prop · H503142 · 2018-03-13 00:00:00 — Några särregler i förhållande till 29 § PUL finns inte på finans- marknadsområdet. Rätten att motsätta sig automatiskt individuellt beslutsfattande enligt artikel 22 i dataskyddsförordningen föranleder därför inte några författningsändringar på finansmarknadsområdet. 8Rättsmedel, ansvar och sanktioner I kapitel VIII i dataskyddsförordningen finns bestämmelser om rätts- medel, ansvar och sanktioner. Där behandlas bl.a. den registrerades rätt 2017/18:142 att lämna in klagomål till tillsynsmyndigheten (artikel 77) och rätten till ett effektivt rättsmedel mot tillsynsmyndighetens beslut (artikel 78) och mot personuppgiftsansvariga och personuppgiftsbiträden (artikel 79). Där finns också bestämmelser om den registrerades rätt till ersättning vid överträdelser av förordningen (artikel 82). Vidare finns bestämmelser av mer processuell karaktär, t.ex. om när ett förfarande ska vilandeförklaras (artikel 81), och bestämmelser om vilka befogenheter som tillsyns- myndigheterna ska ha (artikel 58). 2017/18:105 finns förslag som avser hur frågor om sanktioner och processuella frågor ska tas om hand i den svenska lagstiftningen (s. 138–169). I samma proposition föreslås även en upplysningsbestämmelse om att dataskyddsförordningens bestämmelser om ersättning gäller även vid överträdelser av författningar som kompletterar dataskyddsförordningen, se avsnitt 8.2.2 nedan. Enligt 48 § PUL ska den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behand- ling av personuppgifter i strid med PUL har orsakat. Ersättnings- skyldigheten kan jämkas, om den personuppgiftsansvarige visar att felet inte berodde på denne. Den nämnda paragrafen i PUL är en sådan specialbestämmelse om skadestånd som tar över de allmänna skadeståndsreglerna i skadestånds- lagen (1972:207). I den utsträckning en ersättningsfråga inte berörs i PUL, t.ex. frågan om hur ersättning ska beräknas eller frågan om ansvaret när det finns flera skadeståndsskyldiga, tillämpas däremot allmänna skadeståndsrättsliga regler. Paragrafen gäller bara skadestånd vid behandling av personuppgifter i strid med PUL. Det innebär bl.a. att skadestånd inte kan utgå enligt PUL vid brott mot sektorsspecifika bestämmelser om behandling av person- uppgifter. I flera sektorsspecifika författningar om behandling av person- uppgifter regleras därför frågan om skadestånd särskilt eller så finns det hänvisningar till att bestämmelserna om skadestånd i PUL ska gälla även enligt den författningen. På finansmarknadsområdet finns flera författningar i vilka det anges att bestämmelserna om skadestånd i PUL ska tillämpas vid behandling av personuppgifter enligt författningen i fråga, t.ex. 7 kap. 2 § fjärde stycket kontoföringslagen och 6 kap. 8 § lagen om betaltjänster. Kontoförings- lagen innehåller därutöver särskilda bestämmelser om skadestånd av- seende behandling av andra uppgifter än personuppgifter (7 kap. 2 § första–tredje styckena). Personuppgiftsansvarigas och personuppgiftsbiträdens ansvar samt registrerades rätt till ersättning regleras i artikel 82 i dataskydds- förordningen. Där anges att varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av förordningen ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgifts- biträdet för den uppkomna skadan. I artikeln anges vidare att varje personuppgiftsansvarig som har medverkat vid behandlingen ska ansvara för skadan, medan personuppgiftsbiträden ska ansvara endast om de inte har fullgjort sina skyldigheter enligt dataskyddsförordningen eller om de agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar. Den personuppgiftsansvarige (eller personuppgiftsbiträdet) ska undgå ansvar endast om han eller hon visar att han eller hon inte på något sätt är ansvarig för händelsen som orsakat skadan. Slutligen anges att om det finns flera personuppgiftsansvariga eller personuppgifts- biträden, ska varje personuppgiftsansvarig och personuppgiftsbiträde ansvara för hela skadan gentemot den registrerade. Den som betalar full ersättning har dock regressrätt gentemot övriga ansvariga. I skälen till dataskyddsförordningen anges att behandling som strider mot förordningen omfattar även behandling som strider mot bl.a. medlemsstaternas nationella rätt med närmare specifikation av förord- ningens bestämmelser (skäl 146). I sammanhanget kan nämnas att det i prop. 2017/18:105 föreslås att det i den nya dataskyddslagen ska anges att rätten till ersättning enligt dataskyddsförordningen gäller även vid överträdelser av bestämmelser i den lagen och andra föreskrifter som kompletterar dataskyddsförordningen (7 kap. 1 § dataskyddslagen). Någon möjlighet till undantag i nationell rätt från rätten till ersättning finns inte i dataskyddsförordningen. Regeringens förslag: Bestämmelser i lagarna på finansmarknads- området med hänvisningar till bestämmelserna om skadestånd i personuppgiftslagen ska tas bort. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag Hänvisningar till bestämmelserna om skadestånd i personuppgiftslagen Bestämmelser i författningarna på finansmarknadsområdet kan inte längre ange att bestämmelserna om skadestånd i PUL ska tillämpas vid behandling av personuppgifter enligt författningen i fråga, eftersom PUL kommer att upphävas. Hänvisning till PUL är nödvändig för att skadestånds- bestämmelserna i den lagen ska kunna tillämpas, i den mån behandlingen skett i strid med sektorsspecifik författning och inte i strid med PUL. 2017/18:142 Någon hänvisning till dataskyddsförordningen kommer däremot inte i något fall vara nödvändig i lagarna på finansmarknadsområdet för att bestämmelserna om skadestånd i förordningen ska vara tillämpliga. Behandling som strider mot dataskyddsförordningen inbegriper nämligen behandling som strider mot bl.a. medlemsstaternas nationella rätt med närmare specifikation av förordningens bestämmelser. Det är därför tillräckligt att hänvisningarna till bestämmelserna om skadestånd i PUL tas bort i författningarna på finansmarknadsområdet. Det innebär att 7 kap. 2 § fjärde stycket kontoföringslagen tas bort och i övriga fall att bestämmelser med hänvisning till skadeståndsreglerna i PUL upphävs. Regeringens förslag: Hänvisningar i lagarna på finansmarknads- området till personuppgiftslagen ska tas bort och i vissa fall ersättas av hänvisningar till EU:s dataskyddsförordning. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Datainspektionen anser att lagar på finans- marknadsområdet som reglerar krav på tillhandahållande av rapport- eringssystem för anställda som vill göra anmälningar om misstänkta överträdelser, i förtydligande syfte ska ha hänvisningar till dataskydds- förordningen och kompletterande lagstiftning. Skälen för regeringens förslag Författningar som innehåller hänvisningar till personuppgiftslagen Eftersom PUL ska upphävas måste hänvisningar till den lagen tas bort eller ersättas. På finansmarknadsområdet finns bestämmelser som inne- håller hänvisningar till PUL i följande lagar. Lagen (1991:980) om handel med finansiella instrument. Lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument. Lagen (1999:889) om registrering av krigsskada på egendom. Lagen (2004:46) om värdepappersfonder. Lagen (2004:297) om bank- och finansieringsrörelse. Lagen (2007:528) om värdepappersmarknaden. Lagen (2010:751) om betaltjänster. Försäkringsrörelselagen (2010:2043). Lagen (2016:1306) med kompletterande bestämmelser till EU:s marknadsmissbruksförordning. Lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism. Lagen (2017:631) om registrering av verkliga huvudmän. Hänvisningar till bestämmelserna i om personuppgiftsansvar, käns- liga personuppgifter, personuppgifter om lagöverträdelser m.m., rättelse och skadestånd behandlas ovan i tidigare avsnitt i propositionen. I detta avsnitt behandlas övriga hänvisningar till PUL. Bestämmelser som erinrar om personuppgiftslagen Bestämmelser som erinrar om att PUL gäller för den aktuella behand- lingen av personuppgifter, ibland med tillägget att detta gäller om inte annat anges, finns i bl.a. 4 kap. 1 § kontoföringslagen, 2 kap. 17 d § lagen om värdepappersfonder och 6 kap. 2 a § lagen om bank- och finan- sieringsrörelse. Dessa bestämmelser bör tas bort. Det är inte nödvändigt att ersätta dem med hänvisningar till dataskyddsförordningen och de bestämmelser i svenska författningar som kompletterar förordningen. Det framstår enligt regeringens uppfattning, mot bakgrund av att dataskyddsförordningen till skillnad från PUL har företräde framför nationella bestämmelser om behandling av personuppgifter (bortsett från de särskilda fall där av- vikande nationella bestämmelser uttryckligen tillåts enligt dataskydds- förordningen), inte heller som ändamålsenligt att i dessa lagar införa generella upplysningsbestämmelser om att dataskyddsförordningen är tillämplig när det gäller behandling av personuppgifter för vissa ändamål. Detsamma gäller införande av upplysningsbestämmelser i anslutning till de bestämmelser med krav på tillhandahållande av rapporteringssystem för anställda som vill göra anmälningar om misstänkta överträdelser av bestämmelser som gäller för finansiella företags verksamhet som finns i flera lagar på finansmarknadsområdet. Regeringen anser därför, till skillnad från Datainspektionen, att det inte heller i dessa fall finns skäl att i lag införa hänvisningar till dataskyddsförordningen och kompletterande nationell lagstiftning. Överföring av personuppgifter till tredjeland Enligt PUL gäller som huvudregel ett förbud mot överföring till tredje- land av personuppgifter som är under behandling och mot överföring av personuppgifter för behandling i tredjeland om landet inte har en adekvat nivå för skyddet av personuppgifterna (33 §). I 34 och 35 §§ PUL finns bestämmelser om undantag från detta förbud. I 2 kap. 12 § lagen om handel med finansiella instrument finns bestäm- melser om att i den utsträckning det krävs för offentliggörande av pro- spekt enligt 2 kap. 28–30 §§ samma lag får personuppgifterna i pro- spektet föras över till en stat utanför EES. Denna bestämmelse innehåller ingen hänvisning till PUL. Den får snarare betraktas som en särreglering i förhållande till PUL, som ansetts förenlig med reglerna i dataskydds- direktivet. Enligt undantagsbestämmelser i både dataskyddsdirektivet (artikel 26.1 d) och dataskyddsförordningen (artikel 49.1 d) får över- föring av personuppgifter till tredjeland ske om överföringen är nöd- vändig av viktiga skäl som rör allmänintresset. Såsom konstateras ovan (se avsnitt 5.1) är de uppgifter som myndigheter och privata aktörer har enligt författningar på finansmarknadsområdet eller enligt beslut som har meddelats med stöd av sådana författningar regelmässigt uppgifter av allmänt intresse. Kravet på offentliggörande av prospekt inför emission 2017/18:142 enligt 2 kap. 28–30 §§ lagen om handel med finansiella instrument tillgodoser ett viktigt allmänt intresse. Mot bakgrund av detta är bedöm- ningen att överföring av personuppgifter till tredjeland enligt 2 kap. 12 § samma lag uppfyller såväl dataskyddsdirektivets som dataskyddsförord- ningens krav på att utgöra ett viktigt allmänt intresse (som erkänts i nationell rätt) för vilket medlemsstater får föreskriva undantag i nationell rätt. Bestämmelsen får därför anses vara förenlig med dataskydds- förordningen. 9.2Personnummer och annat identifieringsnummer Regeringens bedömning: Bestämmelserna i dataskydds- förordning om identifieringsnummer kräver inte några lagändringar på finansmarknadsområdet. Promemorians bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna tillstyrker bedömningen eller har inget att invända mot den. Skälen för regeringens bedömning I PUL finns särskilda bestämmelser om när personnummer och samord- ningsnummer får behandlas (22 §). Dessa innebär att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behand- lingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Dessa bestämmelser i har införts med anledning av artikel 8.7 i dataskyddsdirektivet, som föreskriver att medlemsstaterna ska bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Personnummer och samordningsnummer anses inte som känsliga person- uppgifter i dataskyddsförordningens mening, men har ändå en sär- ställning genom att medlemsstaterna ges möjlighet att införa särskilda villkor för behandlingen (artikel 87). Dataskyddsförordningen ställer allt- så inte upp något krav på reglering i detta avseende, men av förordningen följer att om medlemsstaterna bestämmer särskilda villkor för sådan behandling, måste lämpliga skyddsåtgärder för de registrerades fri- och rättigheter enligt förordningen säkerställas. Något uttryckligt sådant krav finns inte i dataskyddsdirektivet. I skälen till dataskyddsförordningen anges det inte heller något som konkretiserar vilken typ av skydds- åtgärder det bör vara fråga om. I denna del finns alltså utrymme för medlemsstaterna att själva bedöma vilka skyddsåtgärder som kan upp- fylla kraven i förordningen. 2017/18:105 bedömer regeringen att en särreglering av person- nummer och samordningsnummer i den nya dataskyddslagen är motiv- erad och konstaterar att den intresseavvägning som sker enligt PUL är flexibel och väl avpassad för att förhindra omotiverad behandling av personnummer och samordningsnummer (s. 102). Mot denna bakgrund föreslås en bestämmelse i den nya lagen som motsvarar 22 § PUL (3 kap. 10 § dataskyddslagen). föreslås att regeringen ska få meddela ytterligare föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten (3 kap. 11 § dataskyddslagen). Bestämmelser om personnummer på finansmarknadsområdet I författningarna på finansmarknadsområdet finns flera bestämmelser om behandling av personnummer eller annat identifieringsnummer. Dessa avser behandling som är klart motiverad med hänsyn till vikten av en säker identifiering i enlighet med PUL. Som exempel kan nämnas krav på att ett avstämningskonto för förvaltarregistrerade finansiella instru- ment i förekommande fall ska innehålla annat identifieringsnummer för förvaltaren än organisationsnummer (3 kap. 9 § kontoföringslagen) och krav på att avstämningskonton som läggs upp för ägare av finansiella instrument ska innehålla kontohavarens personnummer (4 kap. 17 § 1 samma lag). Vidare kan nämnas krav på att register över betalnings- instituts och betaltjänstleverantörers ombud ska innehålla dessas person- nummer eller motsvarande när det gäller fysiska personer (3 kap. 17 § och 8 kap. 5 § lagen om betaltjänster). Eftersom dessa bestämmelser är förenliga med PUL, är de förenliga med den föreslagna nya dataskydds- lagen och med dataskyddsförordningen. 9.3Lagring, gallring och arkivering Regeringens bedömning: I fråga om lagring, gallring och arkivering av personuppgifter krävs det inte några lagändringar på finans- marknadsområdet på grund av EU:s dataskyddsförordning. Promemorians bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna tillstyrker bedömningen eller har inget att invända mot den. Skälen för regeringens bedömning: Som framgår av avsnitt 5.1 gäller principen om lagringsminimering vid all behandling av personuppgifter (artikel 5.1 e i dataskyddsförordningen). Principen innebär att person- uppgifter som huvudregel inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nöd- vändigt för de ändamål för vilka personuppgifterna behandlas. Samma princip gäller enligt artikel 6.1 e i dataskyddsdirektivet. Huvudregeln har alltså inte ändrats. Vidare tillåter såväl dataskyddsförordningen som data- skyddsdirektivet att avsteg från denna huvudregel görs under vissa förut- sättningar. För dataskyddsförordningens del gäller undantaget bl.a. personuppgifter som behandlas enbart för arkivändamål av allmänt 2017/18:142 intresse. Vidare gäller enligt dataskyddsförordningen att nationella bestämmelser om bl.a. lagringstid är tillåtna enligt artikel 6.3, när behandlingen grundar sig på en rättslig förpliktelse, en arbetsuppgift av allmänt intresse eller myndighetsutövning. 2017/18:105 bedöms att den behandling av personuppgifter som myndigheter och andra organ utför enligt lag och föreskrifter om arkiv enligt gällande rätt har rättslig grund för behandling av person- uppgifter för arkivändamål av allmänt intresse. Vidarebehandling av personuppgifter för arkivändamål av allmänt intresse ska enligt dataskyddsförordningen inte anses vara oförenlig med de ursprungliga ändamålen. Någon rättslig grund behöver enligt den bedömning som görs i nämnda proposition inte fastställas för sådan vidarebehandling. När det gäller känsliga personuppgifter föreslås att sådana uppgifter ska få behandlas för arkivändamål av allmänt intresse, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv (3 kap. 6 § dataskyddslagen). Behandling av personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel föreslås i samma proposition få ske om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv (3 kap. 8 §) (s. 109–117). 2017/18:105 konstateras vidare att den närmare innebörden av begreppet arkivändamål av allmänt intresse behöver klargöras i rättstillämpningen, men att det i vart fall står klart att den behandling av personuppgifter som sker för att uppfylla krav på bevarande för andra syften, såsom kravet på arkivering av räkenskapsinformation enligt bokföringslagen (1999:1078), inte omfattas av begreppet (s. 110). På finansmarknadsområdet finns tre lagar som innehåller bestämmelser som innebär att personuppgifter ska bevaras . Dessa finns i kontoföringslagen (3 kap. 6 c §), lagen om värdepappersmarknaden (10 kap. 2 §) och lagen om betaltjänster (3 kap. 8 §). Oavsett om den behandling av personuppgifter som sker i enlighet med dessa lagar omfattas av begreppet arkivändamål av allmänt intresse, eller inte, utgör dessa bestämmelser sådana nationella bestämmelser om lagringstid som är tillåtna enligt artikel 6.3 i dataskyddsförordningen, eftersom behand- lingen grundar sig på en rättslig förpliktelse, en uppgift av allmänt intresse eller myndighetsutövning. De bedömningar av vilka lagrings- tider som är nödvändiga för ändamålet som ligger bakom bestämmel- serna är även fortsättningsvis relevanta. Bestämmelserna är därför förenliga med dataskyddsförordningen. Eftersom det inte heller finns något behov av särreglering i förhållande till den föreslagna nya dataskyddslagen, föranleder bestämmelserna i dataskyddsförordningen om lagring, gallring och arkivering inte några författningsändringar på finansmarknadsområdet. Regeringens förslag: Lagändringarna ska träda i kraft . Regeringens bedömning: Några övergångsbestämmelser behövs inte. Promemorians förslag och bedömning överensstämmer med regeringens förslag och bedömning. Remissinstanserna tillstyrker förslaget och bedömningen eller har inget att invända mot dem. Skälen för regeringens förslag och bedömning: Enligt artikel 99 i dataskyddsförordningen ska förordningen träda i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning (vilket var ) och börja tillämpas fr.o.m. . Genom de lagändringar som föreslås i denna proposition bedöms lagarna på finansmarknadsområdet vara förenliga med förord- ningens krav. Ändringarna bör träda i kraft som dataskydds- förordningen börjar tillämpas, dvs. Dataskyddsförordningen möjliggör inte att det i nationell rätt införs övergångsbestämmelser som innebär att förordningen inte ska tillämpas efter . Tvärtom är en utgångspunkt att behandling som pågår den dag då förordningen börjar tillämpas fr.o.m. den dagen ska bringas i överensstämmelse med förordningen (skäl 171). Person- uppgiftsansvariga och personuppgiftsbiträden får därför förutsättas ha ordnat sin behandling så att exempelvis en begäran om information från en registrerad som inkommit, men inte hunnit besvaras, före kan tillmötesgås i enlighet med förordningen. För skadestånd bör äldre bestämmelser gälla, om skadan orsakats före . Att så är fallet följer av allmänna rättsgrundsatser, var- för det inte finns något behov av övergångsbestämmelser i det avseendet (se prop. 1972:5 s. 593). Inte heller i övrigt finns det skäl att införa övergångsbestämmelser. Regeringens bedömning: Föreslagna anpassningar till EU:s data- skyddsförordning medför inte några särskilda konsekvenser vare sig för privata aktörer eller myndigheter i deras egenskap av person- uppgiftsansvariga. Promemorians bedömning överensstämmer i huvudsak med regeringens bedömning. Remissinstanserna tillstyrker bedömningen eller har inget att invända mot den. 2017/18:142 Skälen för regeringens bedömning: Förslagen i denna proposition innebär att lagarna på finansmarknadsområdet anpassas till dataskydds- förordningen. Förslagen kan sägas utgöra en liten del av ett stort arbete avseende de förändringar som dataskyddsförordningen medför. De viktigaste effekterna av det förändrade dataskyddet beror på regel- ändringar som ligger utanför denna proposition och är alltså inte konsekvenser av förslagen i remissen. 2017/18:105 finns förslag till de generella anpassningar av svensk rätt som behöver göras i anledning av dataskyddsförordningen. För en analys av konsekvenserna av de förslagen hänvisas till den propositionen (s. 178–182). Genom de ändringar som föreslås i förevarande proposition bedöms lagarna på finansmarknadsområdet vara förenliga med dataskydds- förordningen. I den bedömningen inbegrips bl.a. att den samlade data- skyddsregleringen är proportionerlig i förhållande till de legitima mål som eftersträvas och att det i vederbörlig utsträckning tas hänsyn till den registrerades rätt till personlig integritet. Några alternativa lösningar synes inte föreligga för anpassningen. De aktörer som kommer att påverkas av förslagen är privatpersoner och personuppgiftsansvariga myndigheter och personuppgiftsansvariga privata aktörer. Bland myndig- heterna berörs främst och . Nuvarande rättsläge ändras inte på grund av förslagen i denna proposition. Förslagen i sig medför därför i princip inte några ökade administrativa bördor eller kostnader för berörda aktörer. Förslagen bedöms inte föranleda negativa effekter för företagens arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt. Förslagen bedöms inte få några konsekvenser för jämställdheten mellan kvinnor och män. Förslagen bedöms inte i övrigt ha några sociala eller miljömässiga konsekvenser. 12.1Förslaget till lag om ändring i lagen (1991:980) om handel med finansiella instrument Paragrafen innehåller bestämmelser om undantag inför upprättandet av ett prospekt och inför offentliggörandet av prospektet enligt 28–30 §§ från förbudet mot att behandla personuppgifter som rör vissa domar och överträdelser m.m. Ändringen innebär att hänvisningen till 21 § PUL ersätts med en hän- visning till artikel 10 i dataskyddsförordningen. De uppgifter som avses i denna artikel är personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder. ningen till dataskyddsförordningen är dynamisk, dvs. avser den vid varje Prop. 2017/18:142 tidpunkt gällande lydelsen av förordningen. Övervägandena finns i avsnitt 5.3. Förslaget till lag om ändring i lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument