prop · H503105 · 2018-02-20 00:00:00 — ostrukturerat material som avses i 5 a § PUL och efterfrågar över- väganden om det är ett undantag som fortsatt bör gälla avseende person- nummer och samordningsnummer. anser att uppgifter om personnummer eller samordningsnummer ska få behandlas utan sam- tycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen samt att tillsynsmyndigheten bör bemyndigas att meddela Skälen för regeringens förslag: Personnummer och samordnings- nummer utgör inte känsliga personuppgifter i dataskyddsförordningens mening, men har ändå getts en särställning genom att medlemsstaterna getts möjlighet att införa särskilda villkor för behandlingen (artikel 87). Villkoren ska i sådana fall säkerställa att identifikationsuppgifterna bara får användas med iakttagande av lämpliga skyddsåtgärder för de registrerades fri- och rättigheter. Något uttryckligt krav på skydds- åtgärder finns inte enligt dataskyddsdirektivet. melse överensstämmer i övrigt med artikel 8.7 i dataskyddsdirektivet, 2017/18:105 som har genomförts i 22 § PUL. De villkor som uppställs i 22 § PUL innebär att uppgifter om personnummer och samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Regleringen i 22 § PUL ger uttryck för att behandlingen av person- nummer och samordningsnummer bör vara restriktiv och föregås av en intresseavvägning mellan behovet av behandlingen och de integritets- risker som den innebär. Bestämmelsen ligger väl i linje också med för- ordningens intentioner och är enligt regeringens mening flexibel och väl avpassad för att förhindra omotiverad behandling av personnummer och samordningsnummer. Regeringen anser därför, till skillnad från Data- , att en bestämmelse som i sin helhet motsvarar 22 § PUL bör införas i dataskyddslagen. I 50 § c PUL anges att regeringen eller den myndighet som regeringen bestämmer, dvs. Datainspektionen enligt 16 § PUF, får meddela närmare föreskrifter om i vilka fall användning av personnummer är tillåten. Några sådana föreskrifter har inte meddelats av Datainspektionen. Det är däremot relativt vanligt med sektorsspecifika förordningsbestämmelser om behandling av personnummer och samordningsnummer. Det kommer även fortsättningsvis att finnas behov för regeringen att meddela sådana föreskrifter. Det saknas dock skäl för regeringen att i detta lagstiftnings- ärende ta ställning till om det finns ett sådant behov när det gäller den typ av ostrukturerad behandling som Kammarrätten i nämner. Som utredningen föreslår bör det därför införas ett bemyndigande i dataskyddslagen som avser föreskrifter om personnummer och samord- ningsnummer. Eftersom Datainspektionen inte har sett anledning att utnyttja möjligheten enligt 16 § PUF att meddela föreskrifter och något behov av sådan vidaredelegation inte har framkommit, föreslås däremot ingen sådan möjlighet. En bestämmelse om behandling av personnummer och samordnings- nummer kan, oavsett om den tas in direkt i sektorsspecifik lag eller i förordning med stöd av bemyndigandet, tillåta behandling i andra fall än de som tillåts enligt den föreslagna bestämmelsen i dataskyddslagen. En avvikande bestämmelse måste dock leva upp till förordningens krav på lämpliga skyddsåtgärder för de registrerades fri- och rättigheter. Sammanfattningsvis föreslår alltså regeringen att personnummer och samordningsnummer ska få behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Vidare föreslås att regeringen ska få meddela ytterligare föreskrifter om behandling av personnummer och samordningsnummer. Begränsningar av vissa rättigheter och Regeringens förslag: Bestämmelserna i dataskyddsförordning om information och rätt att få tillgång till personuppgifter gäller inte uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som meddelats med stöd av författning. inte är en myndighet gäller undantaget för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och Bestämmelsen i EU:s dataskyddsförordning om den registrerades rätt till tillgång till personuppgifter m.m. gäller inte personuppgifter i löpande text som utgör utkast eller minnesanteckning eller liknande. Undantaget gäller dock inte om uppgifterna har lämnats ut till tredje part, om uppgifterna behandlas enbart för arkivändamål av allmänt intresse eller för statistiska ändamål eller om de har behandlats under än i löpande text som inte har fått sin slutliga Regeringen får meddela ytterligare föreskrifter om begränsningar enligt EU:s dataskyddsförordning. Regeringens bedömning: Rätten att göra invändningar mot myndigheters behandling av personuppgifter bör inte begränsas genom ett undantag i dataskyddslagen. Sådana begränsningar bör i stället vid behov övervägas på sektorspecifik nivå. Utredningens förslag och bedömning överensstämmer i huvudsak I utredningens förslag till bemyndigande nämns inte artikel 89.2–3 i dataskyddsförordningen i författningstexten. Remissinstanserna: Det stora flertalet remissinstanser tillstyrker utredningens förslag och instämmer i dess bedömning eller har inga synpunkter på dem. Enligt utgör de föreslagna bestämmelserna om undantag från informationsskyldigheten nödvändiga anpassningar till tryckfrihetsförordningens och offentlighets- och anser att det bör förtydligas på vilken grund i artikel 23.1 som den registrerades bedömer att undantagen i artikel 14.5 b och c är tillämpliga i granskningsverksamheten, men anser att det vore önskvärt med ett förtydligande, t.ex. en bestämmelse som särskilt reglerar möjligheten för myndigheter som bedriver granskning och tillsyn att göra undantag från informationsskyldigheten. bankföreningen anser att den registrerades rätt till dataportabilitet inte ska gälla i fråga om uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen. rätten i kan se problem med att effektuera en begäran om lämnas enligt artikel 14, dvs. personuppgifter som inte har erhållits från den registrerade, och som behandlas i löpande text. utredningens förslag om att utkast till allmänna handlingar ska kunna lämnas ut om de varit utkast . 2017/18:105 anser att tidsgränsen ska förlängas. Srf konsulternas förbund anser att vad som kan anses vara minnesanteckningar och när en text är färdigställd kan bli svårdefinierat. Kammarrätten i håller med om att den registrerades rätt att göra invändningar inte bör begränsas, men efterfrågar exempel på vad som kan utgöra tvingande berättigade skäl som kan anses väga tyngre än den registrerades intressen. Försvarsmakten anser däremot att undantag ska meddelas avseende den registrerades rätt att göra invändningar. har förståelse för att utredningen inte bedömer det lämpligt att föreslå en generell inskränkning av rätten att invända, men påpekar att hanteringen mycket väl kan bli administrativt resurskrävande. och noterar att utredningen inte uttryckligen berör frågan om invändningsrätt vid myndighetsutövning. kommun anser att det noga bör övervägas om det finns behov att införa ett generellt undantag från rätten att göra invändningar i dataskyddslagen särskilt när det gäller myndigheter, men förstår varför utredningen anser att sådana undantag bör övervägas på sektorspecifik nivå. Svensk Försäkring anser att bemyndigandet att meddela ytterligare begräns- ningar ska kunna vidaredelegeras till Datainspektionen, då ett sådant förfarande skulle göra regleringen mer flexibel. tillstyrker undantag från artikel 15 på grund av sekretess, men avstyrker förslagen i övrigt. anför att undantag för löptext saknar stöd i dataskyddsförordningen, som är teknikneutral och inte ska avgränsas till Skälen för regeringens förslag och bedömning I dataskyddsförordningen har den registrerades rättigheter förstärkts i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Den information som ska tillhandahållas den registrerade har precise- rats och utvidgats och det anges uttryckligen att den personuppgifts- ansvarige ska tillhandahålla informationen i en begriplig och lättill- Den personuppgiftsansvariges skyldighet att självmant till- handahålla den registrerade information om behandlingen av personupp- gifter anges i artiklarna 13 och 14. Den registrerade har vidare enligt artikel 15 rätt att på begäran få tillgång till de personuppgifter som behandlas och viss information. Enligt artikel 16 har den registrerade rätt att på begäran få felaktiga Förutsättningarna för att den registrerade ska få sina personuppgifter raderade anges i artikel 17 (rätten att bli bortglömd). Vidare anges i artikel 18 att den registrerade under vissa omständigheter har rätt att kräva att behandlingen begränsas. Förordningen innehåller i artikel 20 en bestämmelse som ger den registrerade rätt att få åtkomst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataporta- bilitet, om behandlingen grundar sig på den registrerades samtycke eller avtal med denne. Enligt artikel 21 har den registrerade rätt att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller f, som sker för att utföra en uppgift av allmänt intresse, i myndig- hetsutövning eller efter en intresseavvägning. Slutligen har den regist- rerade enligt huvudregeln i artikel 22 rätt att inte bli föremål för ett automatiserat individuellt beslutsfattande, inbegripet profilering. I artikel 23.1 i dataskyddsförordningen anges att såväl unionsrätten som en medlemsstats nationella rätt får begränsa tillämpningsområdet för vissa skyldigheter och rättigheter som föreskrivs i förordningen, om en sådan begränsning sker med respekt för andemeningen i de grund- läggande rättigheterna och friheterna och utgör en nödvändig och propor- tionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa särskilt angivna mål. Bestämmelsen motsvarar delvis artikel 13.1 i data- skyddsdirektivet. Möjlighet att begränsa vissa av de registrerades rättig- heter ges även i artikel 89.2 i förordningen, i fråga om behandling av personuppgifter för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Enligt artikel 89.3 får vissa rättigheter också begränsas vid behandling av personuppgifter för arkivändamål av allmänt intresse. Rätten att göra invändningar I artikel 21 i dataskyddsförordningen föreskrivs att den registrerade i vissa fall ska ha rätt att invända mot behandling av personuppgifter. Bestämmelsen är direkt tillämplig. En motsvarande rättighet föreskrivs även i dataskyddsdirektivet, men är genomförd i personuppgiftslagen endast såvitt avser direkt marknadsföring (11 § PUL). Dataskyddsförord- ningen innebär därmed att rätten att göra invändningar utvidgas jämfört med vad som följer av gällande svensk rätt. Rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen avser behandling av person- uppgifter som grundar sig på artikel 6.1 e eller f, dvs. som ett led i myndighetsutövning, för att utföra en uppgift av allmänt intresse eller efter en intresseavvägning. Rättigheten gäller alltså inte vid behandling av personuppgifter som exempelvis är nödvändig för att den person- uppgiftsansvarige ska kunna uppfylla en rättslig förpliktelse (artikel 6.1 c), t.ex. när en myndighet genom författning har ålagts att föra ett register. Följden av att en invändning görs enligt artikel 21.1 är att den personuppgiftsansvarige inte längre får behandla personupp- gifterna, såvida inte denne kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Enligt gällande svensk rätt har den registrerade inte någon generell rätt att göra invändningar mot den behandling av personuppgifter som sker hos myndigheter. Det finns mot den bakgrunden skäl att särskilt överväga om dataskyddsförordningens rätt att göra invändningar bör inskränkas, med stöd av artikel 23, när det gäller sådan behandling som sker med stöd av artikel 6.1 e, dvs. som ett led i myndighetsutövning eller för att utföra en uppgift av allmänt intresse. Som utredningen anför fyller rätten att göra invändningar en viktig funktion ur rättssäkerhetssynpunkt, i synnerhet i de fall då de närmare villkoren för behandlingen inte har reglerats i en sektorsspecifik författ- ning. Regeringen anser därför i likhet med utredningen, till skillnad från bl.a. Försvarsmakten, att rätten att göra invändningar mot myndigheters 2017/18:105 behandling av personuppgifter inte bör inskränkas på ett generellt plan genom ett undantag i dataskyddslagen. Sådana undantag bör i stället övervägas på sektorspecifik nivå. Med anledning av Kammarrätten i synpunkter bör fram- hållas att en myndighet som kan visa att behandling av personuppgifter är nödvändig som ett led i myndighetsutövning eller för att utföra en uppgift av allmänt intresse typiskt sett bör anses ha påvisat sådana tvingande berättigade skäl som kan anses väga tyngre än den regist- rerades intressen. Sekretess och tystnadsplikt ska gå före informationsplikten och rätten till tillgång Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige enligt artikel 13 självmant lämna viss information till den registrerade, bl.a. om ändamålen med och den rättsliga grunden för behandlingen. Den personuppgiftsansvariges skyldighet att förse den registrerade med sådan information i de fall personuppgifterna inte har erhållits från den registrerade anges i artikel 14. I artikel 14.5 föreskrivs flera undantag från bestämmelserna om den registrerades rätt till information när personuppgifter inte har erhållits från den registrerade. Enligt artikel 14.5 b ska dessa bestämmelser inte tillämpas i den mån tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning. Enligt artikel 14.5 c ska bestämmelserna inte heller tillämpas om erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade om- fattas av och som fastställer lämpliga åtgärder för att skydda den registre- rades berättigade intressen. Detta innebär bl.a. att en tillsynsmyndighet som regel inte behöver informera den registrerade om behandlingen av sådana personuppgifter som myndigheten erhållit som en följd av en reglerad uppgiftsskyldighet. Undantagen i artikel 14.5 är direkt tillämp- liga och behöver inte, som förordar, upprepas eller förtydligas i dataskyddslagen. I 27 § PUL anges att bestämmelserna i 23–26 §§ om den registrerades rätt till information inte gäller i den utsträckning det är särskilt före- skrivet i lag eller annan författning eller annars framgår av beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i offentlighets- och sekretesslagen vägra att lämna ut uppgifter till den registrerade. Frågan är om mot- svarande undantag bör tas in i dataskyddslagen. I artikel 14.5 d i dataskyddsförordningen anges att den personuppgifts- ansvariges informationsplikt när personuppgifter inte har erhållits från den registrerade inte ska tillämpas om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt enligt unionsrätt eller nationell rätt, inbegripet lagstadgade sekretessförpliktelser. I artikel 15.4 anges endast att den registrerades rätt till tillgång inte ska inverka menligt på andras friheter och rättigheter. Det befintliga undantaget i 27 § PUL är vidare än de direkt tillämpliga undantagen i artiklarna 14.5 d och 15.4. Något tydligt undantag från rätten till tillgång enligt artikel 15 finns inte i dataskyddsförordningen i fråga om uppgifter som omfattas av sekretess eller tystnadsplikt. Vidare finns det situationer då även en privaträttslig aktör, som inte omfattas av författningsreglerad sekretess eller tystnadsplikt, har berättigad anledning att hemlighålla uppgifter i förhållande till den registrerade. Det kan t.ex. röra sig om information som samlats in inför en domstolsprocess, om det kan antas att ett utlämnande av informationen skulle försämra den personuppgiftsansvariges ställning som part i rättegången. Regeringen anser därför i likhet med utredningen att det finns ett behov av ett undantag motsvarande det som finns i 27 § PUL. efterfrågar förtydliganden av på vilken grund i artikel 23.1 som den registrerades rättigheter begränsas. När det gäller den offentliga sektorn kan konstateras att reglerna om sekretess i offentlighets- och sekretesslagen utgör begränsningar av rätten att ta del av allmänna handlingar. Denna rätt får enligt 2 kap. 2 § TF begränsas endast om det är påkallat med hänsyn till vissa särskilt angivna ändamål, t.ex. rikets säkerhet, intresset att förebygga eller beivra brott eller skyddet för enskildas personliga eller ekonomiska förhållanden. De godtagbara ändamål för sekretess som anges i tryckfrihetsförordningen utgör också godtagbara ändamål för begränsningar av den registrerades rättigheter enligt artikel 23.1 i dataskyddsförordningen. När det gäller andra än myndigheter ger den sistnämnda bestämmelsen också medlemsstaterna utrymme att göra sådana undantag i syfte att säkerställa skydd av andras fri- och rättigheter och verkställighet av civilrättsliga krav. Det är således tillåtet att föreskriva undantag från de registrerades rättigheter med hänsyn till privaträttsliga aktörers berättigade behov av att hemlighålla uppgifter. Enligt regeringens bedömning respekterar ett undantag som motsvarar 27 § PUL andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demo- kratiskt samhälle. Det bör därför, som utredningen föreslår, införas ett undantag från informationsplikten som i sak motsvarar 27 § PUL. Praxis rörande 27 § PUL bör kunna vara vägledande även vid tillämpningen av den nya bestämmelsen. anser att ett motsvarande undantag bör införas även avseende den registrerades rätt till dataportabilitet, i fråga om upp- gifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen. Denna fråga behandlas inte av utred- ningen. Det har, enligt regeringens bedömning, inte framkommit skäl att införa ett sådant generellt undantag i dataskyddslagen. Undantag från rätten till dataportabilitet får i stället vid behov övervägas på sektors- specifik nivå. Löpande text som utgör utkast eller minnesanteckning ska inte omfattas av rätten till tillgång Den registrerade har enligt 26 § första stycket PUL rätt att på begäran få information om och tillgång till de personuppgifter som behandlas, ett så kallat registerutdrag. Bestämmelsen genomför i svensk rätt artikel 12 a i dataskyddsdirektivet om rätten till tillgång. Rätten till tillgång innebär enligt inte en rätt att få del av den handling där person- uppgifterna förekommer, se dom YS mot Minister voor Immigratie, C- 141/12, EU:C:2014:2081, punkt 58. rätten till tillgång i artikel 15 i dataskyddsförordningen. enligt artikel 15.4 inte inverka menligt på andra rättigheter och friheter. I 26 § tredje stycket PUL föreskrivs undantag från rätten till tillgång. Enligt bestämmelsen behöver s.k. registerutdrag enligt 26 § första stycket inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller Undantaget gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statis- tiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats under I förarbetena till detta undantag anges, bl.a. med hänvisning till regleringen i 2 kap. TF, att det på såväl den offentliga som den privata sidan finns goda skäl för en ordning som innebär att ofärdiga alster, minnesanteckningar och liknande inte behöver lämnas ut 1997/98:44 s. 83–84). Att få ha sina ofärdiga alster och minnesanteckningar i fred kan enligt förarbetena anses som en sådan fri- och rättighet som enligt artikel 13.1 i dataskyddsdirektivet berättigar till en begränsning av informationsskyldigheten. arbetena framgår vidare att om uppgifterna behandlats som utan att texten färdigställts, kan dock den registrerades intresse av att få ta del av sina uppgifter anses väga tyngre än den personuppgifts- ansvariges intresse av att utan insyn få ytterligare fördröja färdigställandet av texten. Detta resonemang är enligt regeringens mening fortfarande relevant. förhållande till myndigheter behövs ett sådant undantag för att säkerställa de mål av allmänt intresse som det ankommer på myndigheter att värna. Dessa intressen utgör grund för undantag från de registrerades rättig- heter, särskilt enligt artikel 23.1 e, f och h. I förhållande till den privata sektorn är undantaget nödvändigt bl.a. för att skydda enskildas fri- och rättigheter, vilket är en tillåten grund för undantag enligt artikel 23.1 i. Undantaget respekterar andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett Regeringen anser att det befintliga undantaget i 26 § tredje stycket PUL fyller sitt syfte och fungerar väl. anser regeringen att detta även gäller avgränsningen till löpande text. bör därför i dataskyddslagen tas in en bestämmelse som på motsvarande sätt gör undantag från rätten till tillgång enligt artikel 15 i dataskydds- förordningen avseende personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteck- ning eller liknande. Undantaget bör i likhet med gällande rätt inte gälla om uppgifterna har lämnats ut till tredje part eller om uppgifterna behandlas enbart för arkivändamål av allmänt intresse eller för statistiska ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . i uppfattar förslaget som att t.ex. utkast till beslut ska lämnas ut . Regeringen vill dock i det samman- Prop. 2017/18:105 hanget betona att artikel 15 i dataskyddsförordningen inte ger den regist- rerade någon rätt att ta del av den handling där uppgifter om honom eller henne förekommer. Själva utkastet behöver således inte lämnas ut. Däre- mot ska den registrerade, på begäran, få tillgång till uppgifterna i hand- lingen och den information som anges i artikel 15, om behandlingen har pågått . Regeringen anser inte att det fram- kommit skäl att förlänga , på det sätt som bl.a. Svensk Försäkring föreslår. Skulle ett sådant behov föreligga på ett visst område bör det regleras särskilt. Regeringen ska få meddela ytterligare föreskrifter Ytterligare undantag kan komma att behöva föreskrivas med stöd av artikel 23 i dataskyddsförordningen. Det kommer också att finnas behov av sådana undantag från de registrerades rättigheter som kan föreskrivas med stöd av artikel 89.2–3. Mot denna bakgrund bör det införas ett bemyndigande i dataskyddslagen som i sak motsvarar det bemyndigande som finns i 8 a § PUL. Regeringen anser, till skillnad från Svensk Försäkring, att det saknas skäl att införa en möjlighet att vidaredelegera rätten att meddela sådana föreskrifter till Datainspektionen. 14 Arkiv och statistik 14.1Arkivändamål av allmänt intresse 14.1.1Föreskrifter om arkiv ger stöd för behandling av personuppgifter Regeringens bedömning: Myndigheter och andra som omfattas av föreskrifter om arkiv har enligt gällande rätt rättslig grund för behand- ling av personuppgifter för arkivändamål av allmänt intresse.