prop · H503171 · 2018-03-19 00:00:00 — Som anges ovan föreslår regeringen i propositionen Ny dataskyddslag med stöd av den bestämmelsen att ett undantag avseende arkiverade personuppgifter ska införas i dataskyddslagen. I registerförfattningar finns det ibland bemyndiganden att meddela föreskrifter om bevarande av känsliga personuppgifter för dessa ändamål. Dessa bemyndiganden brukar avse att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. vad kravet på grundval i lagstiftningen i artikel 9.2 j i dataskyddsför- ordningen innebär kan sådana bemyndiganden kvarstå oförändrade. föreskrifter om bevarande meddelas med stöd av bemyndigandena, måste dock föreskrifterna, i enlighet med artikel 9.2 j i dataskyddsförordningen, stå i proportion till det eftersträvade syftet och vara förenliga med det väsentliga innehållet i rätten till dataskydd samt, om så krävs, innehålla bestämmelser om skyddsåtgärder utöver dem som kan vara tillämpliga Bestämmelser i registerförfattningar om gallring och bemyndiganden Prop. 2017/18:171 att meddela föreskrifter om bevarande för historiska, statistiska eller vetenskapliga ändamål bedöms inte behöva ändras i sak under förut- sättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse (artikel 6.1 c) eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e). Mot bakgrund av tolkningen att den ändrade formuleringen av historiska, statistiska eller vetenskapliga ändamål inte medför någon ändring i sak samt behovet av att fortsätta att anknyta till formuleringen i den generella dataskyddsregleringen, är det enligt Socialdataskyddsutred- ningen lämpligast att anpassa formuleringarna i registerförfattningarna till den som används i dataskyddsförordningen. I propositionen Ny dataskyddslag (avsnitt 14.1.1) anför regeringen bl.a. följande. Begreppet arkivändamål av allmänt intresse definieras inte i dataskyddsförordningen. I dataskyddsdirektivet används i stället termen historiska ändamål. Det är oklart om någon skillnad i innebörd är avsedd. Den närmare innebörden av begreppet arkivändamål av allmänt intresse får därför klargöras i rättstillämpningen, särskilt i förhållande till begreppet historiska forskningsändamål som i dataskyddsförordningen ofta används i samma bestämmelser. Regeringen anser att formuleringen i registerförfattningarna inom verksamhetsområde bör anpassas till den som används i EU:s dataskyddsförordning. Detta gäller bestämmelser i 7 kap. 10 § patientdatalagen (avsnitt 7.1.8) och 114 kap. 31 § socialförsäkrings- balken (avsnitt 7.5.9). anför att myndigheten återkommit till frågan om en för registerförfattningarna enhetlig begreppsapparat som överens- stämmer med förslag lämnade i betänkandet Myndighetsdatalag (SOU 2015:39), där begrepp som bevarande och gallring ska tolkas offentligt- och arkivrättsligt, medan begrepp som behandling och utplåning ska tolkas dataskyddsrättsligt. har till följd av sitt uppdrag inte haft anledning att utreda detta. Regeringen anser att det saknas förutsättningar att i detta lagstiftningsärende nu genomföra sådana ändringar av begrepp i registerförfattningar inom verksamhetsområde. Regeringens bedömning: Bestämmelser i registerförfattningar som hänvisar till personuppgiftslagens bestämmelser om skadestånd bör upphävas. bedömning: Överensstämmer i allt väsentligt med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Justitiekanslern tillstyrker utredningens förslag till ändringar i den del som berör skadestånd. För att det ska bli tydligt avseende vilka paragrafer 8 kap. 1 § i förslag till dataskyddslag blir tillämpliga är det bra att det anges i vilken utsträckning de olika författningarna kompletterar dataskyddsförordningen. anser att reglernas komplexitet gör att den registrerade inte sällan kan komma i behov av juridisk vägledning, inte minst om det blir fråga om att föra en skadeståndstalan mot en person- uppgiftsansvarig myndighet angående en eventuell kränkning av den registrerades personliga integritet. för skada och kränkning av den personliga integriteten på mycket blyg- samma nivåer enligt praxis. Möjligheten att driva skadeståndsfrågor i allmän domstol begränsas dessutom av reglerna om mål av mindre Det kan befaras att skadeståndssanktionen i praktiken knappast kommer att få någon betydelse, vare sig som ett medel för att kompen- sera de registrerade eller som ett styrmedel mot de personuppgifts- Det är tveksamt om skadeståndstalan verkligen kommer att utgöra ett effektivt rättsmedel. Skälen för regeringens bedömning: I stället för särskilt utformade bestämmelser om skadestånd innehåller registerförfattningar ofta hän- visningar till personuppgiftslagens bestämmelser om skadestånd. Av 48 § personuppgiftslagen framgår att den personuppgiftsansvarige ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personupp- giftslagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Bestämmelsen är utformad i enlighet med artikel 23 i dataskyddsdirektivet. I dataskyddsförordningen finns bestämmelser om ansvar och rätt till ersättning i artikel 82. Enligt artikel 82.1 i dataskyddsförordningen ska varje person som lidit materiell eller immateriell skada till följd av en överträdelse av dataskyddsförordningen ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna En nyhet är att även ett personuppgiftsbiträde kan bli skadeståndsskyldigt gentemot den registrerade. ansvarig som medverkat vid behandlingen ska ansvara för skada som orsakats av behandling som strider mot dataskyddsförordningen. personuppgiftsbiträde ska ansvara för skada uppkommen till följd av behandlingen endast om denne inte har fullgjort de skyldigheter som specifikt riktar sig till personuppgiftsbiträden eller agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar. Begreppet skada bör enligt skäl 146 i dataskyddsförordningen tolkas brett mot bakgrund av domstolens rättspraxis på ett sätt som fullt ut återspeglar dataskyddsförordningens mål. Vidare anges i samma skäl att behandling som strider mot dataskyddsförordningen omfattar även behandling som strider mot delegerade akter och genomförandeakter som antagits i enlighet med dataskyddsförordningen och medlemsstaternas nationella rätt med närmare specifikation av dataskyddsförordningens Regeringen förtydligar detta i propositionen Ny dataskyddslag (prop. 2017/18:105 avsnitt 17.1.1) genom att i 7 kap. 1 § dataskyddslagen ange att rätten till ersättning enligt artikel 82 i dataskyddsförordningen gäller vid överträdelser av bestämmelser i dataskyddslagen och andra föreskrifter som kompletterar dataskyddsförordningen. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska enligt artikel 82.3 i dataskyddsförordningen undgå ansvar om den visar att den inte på något sätt är ansvarig för den händelse som orsakade skadan. Det finns i artikel 82.4 och 5 i dataskyddsförordningen bestämmelser om att skadeståndsansvaret är solidariskt om mer än en personuppgiftsansvarig eller ett personuppgiftsbiträde har medverkat vid samma behandling samt i artikel 82.6 i dataskyddsförordningen en bestämmelse om vilken domstol som är behörig att pröva en tvist om rätten till ersättning. Till skillnad från vad som gäller enligt personuppgiftslagen är data- skyddsförordningen, inom sitt tillämpningsområde, direkt tillämplig även på sådan behandling av personuppgifter som omfattas av en register- författnings tillämpningsområde, och det behövs av den anledningen ingen hänvisning till dess bestämmelser. Dessutom föreslås som nämnts att det i dataskyddslagen ska finnas en hänvisning till dataskyddsförord- ningens skadeståndsbestämmelse, som omfattar alla författningar som kompletterar dataskyddsförordningen. Den hänvisningen kan inte anses avse annat än skada som uppkommer vid sådan behandling av person- uppgifter som omfattas av dataskyddsförordningen. I den utsträckning en författning har bestämmelser om både sådan behandling och annat, blir således inte överträdelser av dessa andra bestämmelser förknippade med skadeståndsskyldighet enligt dataskydds- regleringen. Några registerförfattningar inom verksamhets- område – patientdatalagen (2008:355) och 114 kap. socialförsäkrings- balken – omfattar i tillämpliga delar behandling av uppgifter om avlidna personer, som inte omfattas av dataskyddsförordningen (se skäl 27 i data- skyddsförordningen) eller den föreslagna dataskyddslagen. Bestämmel- serna om skadestånd i dessa författningar är dock inte tillämpliga vid behandling av uppgifter om avlidna personer, och dataskyddsreglering- ens skadeståndsbestämmelser kommer som framgått inte heller att gälla vid sådan behandling när dataskyddsförordningen börjar tillämpas. Regeringen föreslår i propositionen Ny dataskyddslag i 1 kap. 2 § data- skyddslagen att bestämmelserna i dataskyddsförordning, i den ur- sprungliga lydelsen, och dataskyddslagen ska gälla även vid behandling av personuppgifter som utgör led i en verksamhet som inte omfattas av unionsrätten och i verksamhet som omfattas av avdelning V kapitel 2 i fördraget om Europeiska unionen (dvs. verksamhet som utförs inom ramen för den gemensamma utrikes- och säkerhetspolitiken), dock med undantag för en del lagar. Den bestämmelsen, jämte hänvisningen till be- stämmelsen om skadestånd i dataskyddsförordningen, får anses innebära att även brott mot bestämmelser i en registerförfattning om sådan be- handling av personuppgifter som faller utanför dataskyddsförordningens tillämpningsområde men som genom den föreslagna bestämmelsen i dataskyddslagen ändå ska omfattas av dataskyddsförordningen, kan för- anleda skadestånd. Överträdelser av bestämmelser som avser sådan behandling som i och för sig omfattas av dataskyddsförordningen, men där rättigheterna går utöver vad som krävs enligt dataskyddsförord- ningen, kan också föranleda rätt till skadestånd enligt artikel 82 i data- 2017/18:171 skyddsförordningen. Det handlar t.ex. om överträdelser av bestämmelser om information, där kraven på den information som ska lämnas går ut- över vad som krävs enligt dataskyddsförordningen. Det saknas skäl att i registerförfattningar särskilt reglera vad som gäller i fråga om skadestånd vid behandling av personuppgifter. Bestämmelser i registerförfattningar inom verk- samhetsområde som innehåller hänvisningar till personuppgiftslagens bestämmelser om skadestånd bör upphävas. Detta gäller bestämmelser i 10 kap. 1 § patientdatalagen (avsnitt 7.1.10), 15 § apoteksdatalagen (avsnitt 7.2.5), 20 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel (avsnitt 7.3.4), 9 § lagen om behandling av personuppgifter inom (avsnitt 7.4.4), 114 kap. 33 § socialförsäkringsbalken (avsnitt 7.5.11), 24 § lagen om receptregister (avsnitt 7.7.6), 13 § lagen om läkemedelsförteckning (avsnitt 7.8.6), 11 § lagen om hälsodataregister (avsnitt 7.9.2), 12 § lagen om register över nationella vaccinationsprogram (avsnitt 7.10.3), 6 kap. 2 § lagen om bio- banker i hälso- och sjukvården m.m. (avsnitt 7.11.3), 21 § lagen om blodsäkerhet (avsnitt 7.13.2), 26 § lagen om kvalitets- och säkerhets- normer vid hantering av mänskliga vävnader och celler (avsnitt 7.14.2), 8 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ (avsnitt 7.15.2) och 13 kap. 5 § alkohollagen (avsnitt 7.17.1). Regeringens bedömning: EU:s dataskyddsförordning medför inget behov av nya bestämmelser om administrativa sanktionsavgifter i registerförfattningar. bedömning: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Skälen för regeringens bedömning kan som en av sina befogenheter enligt artikel 58.1–3 i dataskyddsförordningen påföra personuppgiftsansvariga och personuppgiftsbiträden administrativa sanktionsavgifter i enlighet med artikel 83 vid överträdelser av olika bestämmelser i dataskyddsförord- ningen. Detta är en ny möjlighet som införs i och med att dataskydds- förordningen ska börja tillämpas. Regeringen föreslår i propositionen Ny dataskyddslag (prop. 2017/18:105 avsnitt 16) att de befogenheter som tillsynsmyndigheten har enligt artikel 58.1–3 i dataskyddsförordningen gäller vid tillsyn över att bestämmelserna i lagen och andra föreskrifter som kompletterar EU:s dataskyddsförordning följs (6 kap. 1 § dataskyddslagen). kommer att på det sätt som krävs enligt data- skyddsförordningen kunna utfärda administrativa sanktionsavgifter vid överträdelser av dataskyddsförordningen även inom registerförfattningar- nas tillämpningsområden utan att det behövs särskilda bestämmelser om det i dessa författningar. Enligt artikel 83.2 i dataskyddsförordningen ska administrativa sank- tionsavgifter, beroende av omständigheterna i det enskilda fallet, påföras utöver eller i stället för sådana åtgärder som tillsynsmyndigheten i övrigt kan vidta i form av varningar, reprimander, förlägganden, förbud etc. Olika faktorer, däribland överträdelsens karaktär, svårighetsgrad, var- aktighet, omfattning och syfte, ska beaktas både vid beslut om huruvida administrativa sanktionsavgifter ska påföras och när avgifternas belopp ska fastställas. Överträdelser av bestämmelser i dataskyddsförordningen som kan föranleda administrativa sanktionsavgifter är kategoriserade utifrån olika svårighetsgrad. För vissa mindre allvarliga överträdelser gäller ett maxbelopp på eller av den globala årsom- sättningen om det gäller ett företag. För allvarligare överträdelser före- skrivs i stället ett maxbelopp på eller av den globala årsomsättningen. Uppräkningen i artikel 83 i dataskyddsförordningen är uttömmande. befogenhet enligt artikel 58.2 i att ta ut admini- strativa sanktionsavgifter är begränsad till de överträdelser som anges i artikel 83. Av den artikeln framgår att sanktionsavgifter kan tas ut vid överträdelser av vissa artiklar i förordningen samt av nationella be- stämmelser som antagits på grundval av kapitel IX i dataskyddsförord- ningen. Med stöd av kapitel IX kan medlemsstaterna anta bestämmelser om t.ex. behandling av nationella identifikationsnummer (artikel 87) och behandling i anställningsförhållanden (artikel 88). Vid en överträdelse av nationella bestämmelser som inte har antagits på grundval av kapitel IX och som inte utgör en överträdelse av dataskyddsförordningens bestämmelser, kan sanktionsavgifter således inte tas ut med stöd av bestämmelsen. En överträdelse av en bestämmelse i nationell lagstiftning som sam- tidigt innebär en överträdelse av dataskyddsförordningens bestämmelser för vilken sanktionsavgift kan påföras med stöd av artikel 83 i data- skyddsförordningen omfattas av möjligheten att påföra administrativa sanktionsavgifter. Vid överträdelse av flera olika bestämmelser får den administrativa sanktionsavgiftens totala belopp enligt artikel 83.3 i dataskyddsförord- ningen inte överstiga det belopp som fastställs för den allvarligaste över- trädelsen. Medlemsstaterna har i artikel 83.7 i dataskyddsförordningen getts möjlighet att själva avgöra om och i vilken utsträckning administrativa sanktionsavgifter ska kunna påföras offentliga myndigheter och organ som är inrättade i medlemsstaterna. Regeringen föreslår i propositionen Ny dataskyddslag (avsnitt 16.2) att sanktionsavgifter får tas ut av statliga och kommunala myndigheter. För mindre allvarliga överträdelser ska avgiften uppgå till högst och för allvarligare överträdelser till högst . Vid bestämmandet av avgiftens storlek i det enskilda fallet ska dataskyddsförordningens bestämmelser tillämpas (se vidare 6 kap. 2– 3 §§ dataskyddslagen). 2017/18:171 Medlemsstaternas skyldigheter att fastställa andra sanktioner för överträdelser Enligt artikel 84 i förordningen ska medlemsstaterna fastställa regler om andra sanktioner för överträdelser av förordningen, särskilt för sådana som inte är föremål för administrativa sanktionsavgifter. Sanktionerna ska enligt artikeln vara effektiva, proportionella och avskräckande. I skäl 152 anges att medlemsstaterna bör genomföra ett system med effektiva, proportionella och avskräckande sanktioner om förordningen inte harmoniserar administrativa sanktioner eller om det är nödvändigt i andra fall. Det anges också i nämnda skäl att det ska fastställas om sank- tionerna ska vara av straffrättslig eller administrativ art. I skäl 149 anges att medlemsstaterna bör kunna fastställa bestämmelser om straffrättsliga påföljder och möjligheter att förverka den som gjorts vid överträdelser av förordningen. Där erinras också om att utdömandet av sådana påföljder och administrativa sanktioner inte bör medföra ett åsidosättande av dubbelprövningsförbudet enligt EU-dom- stolens tolkning. De sanktionsverktyg som normalt står till buds för staten är främst straff och sanktionsavgifter samt vite och återkallelse av tillstånd. För- ordningen föreskriver dock inte något sådant tillståndsförfarande som gör att återkallelse kan användas som sanktion. Regeringen föreslår i propositionen Ny dataskyddslag (avsnitt 16.3.3) att sanktionsavgifter enligt dataskyddsförordningen ska få tas ut även vid överträdelser av förordningens bestämmelser om behandling av person- uppgifter som rör lagöverträdelser och att avgiftens storlek ska bestämmas inom ramen för den högre beloppsgräns som gäller för över- trädelser av bl.a. bestämmelserna om känsliga personuppgifter. Regeringen bedömer dock att överträdelser av dataskyddsförordningen inte bör vara straffsanktionerade och att någon möjlighet för tillsyns- myndigheten att förena sina förelägganden med vite inte bör införas (propositionen Ny dataskyddslag, avsnitt 16.3.2). I detta lagstiftnings- ärende finns inte anledning att göra annan bedömning. 6.12Överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig Regeringens bedömning: Bestämmelser om överklagande i regi- sterförfattningar som enbart avser beslut om behandling av person- uppgifter bör upphävas. bedömning: Överensstämmer delvis med regeringens. Utredningen föreslår att överklagandebestämmelser som utöver beslut om behandling av personuppgifter även avser andra beslut, ändras på så sätt att bestämmelser om överklagande av beslut om behandling av personuppgifter ersätts med en upplysning om att det finns bestämmelser om överklagande i den föreslagna dataskyddslagen. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Skälen för regeringens bedömning: Regeringen föreslår i proposi- tionen Ny dataskyddslag (prop. 2017/18:105 avsnitt 17.5) att beslut enligt artiklarna 12.5 och 15–21 i EU:s dataskyddsförordning som har meddelats av en myndighet i egenskap av personuppgiftsansvarig får överklagas till allmän förvaltningsdomstol (7 kap. 2 § dataskyddslagen). Andra beslut enligt EU:s dataskyddsförordning eller dataskyddslagen än de som avses i 2–4 §§ dataskyddslagen får inte överklagas (7 kap. 5 § dataskyddslagen). Av propositionen Ny dataskyddslag (avsnitt 17.1.2) framgår bl.a. följande. Om den personuppgiftsansvarige är en myndighet får enligt gällande rätt vissa av de beslut som myndigheten fattar i denna egenskap överklagas till allmän förvaltningsdomstol (52 § personuppgiftslagen). Denna rätt gäller endast myndighetens beslut om information enligt 26 § personuppgiftslagen, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 §. Bestämmelsen har inte sin grund i dataskyddsdirektivet, utan motiveras av allmänna förvaltningsrättsliga principer om att förvaltningsbeslut som direkt berör en enskild person ska kunna överprövas av domstol (prop. 2005/06:173 s. 51–53). När den personuppgiftsansvarige är en myndighet kan vissa beslut som meddelas till följd av en begäran av en registrerad anses vara ett utflöde av myndighetens myndighetsutövning. Dataskyddslagen bör därför, i likhet med personuppgiftslagen, förses med en uttrycklig bestämmelse om att vissa myndighetsbeslut får överklagas till allmän förvaltningsdomstol. Prövningstillstånd bör krävas vid överklagande till kammarrätten. Regeringen anser att beslut från regeringen, ombudsmän och de högsta domstolarna ska undantas från rätten att överklaga. Rätten att överklaga bör omfatta beslut som en personuppgiftsansvarig myndighet fattar med anledning av att en registrerad utövar sina rättigheter enligt kapitel III i dataskyddsförordningen. De bestämmelser som kan föranleda överklagbara beslut rör enligt bedömning infor- mation (artikel 12.5), registerutdrag m.m. (artikel 15), rättelse (artikel 16), radering (artikel 17), begränsning (artikel 18), underrättelse till tredje man om rättelse, radering eller begränsning (artikel 19) och invändningar (artikel 21). I vissa fall skulle även bestämmelsen om dataportabilitet i artikel 20 kunna föranleda beslut av en personupp- giftsansvarig myndighet och bör därför av tydlighetsskäl också anges i den föreslagna bestämmelsen om överklagande. Angående om bestäm- melserna om information i artiklarna 14.5 b–d och om automatiserade beslut i artikel 22 bör omfattas av rätten att överklaga kan regeringen konstatera att rätten till information inte omfattas av överklagande- bestämmelsen i 52 § personuppgiftslagen och att det inte finns skäl att nu införa en annan ordning. När det gäller automatiserade beslut innehåller 52 § personuppgiftslagen visserligen en hänvisning till 29 § andra stycket personuppgiftslagen, som anger att den registrerade har rätt att på begäran få information om vad som har styrt den automatiserade behandling som lett fram till beslutet. Någon sådan rätt till information finns emellertid inte enligt artikel 22 i dataskyddsförordningen. 2017/18:171 ligen bör någon rätt att överklaga beslut enligt artikel 22 inte införas i dataskyddslagen. Dataskyddslagen kommer att gälla om inte annat följer av registerför- fattningarna eller föreskrifter som har meddelats i anslutning till register- författningarna. Det innebär att under förutsättning att det inte finns avvikande bestämmelser i registerförfattningarna, kommer bestämmel- serna i dataskyddslagen om överklagande av personuppgiftsansvariga myndigheters beslut att vara tillämpliga även inom registerför- fattningarnas tillämpningsområde, på samma sätt som personuppgifts- lagens bestämmelser är . Regeringen anser att det inte finns något skäl att reglera överklagande- möjligheten på annat sätt än vad som kommer att följa av dataskydds- lagen. Det finns inte behov av särskilda bestämmelser om överklagande i registerförfattningarna. Befintliga bestämmelser om att beslut om rättelse och information enligt 26 § personuppgiftslagen kan överklagas bör därför upphävas i de olika registerförfattningarna. Vissa författningar innehåller dock även bestämmelser om över- klagande av andra beslut än beslut om behandling av personuppgifter. Till skillnad mot vad bedömer anser regeringen att det i sådana författningar inte behöver införas en bestäm- melse som upplyser om att det finns bestämmelser om överklagande av beslut om behandling av personuppgifter i den föreslagna dataskydds- lagen. Vid behandling av personuppgifter enligt registerförfattningarna finns bestämmelser som anger att den generella lagen gäller och däri finns bl.a. bestämmelser om överklagande. Detta gäller bestämmelser i 10 kap. 2 § tredje stycket patientdatalagen (avsnitt 7.1.11), 10 § lagen om behandling av personuppgifter inom (avsnitt 7.4.5), 114 kap. 36 § socialförsäkringsbalken (avsnitt 7.5.12) och 6 kap. 7 § lagen om biobanker i hälso- och sjuk- vården m.m. (avsnitt 7.11.5). 7Särskilda överväganden och förslag som rör lagar inom verksamhetsområde 7.1Patientdatalagen (2008:355)