslagen innebär att behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning förbjuds i kreditupplysningsverksamhet. De innebär också att när en kreditupplysning lämnas ut ska fysiska personer ges rätt till information om bl.a. varifrån uppgifterna har hämtats, hur länge de kommer att lagras och möjligheten att framställa klagomål till Data- inspektionen. Rätten för en fysisk person att få tillgång till personupp- gifter som rör honom eller henne kommer i fortsättningen att regleras i EU:s dataskyddsförordning. En ändring föreslås även i lagen om 1996 års . Ändringen innebär att en hänvisning till personuppgiftslagen tas bort. I propositionen görs en bedömning som inte har koppling till EU:s dataskyddsförordning. Den innebär att det inte bör införas något förbud i kreditupplysningslagen mot att en kreditupplysning om en näringsidkare innehåller uppgifter om betalningsförsummelser som inte har blivit fastställda av en domstol eller . Lagändringarna föreslås träda i kraft , vilket är som EU:s dataskyddsförordning börjar tillämpas. Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i kreditupplysningslagen (1973:1173) ........................................................................ 2.2Förslag till lag om ändring i lagen (2012:318) om Ärendet och dess beredning ............................................................ Dataskyddsdirektivet och den nationella 4.2Dataskyddsförordningen och behovet att anpassa En anpassning till dataskyddsförordningen..................................... Förhållandet mellan nationell reglering och 6.2En fastställd rättslig grund för behandling av 6.3Grundläggande krav för behandling av Krav på tillstånd för att bedriva verksamhet .................... 6.5Behandling av känsliga personuppgifter och uppgifter om lagöverträdelser........................................... Information till den registrerade....................................... Rättelse och begränsning av behandling .......................... Invändning mot behandling av personuppgifter............... Säkerhet vid behandling av personuppgifter .................... Tillsyn och överklagande ................................................. Straff och vite ................................................................... Överföring av personuppgifter till tredjeland................... Innehållet i en kreditupplysning om ett företag .............................. Ikraftträdande- och övergångsbestämmelser................................... Förslaget till lag om ändring i kreditupplysningslagen (1973:1173) ................................ 10.2Förslaget till lag om ändring i lagen (2012:318) om och rådets förordning (EU) 2016/679.......................................................................... (Ds 2017:26).................................................................. Förteckning över remissinstanserna .............................. Sammanfattning av betänkandet (SOU 2015:77) .......... Förteckning över remissinstanserna .............................. Utdrag ur protokoll vid regeringssammanträde ........ 2017/18:120 1 Regeringen föreslår att antar regeringens förslag till 1.lag om ändring i kreditupplysningslagen (1973:1173), 2.lag om ändring i lagen (2012:318) om 1996 års . Regeringen har följande förslag till lagtext. 2.1Förslag till lag om ändring i kreditupplysningslagen (1973:1173) Härigenom föreskrivs i fråga om kreditupplysningslagen (1973:1173)1 dels att 5, 6, 10–12, 15 och 21 §§ och rubriken närmast före 12 § ska ha följande lydelse, dels att det ska införas två nya paragrafer, 1 a och 12 a §§, och närmast före 12 a § en ny rubrik av följande lydelse. Denna lag innehåller, i den del den avser behandling av person- uppgifter, bestämmelser som kom- (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (allmän data- Vid sådan behandling av per- sonuppgifter som omfattas av EU:s lagen (2018:000) med komplette- rande bestämmelser till EU:s data- som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som regeringen har meddelat i anslut- ning till lagen. 1 Lagen omtryckt 1981:737. bedrivas så att den inte leder till bedrivas så att den inte leder till otillbörligt intrång i personlig inte- otillbörligt intrång i personlig inte- gritet genom innehållet i de upp- gritet genom innehållet i de upp- lysningar som förmedlas eller på lysningar som förmedlas eller på annat sätt eller till att oriktiga eller annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller av personuppgiftslagen (1998:204) gäller i stället 9 § första stycket a, gäller i stället artikel 5 i den för- b och d–h den lagen. Uppgifter om fysiska personer får samlas in endast för kreditupplys- Vid helt eller delvis automatise- Vid helt eller delvis automatise- rad behandling av uppgifter om rad behandling av uppgifter om juridiska personer skall den som juridiska personer ska den som be- samhet vidta lämpliga tekniska och het vidta lämpliga tekniska och för att hindra att behandlingen sker för att hindra att behandlingen sker på ett otillåtet sätt och att uppgif- på ett otillåtet sätt och att uppgif- terna utsätts för otillåten insyn. terna utsätts för otillåten insyn. stämmelser om säkerheten vid be- stämmelser om säkerheten vid be- handling av personuppgifter finns i handling av personuppgifter finns i 30–32 §§ personuppgiftslagen. Utan hinder av 10 § personupp- giftslagen får personuppgifter be- får personuppgifter behandlas utan handlas utan samtycke i kredit- inte rätt att göra invändningar en- trerade kan inte heller motsätta sig ligt artikel 21.1 i EU:s dataskydds- förordning mot behandlingen. Andra stycket tillämpas inte i tillämpas inte i den utsträckning den utsträckning det skulle strida det skulle strida mot bestämmel- mot bestämmelserna i tryckfrihets- Uppgifter om en persons ras, et- niska ursprung, politiska uppfatt- ning, religiösa eller filosofiska över- tygelse, medlemskap i fackförening, hälsa eller sexualliv får inte behand- las i kreditupplysningsverksamhet. Personuppgifter som avses i ar- tikel 9.1 i EU:s dataskyddsförord- ning (känsliga personuppgifter) får inte behandlas i kreditupplysnings- verksamhet. 2Senaste lydelse 2001:164. 3Senaste lydelse 2001:164. Uppgifter om lagöverträdelser som innefattar brott, domar i brott- mål, straffprocessuella tvångsme- del eller administrativa frihetsbe- rövanden får inte utan medgivande av Datainspektionen behandlas i kreditupplysningsverksamhet. Ett medgivande som avses i andra stycket får lämnas endast om det finns synnerliga skäl. Vad som anges i andra stycket hindrar inte att uppgifter om betal- ningsförsummelser, kreditmissbruk eller näringsförbud behandlas i kreditupplysningsverksamhet. Uppgifter om lagöverträdelser Prop. 2017/18:120 som innefattar brott, domar i brott- mål, straffprocessuella tvångsmedel eller administrativa frihetsberövan- den får inte utan medgivande av Datainspektionen behandlas i kre- ditupplysningsverksamhet. Ett med- givande får lämnas endast om det finns synnerliga skäl för det. Andra stycket hindrar inte att uppgifter om betalningsförsummel- ser, kreditmissbruk eller närings- förbud behandlas i kreditupplys- ningsverksamhet. Var och en har rätt att mot skälig En juridisk person har rätt att avgift hos den som bedriver kredit- mot skälig avgift hos den som be- ligt besked om huruvida det i verk- het få skriftligt besked om huru- samheten behandlas uppgifter om vida det i verksamheten behandlas Fysiska personer har rätt uppgifter om den juridiska per- att en gång per kalenderår få ett ska besked lämnas om uppgifter skall besked lämnas om a) vilka uppgifter som behand- a) vilka uppgifter b) ändamålen med fysisk person: varifrån uppgifterna c) ändamålen med behandlingen c) till vilka mottagare eller kate- gorier av mottagare som uppgif- d) till vilka mottagare eller kate- terna lämnas ut. gorier av mottagare som upp- gifterna lämnas ut. Bestämmelserna i första stycket Första stycket tillämpas inte i tillämpas inte i den utsträckning den utsträckning det skulle strida det skulle strida mot bestämmel- mot bestämmelserna i tryckfrihets- Bestämmelser om en fysisk per- 4 Senaste lydelse 2001:164. 2017/18:120 första stycket om en fysisk person skall göras skriftligen och vara egenhändigt undertecknad. sons rätt till tillgång till person- uppgifter och annan information finns i artiklarna 12 och 15 i EU:s dataskyddsförordning. När en kreditupplysning om en fysisk person lämnas ut, ska till den som avses med upplysningen och kostnadsfritt sändas ett skriftligt meddelande om 1.vem som bedriver kreditupp- lysningsverksamheten, 2.ändamålen med behandlingen, 3.de uppgifter, omdömen och råd som upplysningen innehåller om honom eller henne, 4.möjligheten att få rättelse av de uppgifter som rör honom eller henne, och 5.vem som har begärt upplys- ningen. Om kreditupplysningen lämnas ut till ett svenskt kreditinstitut eller värdepappersbolag, eller till ett motsvarande utländskt företag, för att användas endast som underlag för beräkning av kapitalkravet för kreditrisker med en sådan metod som avses i artikel 143.1 i Europa- parlamentets och rådets förordning (EU) nr 575/2013 av om tillsynskrav för kredit- institut och värdepappersföretag och om ändring av förordning (EU) nr 648/2012, får meddelandet 1. vem som bedriver kreditupp- lysningsverksamheten och kontakt- uppgifter till dataskyddsombudet, om ett sådant ombud krävs enligt artikel 37 i EU:s dataskydds- förordning, 2.ändamålen med och den rätts- liga grunden för behandlingen, 3.vilka kategorier av person- uppgifter som behandlas, varifrån uppgifterna hämtats och hur länge uppgifterna kommer att lagras, 4.de uppgifter, omdömen och råd som upplysningen innehåller om honom eller henne, 5.möjligheten att få tillgång till och rättelse av de uppgifter som rör honom eller henne, 6.vilka kategorier av mottagare som kan ta del av personuppgift- erna och vem som har begärt upp- lysningen, och 7.möjligheten att framställa klago- mål till Datainspektionen. Om kreditupplysningen lämnas ut till ett svenskt kreditinstitut eller värdepappersbolag, eller till ett motsvarande utländskt företag, för att användas endast som underlag för beräkning av kapitalkravet för kreditrisker med en sådan metod som avses i artikel 143.1 i Europa- parlamentets och rådets förordning (EU) nr 575/2013 av om tillsynskrav för kredit- institut och värdepappersföretag och om ändring av förordning (EU) nr 648/2012, får meddelandet 5 Senaste lydelse 2014:970. sändas senare men utan onödigt sändas senare men utan onödigt Prop. dröjsmål och begränsas till infor- dröjsmål och begränsas till infor- mation enligt första stycket 1, 2 mation enligt första stycket 1, 2 Om den som avses med Om den som avses med upplysningen begär det, ska även upplysningen begär det, ska även information enligt 3 och 4 sändas information enligt 3, 4, 5 och 7 till honom eller henne. sändas till honom eller henne. Första och andra styckena gäller också när en kreditupplysning lämnas om ett handelsbolag eller kommanditbolag. Första–tredje styckena gäller inte kreditupplysningar som lämnas genom offentliggörande på ett sådant sätt som avses i tryckfrihetsförord- ningen eller yttrandefrihetsgrundlagen, utom när upplysningarna till- handahålls ur en databas enligt 1 kap. 9 § yttrandefrihetsgrundlagen på sätt som avses i den paragrafens första stycke 1 och 2. Rättelse, komplettering och Finns det anledning att miss- tänka att en uppgift som behandlas i kreditupplysningsverksamhet el- ler som har lämnats i en kreditupp- lysning under den senaste tolv- månadersperioden är oriktig eller missvisande, eller att den annars har behandlats i strid med denna lag, ska den som bedriver verk- samheten utan dröjsmål vidta skä- liga åtgärder för att utreda förhål- landet. Om det finns anledning att miss- tänka att en uppgift som behandlas i kreditupplysningsverksamhet el- ler som har lämnats i en kreditupp- lysning under den senaste tolv- månadersperioden är oriktig eller missvisande, eller att den annars har behandlats i strid med denna lag eller EU:s dataskyddsförord- ning, ska den som bedriver verk- samheten utan dröjsmål vidta skä- liga åtgärder för att utreda förhål- landet. Visar det sig att uppgiften är Om det visar sig att uppgiften är oriktig eller missvisande, eller att oriktig eller missvisande, eller att den annars har behandlats i strid den annars har behandlats i strid med lagen, ska den, om den före- med lagen eller EU:s dataskydds- kommer i register, rättas, komplet- förordning, ska den, om den före- teras eller uteslutas ur registret. kommer i register, rättas, kom- pletteras eller raderas. Om en oriktig eller missvisande uppgift har tagits in i en kredit- upplysning som lämnats ut, ska rättelse eller komplettering så snart det kan ske tillställas var och en som fått del av uppgiften. Detta gäller inte offentliggörande av en kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, utom när upplysningen tillhandahållits ur en databas enligt 1 kap. 9 § yttrandefrihetsgrundlagen på sätt som avses i den paragrafens första stycke 1 och 2. Har uppgiften under den senaste Om uppgiften under den senaste 6 Senaste lydelse 2010:1073. 2017/18:120 lämnats i en periodisk skrift eller i en kredit- upplysningsverksamhet som be- drivs genom återkommande of- fentliggöranden enligt yttrandefri- hetsgrundlagen, ska rättelse eller komplettering så snart det kan ske införas i ett följande nummer av skriften eller motsvarande form av offentliggörande enligt yttrande- frihetsgrundlagen. Andra–fjärde styckena gäller inte om uppgiften uppenbarligen saknar betydelse för bedömningen av vederbörandes vederhäftighet i ekonomiskt hänseende. Har en fråga om rättelse eller liknande åtgärd tagits upp efter framställning från den som upp- giften avser, ska denne kostnads- fritt underrättas om huruvida en sådan åtgärd vidtagits. har lämnats i en periodisk skrift eller i en kre- ditupplysningsverksamhet som be- drivs genom återkommande of- fentliggöranden enligt yttrande- frihetsgrundlagen, ska rättelse eller komplettering så snart det kan ske införas i ett följande nummer av skriften eller motsvarande form av offentliggörande enligt yttrande- frihetsgrundlagen. Andra–fjärde styckena gäller inte om uppgiften uppenbarligen saknar betydelse för bedömningen av personens vederhäftighet i eko- nomiskt hänseende. Om en fråga om rättelse eller liknande åtgärd har tagits upp efter framställning från den som upp- giften avser, ska han eller hon kostnadsfritt underrättas om huru- vida en sådan åtgärd har vidtagits. En fysisk person ska på begäran även få information om vem som har tillställts en rättelse eller kom- plettering enligt tredje stycket. Begränsning av behandling av personuppgifter I artikel 18 i EU:s dataskydds- förordning finns bestämmelser om fysiska personers rätt att be- gära att behandlingen av person- uppgifter begränsas. Datainspektionen utövar tillsyn över efterlevnaden av denna lag. Tillsynen skall utövas så, att den icke vållar större kostnad eller olägenhet än som är nödvändig. Tillsynen ska utövas så att den inte vållar större kostnad eller olägenhet än som är nödvändig. Vid tillsyn över sådan behand- ling av personuppgifter som om- fattas av EU:s dataskyddsförord- ning gäller Datainspektionens be- fogenheter enligt denna lag utöver de befogenheter som tillsynsmyn- digheten har enligt artikel 58.1– 58.3 i den förordningen. Den som bedriver kreditupp- Den som bedriver kreditupp- skada som till följd av verksam- skada som till följd av verksam- heten tillfogas någon genom otill- heten tillfogas någon genom otill- börligt intrång i hans personliga börligt intrång i hans eller hennes integritet eller genom att oriktig uppgift lämnas om honom, om att en oriktig uppgift lämnas om icke den som bedriver verksam- honom eller henne, om inte heten kan visa att tillbörlig omsorg och varsamhet iakttagits. visa att tillbörlig omsorg och var- dömande om och i vad mån skada samhet har iakttagits. har uppstått tages hänsyn även till ningen av i vilken utsträckning lidande och andra omständigheter skada har uppstått ska hänsyn tas av annan än rent ekonomisk bety- även till lidande och andra omstän- digheter av annan än rent eko- För sådan behandling av per- sonuppgifter som omfattas av EU:s dataskyddsförordning gäller arti- kel 82 i den förordningen i stället för första stycket. Denna lag träder i kraft . 2017/18:120 2.2 Förslag till lag om ändring i lagen (2012:318) Härigenom föreskrivs att 10 § lagen (2012:318) om 1996 års Haag- konvention ska ha följande lydelse. En svensk myndighet får utan hinder av 33 § personuppgifts- lagen (1998:204) föra över person- uppgifter till en myndighet i ett land utanför det Europeiska eko- nomiska samarbetsområdet, om det behövs för att den myndig- heten ska kunna överväga en nöd- vändig åtgärd enligt . En svensk myndighet får föra över personuppgifter till en myn- dighet i ett land utanför Europeiska ekonomiska samarbetsområdet, om det behövs för att den myndig- heten ska kunna överväga en nöd- vändig åtgärd enligt . Denna lag träder i kraft . 3 Ärendet och dess beredning utfärdades och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), EU:s dataskyddsförordning. Förordningen, som börjar tillämpas , finns i svensk lydelse som bilaga 1. I har departementspromemorian En anpassning till dataskyddsförordningen – kreditupplysningslagen och några andra författningar (Ds 2017:26) tagits fram. I promemorian lämnas förslag på anpassningar av författningar på familjerättens och den allmänna förmögenhetsrättens områden till följd av dataskyddsförordningen. En sammanfattning av promemorian finns i bilaga 2. Promemorians lagförslag finns i bilaga 3. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 4. Remissyttrandena finns tillgängliga i (dnr Ju2017/05721/L2). Flera remissinstanser har synpunkter och förslag i frågor som inte har samband med anpassningen till dataskyddsförordningen. Synpunkterna gäller främst kreditupplysningsverksamhet, men även i viss mån inkasso- verksamhet. Dessa frågor behandlas inte i propositionen. Ett par remiss- instanser framhåller i sina yttranden de bedömningar som i betänkandet Så stärker vi den personliga integriteten (SOU 2017:52) gör i fråga om den enskildes integritet i kreditupplysnings- verksamhet. Betänkandet har remissbehandlats och bereds i . En ny fråga i propositionen är om en kreditupplysning om en näringsidkare ska få innehålla uppgifter om skulder som inte har fastställts av en domstol eller . Regeringen gav en särskild utredare i uppdrag att kartlägga omfattningen och karaktären av problemen med faktura- bedrägerier och att med beaktande av kartläggningen överväga behovet av lagändringar och andra åtgärder. I uppdraget ingick att överväga om regleringen i fråga om uppgifter i register och om kreditupplysning bör ändras för att minska effekten av ett otillbörligt hot om att ge in en ansökan om betalningsföreläggande. Utredningen överlämnade betänkandet Fakturabedrägerier (SOU 2015:77). En sammanfattning av betänkandet finns i bilaga 5. Betänkan- det har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 6. Remissyttrandena finns tillgängliga i (dnr Ju2015/06504/L2). beslutade ett tillkännagivande om att regeringen bör överväga en ändring i kreditupplysningslagen så att kreditupplys- ningar om näringsidkare inte omfattar skulder som inte blivit fastställda av en domstol eller (bet. 2015/16:FiU22 punkt 5, rskr. 2015/16:195). Genom övervägandena i propositionen (se avsnitt 7) anser regeringen att riksdagsskrivelsen är slutbehandlad. 2017/18:120 Lagrådet Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 7. Lagrådets yttrande finns i bilaga 8. Lagrådets synpunkt behandlas i författningskommentaren. Regeringen följer Lagrådets förslag. 4.1Dataskyddsdirektivet och den nationella personuppgiftsregleringen Allmänna EU-regler om behandling av personuppgifter finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (här kallat dataskyddsdirektivet). Direktivet syftar till att garantera skyddet för enskildas grundläggande fri- och rättigheter vid personuppgiftsbehand- ling. Det syftar också till att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Det gäller inte för behandling av person- uppgifter på områden som faller utanför unionsrätten. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204). Personuppgiftslagen är tillämp- lig även utanför direktivets tillämpningsområde och gäller för myndig- heter och enskilda som behandlar personuppgifter. Lagen är subsidiär, vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande regler i en annan författning. Det finns en stor mängd sådan sektorspecifik dataskyddsreglering i vad som brukar kallas särskilda registerförfattningar eller andra informations- hanteringsförfattningar. De särskilda registerförfattningarna föreskriver framför allt hur olika statliga och kommunala myndigheter får behandla personuppgifter. Vissa författningar reglerar dataskyddet i det närmaste heltäckande medan andra författningar innehåller enstaka bestämmelser som i något avseende anger hur författningarna förhåller sig till person- uppgiftslagens reglering. Utöver de särskilda registerförfattningarna finns det även författningar som innehåller bestämmelser om personuppgifts- behandling, men som saknar regler om registerföring. Personuppgifts- bestämmelser finns även i författningar som främst har andra syften än att reglera personuppgiftsbehandling. 4.2 Dataskyddsförordningen och behovet att anpassa nationell reglering en ny generell reglering för personuppgiftsbehandling inom EU och ersätter, när den börjar tillämpas , dataskyddsdirektivet. Dataskyddsförordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll, men innehåller även en rad nyheter. Det huvud- Prop. 2017/18:120 sakliga syftet med förordningen är att ytterligare harmonisera och effekti- skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. En EU-förordning är direkt tillämplig i medlemsstaterna. När data- skyddsförordningen börjar tillämpas, kommer den därför att ersätta personuppgiftslagen som det generella regelverk som reglerar behandling av personuppgifter. Regeringen föreslår i prop. 2017/18:105 en ny lag – lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (den föreslagna dataskyddslagen) – som upphäver personuppgiftslagen och på ett generellt plan kompletterar och i viss utsträckning gör undan- tag från dataskyddsförordningen. Dataskyddsreformen medför ett behov av att se över nationell sektor- specifik dataskyddsreglering. Bestämmelser som avviker från eller dubb- lerar bestämmelser i dataskyddsförordningen kan behållas endast om förordningen ger utrymme för det.