prop · H503120 · 2018-03-06 00:00:00 — Regeringens bedömning: Kraven på att den som bedriver kreditupp- lysnings- eller inkassoverksamhet som huvudregel ska ha tillstånd för att bedriva verksamheten är förenliga med EU:s dataskyddsförordning och kan behållas. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Bara en remissinstans, Datainspektionen, yttrar sig särskilt i frågan. Datainspektionen påpekar att tillståndsplikten i inkassolagen inte kan jämställas med ett förhandstillstånd som avses i artikel 36.5 i dataskyddförordningen. Inspektionen ifrågasätter också om tillståndsplikten i kreditupplysningslagen kan jämställas med ett sådant förhandstillstånd. Datainspektionen anser vidare att det bör göras en generell konsekvensbedömning avseende dataskydd för personuppgifts- behandling i kreditupplysningsverksamhet (jfr artikel 35.10 i förord- ningen). Skälen för regeringens bedömning: För att få bedriva kreditupplys- ningsverksamhet eller inkassoverksamhet krävs som huvudregel tillstånd från Datainspektionen (3 § första stycket kreditupplysningslagen res- pektive 2 § inkassolagen). Som en naturlig följd av tillståndskraven upp- ställs även krav på medgivande från Datainspektionen för att överlåta el- ler upplåta register som förs i verksamheterna till någon annan. Något hinder för att uppställa krav på tillstånd respektive medgivande finns inte i dataskyddsförordningen, och bestämmelserna kan och bör därför be- hållas. I linje med vad Datainspektionen för fram kan dock den nuva- rande regleringen av tillståndskraven i kreditupplysnings- och in- kassoverksamhet inte anses utgöra ett sådant förhandstillstånd till person- uppgiftsbehandling som avses i artikel 36.5 i dataskyddsförordningen. Den som är personuppgiftsansvarig ska – liksom alla andra personupp- giftsansvariga – göra en konsekvensbedömning av dataskyddet om en planerad behandling sannolikt leder till hög risk för fysiska personers rättigheter och friheter (artikel 35). Han eller hon ska också samråda med tillsynsmyndigheten, om konsekvensbedömningen bekräftar att det finns en hög risk. Det gäller dock inte om den som är personuppgiftsansvarig vidtar åtgärder för att minska risken (artikel 36.1). Kravet på en personuppgiftsansvarig att genomföra en konsekvens- bedömning faller bort om en sådan gjorts som en del av en allmän konsekvensbedömning i samband med att den rättsliga grunden för be- handlingen i fråga antogs (artikel 35.10). I motsats till Datainspektionen anser regeringen dock att det inte finns förutsättningar att i det här lag- stiftningsärendet göra en generell konsekvensbedömning av dataskyddet för personuppgiftsbehandling i kreditupplysningsverksamhet. Någon sådan generell konsekvensanalys bör alltså inte genomföras. Behandling av känsliga personuppgifter och Regeringens förslag: Förbudet mot behandling av känsliga person- uppgifter i kreditupplysningsverksamhet ska omfatta även behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifie- ra en fysisk person och uppgifter om sexuell läggning. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Remissinstanserna tillstyrker promemorians för- slag eller har ingen invändning mot det. Datainspektionen anser att för- budet i kreditupplysningslagen mot behandling av administrativa frihets- berövanden bör tas bort med hänsyn till att har gjort bedömningen att det inte finns stöd i förordningen för att föreskriva ett förbud mot behandling av sådana uppgifter (se SOU 2017:39 s. 192). Skälen för regeringens förslag: I artiklarna 9 och 10 i dataskydds- förordningen finns föreskrifter om i vilka situationer särskilda kategorier av personuppgifter (s.k. känsliga personuppgifter) och personuppgifter som rör fällande domar i brottmål samt lagöverträdelser får behandlas. Regleringen motsvarar i stort artikel 8 i dataskyddsdirektivet. dataskyddsförordningen är att uppräkningen av känsliga personuppgifter i artikel 9 även omfattar genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Dessutom begränsas reglerna som enligt direktivet rör behandling av personuppgifter om brottmålsdomar till att i artikel 10 i förordningen bara gälla behandling av personuppgifter om fällande domar i brottmål. I 6 § kreditupplysningslagen finns bestämmelser som genomför arti- kel 8 i dataskyddsdirektivet. I paragrafen förbjuds behandling av känsliga personuppgifter och uppgifter om lagöverträdelser och administrativa fri- Paragrafen gäller i stället för de generella bestämmelser- na i 13–21 §§ personuppgiftslagen. Det innebär att de undantag från förbudet att behandla känsliga personuppgifter som finns i dataskydds- direktivet och personuppgiftslagen inte är tillämpliga i kreditupplys- Datainspektionen kan dock i undantagsfall lämna tillstånd att behandla uppgifter om lagöverträdelser och administrativa frihetsberövanden i kreditupplysningsverksamhet. Bestämmelser som begränsar möjligheten att behandla vissa särskilt känsliga uppgifter och uppgifter om lagöverträdelser har tidigare bedömts vara av sådan vikt för kreditupplysningsverksamheten att de bör finnas i kreditupplysningslagen (se t.ex. prop. 2000/01:50 s. 22). finns inte anledning att anlägga något annat synsätt . anledning att göra någon annan bedömning än som gjordes då av behovet att behandla denna typ av uppgifter i kreditupplysningsverksamhet. Bestämmelserna i 6 § kreditupplysningslagen, som är centrala för enskil- das integritetsskydd, bör därför – så långt det är möjligt – behållas. Som konstateras i avsnitt 6.4 möjliggör dataskyddsförordningen be- stämmelser i nationell rätt som uppställer särskilda krav på vilka uppgifter som får behandlas i en verksamhet som är av allmänt intresse (artikel 6.2 Ett införlivande av delar av förordningen i den nationella rätten är vidare tillåtet, bl.a. om det underlättar förståelsen av förordningen (skäl 8). Det bedöms därför vara förenligt med dataskyddsförordningen att i Prop. 2017/18:120 kreditupplysningslagen behålla särskilda bestämmelser om förbud mot behandling av känsliga personuppgifter och uppgifter om lagöverträdelser. Bestämmelsen i 6 § första stycket kreditupplysningslagen bör dock justeras så att den anger att behandling av personuppgifter som avses i artikel 9.1 i dataskyddsförordningen är förbjuden. Hänvisningen kommer att innebära att förbudet mot behandling svarar mot förordningens regler. I förhållande till vad som gäller kommer förbudet att omfatta även genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om en persons sexuella läggning. Någon ändring av paragrafen i övrigt är inte motiverad. Som Data- inspektionen framhåller bedömer att det inte finns stöd i artikel 10 i dataskyddsförordningen för att föreskriva ett generellt förbud mot att behandla uppgifter om administrativa frihets- berövanden (se SOU 2017:39 s. 196). Regeringen konstaterar att det från integritetssynpunkt skulle vara olyckligt om behandlingen av uppgifter om administrativa frihetsberövanden inte skulle få begränsas. Regerin- gen anser att det finns utrymme att genomföra en begränsning av rätten att behandla uppgifter om administrativa frihetsberövanden i kredit- upplysningsverksamhet med stöd av artikel 6.2 och 6.3. Detta innebär att det även i fortsättningen bör vara förbjudet att i kreditupplysningsverk- samhet behandla uppgifter om frikännande domar i brottmål och uppgift- er om administrativa frihetsberövanden och att Datainspektionen även i fortsättningen i undantagsfall bör kunna lämna tillstånd till behandling av uppgifter om lagöverträdelser och administrativa frihetsberövanden. 6.6Information till den registrerade Regeringens förslag: EU:s dataskyddsförordning ska ersätta kredit- upplysningslagens regler om fysiska personers rätt till registerbesked. En hänvisning till dataskyddsförordningens bestämmelser om en fysisk persons rätt till tillgång till personuppgifter och annan information ska tas in i kreditupplysningslagen. Kreditupplysningslagens regler om kreditupplysningskopior ska an- passas till dataskyddsförordningen. Anpassningen innebär att fysiska personer även ska få information om –dataskyddsombudets kontaktuppgifter, om ett sådant ombud krävs enligt dataskyddsförordningen, –den rättsliga grunden för behandlingen, –vilka kategorier av personuppgifter som behandlas, varifrån upp- gifterna hämtats och hur länge uppgifterna kommer att lagras, –möjligheten att få tillgång till uppgifter som rör den fysiska personen, –vilka kategorier av mottagare som kan ta del av personuppgifterna, och –möjligheten att framställa klagomål till Datainspektionen. I lagen ska det också föreskrivas hur och när denna information ska ges om en kreditupplysning avseende en fysisk person lämnas ut till ett svenskt kreditinstitut eller värdepappersbolag eller till ett motsvarande utländskt företag för beräkning av kapitalkravet med en s.k. internmetod. Promemorians förslag överensstämmer väsentligen med regeringens. I promemorian föreslås dock att kravet på att ett registerbesked ska vara skriftligt ska tas bort även i förhållande till juridiska personer och att kreditupplysningskopior till fysiska personer ska innehålla information om vem som är dataskyddsombud. I promemorians förslag anges inte att det är en förutsättning att ett dataskyddsombud krävs enligt dataskydds- Remissinstanserna: Flertalet remissinstanser tillstyrker förslagen eller har ingen invändning mot dem. styrker förslaget att dataskyddsförordningen ska ersätta kreditupplys- ningslagens regler om fysiska personers rätt till registerbesked. anser att kreditupplysningslagens regler bör behållas och anpassas till Om promemorians förslag genomförs, efter- lyser bolagen ytterligare förklaringar om hur dataskyddsförordningens regler ska tillämpas i kreditupplysningsverksamhet, bl.a. i fråga om möjligheten att begränsa antalet kostnadsfria besked och i vilken form som besked bör lämnas. Datainspektionen anser att den föreslagna upp- lysningsbestämmelsen bör följa dataskyddsförordningens terminologi och hänvisa till förordningens bestämmelser om fysiska personers rätt till Företagarna motsätter sig att kravet på skriftlighet för register- besked till juridiska personer tas bort, eftersom det kommer att försvåra Datainspektionen efterlyser ytterligare analys av om det är nödvändigt att begränsa rätten till information när det gäller kreditupplysningskopior, en analys av om bestämmelserna om kreditupplysningskopior bör behållas i kreditupplysningslagen. Om rätten till information begränsas i förhållande till dataskyddsförordningen, anser Datainspektionen att begränsningen bör framgå av lagtexten. CreditSafe i vill att det förtydligas att reglerna om kreditupplysningskopior ersätter data- Några remissinstanser, däribland advokat- samfund och , menar att det bör vara tillräckligt att lämna kontakt- uppgifter till dataskyddsombudet, när ett sådant utsetts. AB, CreditSafe i och vill att kravet på kreditupp- lysningskopior till handelsbolag och kommanditbolag tas bort. Skälen för regeringens förslag: Den registrerades rätt till information och rätt till tillgång till personuppgifter som rör honom eller henne regleras i artiklarna 12–15 i dataskyddsförordningen. handlar om hur och när information och uppgifter ska lämnas. Bestämmelserna är mer utförliga och ger den registrerade rätt till mer information än motsvarande regler i dataskyddsdirektivet (artiklarna 10– 12 a). En nyhet är att den som är personuppgiftsansvarig är skyldig att informera om att uppgifterna kan komma att vidarebehandlas för ett annat syfte än det som personuppgifterna samlades in för (artikel 14.4). Även artikel 12.1 i dataskyddsförordningen, som öppnar för att information kan lämnas i elektronisk form eller – i vissa fall – muntligt, saknar motsvarighet i dataskyddsdirektivet. av vilka åtgärder som kan vidtas om en begäran om information är uppenbart ogrundad eller orimlig (artikel 12.5). Den registrerades rättigheter kan enligt artikel 23 i dataskyddsförord- ningen begränsas endast om det sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionerlig åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa särskilt viktiga intressen. Ett sådant intresse kan vara en medlems- stats viktiga ekonomiska och finansiella intressen. Artikeln motsvarar artikel 13.1 i dataskyddsdirektivet. I artiklarna 14.5 och 15.4 i förordningen finns mer specifika undantag från rätten till information. Utrymmet för undantag från rätten till infor- mation är större i fråga om information som ska lämnas självmant (arti- kel 14) än om den som ska lämnas på begäran (artikel 15). Undantag finns bl.a. om erhållande eller utlämnande av uppgifter uttryckligen före- skrivs i unionsrätten eller den nationella rätten och denna rätt fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen (artikel 14.5 c) och om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt eller sekretessförpliktelser som föreskrivs i lag (artikel 14.5 d). Av artikel 15.4 följer att rätten till en kopia av de person- uppgifter som behandlas inte får påverka andras fri- och rättigheter på ett menligt sätt. Regeringen föreslår i prop. 2017/18:105 generellt tillämpliga undantag från förordningens regler om information till den registrerade (5 kap. i den föreslagna dataskyddslagen). Bestämmelser som genomför dataskyddsdirektivets regler om infor- mation till den registrerade finns i 10 och 11 §§ kreditupplysningslagen. Frågan är om – och i så fall hur – bestämmelserna behöver ändras med anledning av dataskyddsförordningen. Den registrerades rätt till information på begäran – dvs. rätten till ett registerbesked – regleras i 10 § kreditupplysningslagen. Fysiska personer har rätt att en gång per kalenderår få ett besked gratis. För juridiska per- soner gäller att besked ska lämnas mot skälig avgift. En begäran om ett registerbesked ska göras skriftligen och vara egenhändigt undertecknad. Rätten till information i övrigt framgår av 11 § kreditupplysningslagen, som ger en fysisk person rätt till en skriftlig s.k. kreditupplysningskopia, när en kreditupplysning lämnas ut. I stort sett ges juridiska personer sam- ma rätt till registerbesked och handels- och kommanditbolag samma rätt till kreditupplysningskopior som fysiska personer. Att den registrerade får information om vilka upplysningar som lämnas ut och till vem är värdefullt av flera skäl – bl.a. för att det ger den en- skilde möjlighet att kontrollera att de uppgifter som lämnas är korrekta, adekvata och relevanta. Den registrerades intressen sammanfaller här med kreditupplysningsföretagens och kreditgivarnas. Det är för samtliga parter väsentligt att den information som tillhandahålls i kreditupplys- ningsverksamheten är tillförlitlig och korrekt och att uppgifterna är rele- vanta för kreditbedömningen. Informationsreglerna har därför bedömts utgöra en av grundvalarna för kreditupplysningslagen (se prop. 2000/01:50 s. 29). Kreditupplysningslagens bestämmelser om registerbesked har utfor- mats för att uppfylla dataskyddsdirektivets krav på information och inne- bär inte någon begränsning av rätten till information i förhållande till dataskyddsdirektivet. Någon anledning att införa en begränsning i för- hållande till den ytterligare information som ska lämnas enligt artikel 15 i dataskyddsförordningen finns inte. En fysisk person bör alltså ha samma rätt att på begäran få tillgång till sina personuppgifter och annan infor- mation i kreditupplysningsverksamhet som i annan verksamhet där per- 2017/18:120 sonuppgifter behandlas. Att i en sådan situation införliva dataskydds- förordningens regler i kreditupplysningslagen, vilket och vill, bedöms inte vara förenligt med skäl 8 till förordningen och är alltså inte möjligt. Dataskyddsförordningens reglering om rätt till tillgång till personuppgifter och annan information bör därför ersätta kreditupplysningslagens regler om fysiska personers rätt till register- besked i kreditupplysningsverksamhet. Eftersom kreditupplysningslagen även i fortsättningen kommer att innehålla bestämmelser om juridiska personers rätt till besked om vilken information som behandlas och då informationsreglerna utgör en av grundvalarna för kreditupplysningslagen, bör det framgå av lagen att fysiska personer har rätt till tillgång till sådan information enligt data- Som Datainspektionen påpekar bör en sådan upp- lysningsbestämmelse knyta an till dataskyddsförordningens terminologi och hänvisa till de relevanta artiklarna i förordningen. I 10 § andra stycket kreditupplysningslagen finns en bestämmelse som påminner om att ett besked om var uppgifterna kommer ifrån inte ska lämnas om det skulle strida mot meddelarskyddet i 3 kap. 3 § tryck- frihetsförordningen eller 2 kap. 3 § yttrandefrihetsgrundlagen. ningsbestämmelsen kommer framöver bara att avse juridiska personers rätt till besked, eftersom fysiska personers rätt till information regleras i Den EU-rättsliga dataskyddsregleringen inkräk- tar dock inte på området för tryckfrihetsförordningen och yttrandefrihets- grundlagen (se 1 kap. 7 § första stycket i den föreslagna dataskydds- Dataskyddsförordningen ger också en möjlighet att begränsa rät- ten till information om ett utlämnande skulle inverka negativt på andras rättigheter och friheter (artikel 15.4). Utlämnande av uppgifter kommer därför inte heller att kunna ske i strid med meddelarskyddet. Kravet i 10 § tredje stycket kreditupplysningslagen på att en ansökan om registerbesked ska göras skriftligen och vara egenhändigt underteck- nad är inte förenligt med artikel 15.3 i dataskyddsförordningen, som anger att en begäran kan göras i elektronisk form. därför tas bort. Det bör dock framhållas att det enligt artikel 12.6 i förordningen är möjligt för en personuppgiftsansvarig att begära den ytterligare information som krävs för att kunna bekräfta den registrerades Det kommer därmed även i fortsättningen att finnas förutsätt- ningar för att kontrollera att informationen lämnas till rätt person. och frågar hur dataskyddsförordningen i olika avseenden ska tillämpas i kreditupplysningsverksamhet. gen konstaterar att de frågor som ställs handlar om en renodlad tillämp- Frågorna är inte nödvändiga att besvara för att an- passa den svenska lagstiftningen till dataskyddsförordningen. är det ytterst som är behörig att fastställa innebörden av Det är alltså inte möjligt att i lagstiftningsärendet göra några auktoritativa uttalanden om hur förordningen ska tolkas. Rätten till registerbesked för andra än fysiska personer behöver inte ändras med hänsyn till dataskyddsförordningen. Kravet på att ett register- besked till en juridisk person ska vara skriftligt bör, som Företagarna framför önskemål om, kvarstå. Ett slopande av kravet skulle få mycket begränsad inverkan på det sätt som besked lämnas på. Kravet i 5 § tredje stycket kreditupplysningslagen på att förhindra otillåten insyn och be- hovet av att säkerställa att uppgifterna lämnas till rätt person torde näm- ligen i de flesta fall förutsätta att besked lämnas skriftligen. Det är därför rimligt att formkravet för besked till juridiska personer behålls. Rätten till information i övrigt framgår av 11 § kreditupplysningslagen, som ger en fysisk person rätt till en skriftlig kreditupplysningskopia när en kreditupplysning lämnas ut. Om en kreditupplysning lämnats ut för beräkning av kapitalkravet för kreditrisker med en s.k. internmetod, be- höver dock information i vissa fall lämnas ut först på begäran. Handels- och kommanditbolag ges i stort sett samma rätt till kreditupplysnings- kopior som fysiska personer. De personuppgifter som behandlas i kreditupplysningsverksamhet här- rör i huvudsak från olika offentliga register. Det är fråga om information som samlas in från andra källor än den registrerade (artikel 14 i förord- ningen). Dataskyddsförordningen medger här fler undantagsmöjligheter än beträffande information som ska lämnas på begäran. Enligt artikel 14.5 c är artikeln inte tillämplig om, och i den mån, erhållande eller ut- lämnande av uppgifter uttryckligen föreskrivs i nationell rätt och denna fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. Det samlade regelverk som omgärdar kreditupplysningsverksamheten innebär att det i nationell rätt finns tydliga regler om erhållande och utlämnande av uppgifter. Regleringen finns i kreditupplysningslagen, kreditupplysningsförordningen och i de tillstånd att bedriva verksamhet och villkor för denna som Datainspektionen meddelar respektive före- skriver. I andra författningar finns föreskrifter som medger för myndig- heter att lämna ut uppgifter elektroniskt till kreditupplysningsföretag, se t.ex. 8 § förordningen (1998:1234) om det statliga personadressregistret. Verksamheten är också i övrigt reglerad på ett sådant sätt att det fastställs lämpliga åtgärder för att skydda den registrerades berättigade intressen, bl.a. i form av bestämmelser om hur verksamheten ska bedrivas, vilken typ av uppgifter som får respektive inte får behandlas och vem som kan få tillgång till dem. Regeringen bedömer att detta innebär att artikel 14 i dataskyddsförordningen om information som ska tillhandahållas när personuppgifter inte har erhållits från den registrerade, i enlighet med undantaget i artikel 14.5 c, inte behöver tillämpas i kreditupplysnings- verksamhet. Den befintliga rätten till information när en kreditupplysning lämnas ut bör dock finnas kvar. Rätten till en kreditupplysningskopia har likheter med rätten till information enligt artikel 14.3 c, men är, till skillnad från denna rätt, inte tillämplig bara första gången personuppgifterna lämnas ut, utan varje gång det sker. Rätten till en kreditupplysningskopia bidrar till att skydda den registrerades berättigade intressen (artikel 14.5 c). Den bidrar också till att säkerställa en laglig och rättvis behandling i en verksamhet av allmänt intresse och bedöms därför vara tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Det bedöms alltså samman- taget vara förenligt med förordningen att behålla regler i kreditupp- lysningslagen om att den registrerade ska få information om kredit- upplysningens innehåll. Regeringens överväganden innebär dock inte – vilket Datainspektionen synes förutsätta – en begränsning av den regist- rerades rättigheter enligt artikel 23, utan har stöd i det angivna undan- taget i artikel 14.5 c och i artikel 6.2 och 6.3. Att, som Datainspektionen och förespråkar, ha uttryckliga föreskrifter i 11 § kreditupplysningslagen om hur paragrafen förhåller sig till dataskyddsförordningen bedöms inte vara behövligt eller En sådan reglering skulle skapa osäkerhet om hur andra bestämmelser, som med stöd av artikel 6.2 och 6.3 i förordningen an- passar tillämpningen av förordningen och som inte innehåller någon mot- svarande föreskrift, ska uppfattas. Paragrafens förhållande till data- skyddsförordningen utvecklas dock i författningskommentaren (se En ytterligare fråga är i vilken form informationen ska tillhandahållas. Enligt nuvarande ordning ska det sändas ett skriftligt meddelande till den Kravet innebär att det finns möjlighet för enskilda att kon- trollera att de uppgifter som lämnas om dem är korrekta och fullständiga och att de regler som gäller för verksamheten har iakttagits, t.ex. att den som har mottagit kreditupplysningen har ett legitimt behov. lighet till insyn och kontroll är viktig för skyddet av den enskildes personliga integritet (se prop. 2009/10:151 s. 16). tionen tillhandahålls skriftligen underlättas den enskildes möjligheter att tillgodogöra sig informationen. Om den avser detaljerade eller komplice- rade förhållanden, kan informationen vara svår att tillgodogöra sig om den lämnas i annan form än skriftlig. denna bakgrund vara ett tillåtet inslag i en åtgärd för att säkerställa en laglig och rättvis behandling (artikel 6.2 och 6.3).