prop · H503115 · 2018-02-27 00:00:00 — Datainspektionen efterfrågar en tydligare beskrivning av de rättsliga grunderna för den behandling av personuppgifter som regleras i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Det kan konstateras att den aktuella behandlingen är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Behandlingen kan således ske med stöd av artikel 6.1 c och e i dataskyddsförordningen. Enligt artikel 6.3 i förordningen ska den grund för behandlingen som avses i artikel 6.1 c och e vara fastställd i unionsrätten eller medlemsstaternas nationella rätt. När det gäller den personuppgiftsbehandling som är aktuell har den rättsliga grunden för behandlingen fastställts genom dels den reglering av verksamheten vid val och folkomröstningar som beskrivs i avsnitt 4.4, dels lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Datainspektionen efterfrågar också en analys som visar att lagstiftningen är proportionell mot det legitima mål som eftersträvas, i enlighet med artikel 6.3 i dataskyddsförordningen. Som anges i propositionen Ny dataskyddslag utgör kravet på proportionalitet inte någon nyhet i svensk rätt, utan speglar det krav som ställer på lagstiftaren i en rättsstat (prop. 2017/18:105 s. 50). Kravet gällde även vid införandet av den reglering av verksamheten vid val och folkomröstningar som beskrivs i avsnitt 4.4 och lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Regleringen bedömdes alltså då uppfylla kravet på proportionalitet. Regeringen anser inte att det finns anledning att nu göra någon annan bedömning. 5.3Förhållandet till den generella dataskyddsregleringen Regeringens förslag: Bestämmelserna om hur lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar förhåller sig till personuppgiftslagen utgår. I lagen införs i stället en bestämmelse som klargör att lagen kompletterar EU:s dataskyddsförordning. Det införs en bestämmelse som anger att dataskyddslagen och föreskrifter som meddelas i anslutning till den lagen gäller, om inte annat följer av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar eller föreskrifter som meddelats i anslutning till den lagen. Promemorians förslag överensstämmer med regeringens, med det undantaget att promemorian inte hänvisar till föreskrifter i anslutning till dataskyddslagen. Remissinstanserna: Samtliga remissinstanser som yttrar sig tillstyrker eller har inga synpunkter på promemorians förslag. Skälen för regeringens förslag: I 1 kap. 2 § första stycket lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar regleras lagens förhållande till personuppgiftslagen. Där framgår att om inte annat anges i 1 kap. 3 § eller 3 kap. gäller lagen i stället för personuppgiftslagen. I 1 kap. 3 § anges att personuppgiftslagens bestämmelser om bl.a. definitioner, förhållandet till offentlighetsprincipen m.m., grundläggande krav på behandling, säkerheten vid behandling, tillsynsmyndighetens befogenheter och straff ska gälla när personuppgifter behandlas enligt den förstnämnda lagen. I 3 kap. finns bestämmelser som innebär att vissa bestämmelser i personuppgiftslagen om information till den registrerade samt om rättelse och skadestånd ska gälla vid behandling av personuppgifter enligt lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. När dataskyddsförordningen börjar tillämpas kommer personuppgiftslagen att upphävas, vilket innebär att hänvisningar till personuppgiftslagen inte kan finnas kvar. Då kommer i stället förordningen att utgöra den generella reglering för behandling av personuppgifter som lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar måste förhålla sig till. Eftersom förordningen är direkt tillämplig i medlemsstaterna kan inte lagen gälla i stället för förordningen inom förordningens tillämpningsområde. Bestämmelserna om hur lagen förhåller sig till den generella dataskyddsregleringen måste därför förändras. Lagen kommer att innehålla bestämmelser som kompletterar dataskyddsförordningen. Det bör införas en bestämmelse i lagen som upplyser om detta. Lagen kommer också att innehålla vissa andra hänvisningar till dataskyddsförordningen. Det är fråga om bestämmelser av upplysningskaraktär, hänvisningar till definitioner i och undantag från dataskyddsförordningen. Hänvisningarna föreslås, i likhet med vad som med några få undantag föreslås i dataskyddslagen, vara dynamiska (se prop. 2017/18:105 s. 24–25). Valet av dynamisk hänvisning innebär att hänvisningen kommer att omfatta eventuella ändringar i förordningen efter dess ikraftträdande. Detta hindrar dock inte att den nationella lagstiftningen kan komma att behöva ändras om förordningens innehåll förändras. Vidare finns det anledning att klarlägga hur lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar förhåller sig till dataskyddslagen. Förslaget till dataskyddslag innehåller bestämmelser på generell nivå som behövs för att komplettera dataskyddsförordningen i (se prop. 2017/18:105 s. 21–23). Dataskyddslagen och föreskrifter som meddelas i anslutning till den lagen bör gälla om inte annat följer av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar eller föreskrifter som meddelats i anslutning till lagen. En bestämmelse som anger detta bör införas i lagen. När det gäller de bestämmelser i personuppgiftslagen som det hänvisas till i 1 kap. 3 § lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar kan det konstateras att dataskyddsförordningen och dataskyddslagen innehåller motsvarigheter till de flesta av de aktuella bestämmelserna i personuppgiftslagen. I fråga om hänvisningen i 1 kap. 3 § första stycket 9 till straffbestämmelsen i 49 § PUL kan det dock konstateras att varken dataskyddsförordningen eller dataskyddslagen 2017/18:115 innehåller någon motsvarande bestämmelse. I propositionen Ny dataskyddslag gör regeringen bedömningen att det inte bör införas en sådan straffbestämmelse i dataskyddslagen, bl.a. mot bakgrund av dataskyddsförordningens direkt tillämpliga bestämmelser om sanktionsavgifter, vilka föreslås gälla även för myndigheter (prop. 2017/18:105 s. 138–144). Det innebär att överträdelser av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar inte längre kommer att vara straffbelagda. Regeringens förslag: I lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar införs en bestämmelse som anger att personuppgifter som behandlas enligt ändamåls- bestämmelserna i lagen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Regeringens bedömning: Det finns även fortsättningsvis utrymme för sådana ändamålsbestämmelser som finns i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Promemorians förslag och bedömning överensstämmer i sak med Remissinstanserna: Datainspektionen ifrågasätter om promemorians förslag till upplysningsbestämmelse uppnår syftet att förtydliga data- skyddsförordningen och anser att det bör framgå vilken bestämmelse i dataskyddsförordningen som upplysningsbestämmelsen är avsedd att Övriga remissinstanser som yttrar sig tillstyrker eller har inte några invändningar mot promemorians förslag och bedömning. Skälen för regeringens förslag och bedömning: En allmän dataskyddsrättslig princip är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. finalitetsprincipen får uppgifterna inte senare behandlas för något annat ändamål som är oförenligt med insamlingsändamålen. uttryck bl.a. i 9 § första stycket c och d PUL. börjar tillämpas kommer dessa principer att följa av artikel 5.1 b i Av regleringen i förordningen följer vidare att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. till denna reglering finns i 9 § andra stycket PUL. Det är vanligt att ändamålsbestämmelser tas in i sektorsspecifika författningar för att ange den yttersta ram inom vilken personuppgifterna I lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar finns sådana bestämmelser i 1 kap. 4 och 5 §§. Där framgår att uppgifter får behandlas för tillhandahållande av information som behövs för 1) framställning av röstlängder och röstkort inför ett val eller en folkomröstning, 2) framställning av valsedlar och sammanräkning av valresultat, och 3) tillsyn, kontroll, uppföljning och av verksamheten, samt att uppgifter också får behandlas i databasen för att tillgodose samhällets behov av uppgifter i samband med Prop. 2017/18:115 val och folkomröstningar. Genom att 1 kap. 3 § innehåller en hänvisning till 9 § PUL gäller dessutom finalitetsprincipen, dvs. att uppgifterna inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Ändamålsbestämmelser i lagstiftning som reglerar myndigheters personuppgiftsbehandling är sådana specifika bestämmelser som anpassar tillämpningen av dataskyddsförordningen och säkerställer en laglig och rättvis behandling enligt artikel 6.2. Detta framgår även av artikel 6.3 där det anges att den rättsliga grunden kan innehålla särskilda bestämmelser om bl.a. ändamålsbegränsningar. I enlighet med artikel 23.2 a i dataskyddsförordningen ska dessutom, åtminstone när så är relevant, lagstiftning som begränsar tillämpningsområdet för förordningens skyldigheter och rättigheter innehålla specifika ändamålsbestämmelser. Detta innebär att de nuvarande ändamålsbestämmelserna i lagen, vilka tillsammans med finalitetsprincipen ger myndigheterna ändamålsenliga möjligheter att behandla personuppgifter och minskar risken för obefogade intrång i den personliga integriteten, kan behållas. I föregående avsnitt föreslås att 1 kap. 3 § lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar, som hänvisar till 9 § PUL där finalitetsprincipen regleras, ska upphävas. Registerförfattningar innehåller vanligtvis en uttrycklig hänvisning till finalitetsprincipen (se t.ex. 2 kap. 5 § patientdatalagen [2008:355] och 1 kap. 8 § fjärde stycket polisdatalagen [2010:361]). Enligt regeringens bedömning bör finalitetsprincipen även fortsättningsvis utgöra den yttersta ram inom vilken personuppgifter får behandlas enligt lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Som Datainspektionen anför gäller visserligen finalitetsprincipen enligt artikel 5.1 b i dataskyddsförordningen vid sådan behandling. Enligt regeringens uppfattning finns det dock av tydlighetsskäl anledning att införa en bestämmelse i lagen som anger att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med insamlingsändamålen. Denna bestämmelse utgör tillsammans med uppräkningen av tillåtna ändamål i 1 kap. 4 och 5 §§ en sådan ändamålsbegränsning som får införas i nationell rätt enligt artikel 6.3 i dataskyddsförordningen. Det finns därför inte skäl att, som Datainspektionen är inne på, införa en hänvisning till dataskyddsförordningen i bestämmelsen. Regeringens bedömning: Det finns även fortsättningsvis utrymme för en bestämmelse om personuppgiftsansvar i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar som anger att den centrala valmyndigheten, och länsstyrelserna var för sig är personuppgiftsansvariga för den behandling av personuppgifter som respektive myndighet ska utföra. Promemorians bedömning överensstämmer med regeringens. 2017/18:115 Remissinstanserna: Samtliga remissinstanser som yttrar sig tillstyrker eller har inga synpunkter på bedömningen. Skälen för regeringens bedömning: Av 1 kap. 6 § lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar framgår att den centrala valmyndigheten, och länsstyrelserna var för sig är personuppgiftsansvariga för den behandling av personuppgifter som respektive myndighet ska utföra. I förarbetena till lagen framhölls att det inte är möjligt att, för ett komplext system för databehandling, i lag närmare bestämma vilken myndighet som bör vara ansvarig för olika specifika behandlingar. I stället ansågs det lämpligt att för berörda myndighetsorganisationer utforma regleringen så att den myndighet på vilken det ankommer att utföra en viss behandling ska vara ansvarig för just den behandlingen. I mer övergripande frågor, t.ex. om ansvar för att nödvändiga tekniska eller organisatoriska säkerhetsåtgärder vidtas, måste personuppgiftsansvarets fördelning grundas på vilka myndigheter som har befogenhet och skyldighet att utföra dessa åtgärder (prop. 2000/01:33 s. 97–98). Dataskyddsförordningens reglering om personuppgiftsansvar innebär att det som huvudregel är den som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter som är personuppgiftsansvarig. Den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses kan emellertid i enlighet med artikel 4.7 också föreskrivas i medlemsstaternas nationella rätt. Dataskyddsförordningen ger således utrymme för att behålla den nuvarande regleringen om personuppgiftsansvar i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Med hänsyn till att de skäl som redovisades när reglerna om personuppgiftsansvar infördes i lagen fortfarande gör sig gällande bör det därför i lagen även fortsättningsvis anges att myndigheterna var för sig är personuppgiftsansvariga för den behandling av personuppgifter som respektive myndighet ska utföra. 5.6Behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser Regeringens förslag: Bestämmelsen i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser ska hänvisa till EU:s dataskyddsförordning i stället för personuppgiftslagen. Regeringens bedömning: Det är möjligt att i huvudsak behålla bestämmelserna i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar om behandling av känsliga personuppgifter respektive uppgifter om lagöverträdelser. Promemorians förslag och bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen avstyrker förslaget och anser att det klart bör framgå att behandling av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. endast är tillåten om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse. Om denna särskilda förutsättning för behandlingen inte framgår finns det enligt Datainspektionen risk för att myndigheter vilseleds av formuleringen. Övriga remissinstanser som yttrar sig tillstyrker eller har inte några invändningar mot promemorians förslag och bedömning. Skälen för regeringens förslag och bedömning Regleringen i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar Enligt 1 kap. 7 § första stycket lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar får känsliga personuppgifter och uppgifter om lagöverträdelser behandlas om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Enligt 1 kap. 7 § andra stycket får sådana uppgifter annars endast behandlas om det särskilt anges i 2 kap. som reglerar innehållet i val- och folkomröstningsdatabasen respektive databasen för sametingsvalet. I 2 kap. 6 §, som gäller val- och folkbokföringsdatabasen, anges att en handling som har kommit in i ett ärende får behandlas i databasen och får innehålla känsliga personuppgifter och uppgifter om lagöverträdelser. Vidare anges att en handling som upprättats i ett ärende får behandlas i databasen och får innehålla sådana uppgifter om de är nödvändiga för ärendets handläggning. I 2 kap. 11 § finns ett förbud mot att använda känsliga personuppgifter och uppgifter om lagöverträdelser som sökbegrepp. Vad som föreskrivs i 2 kap. 6 och 11 §§ är tillämpligt även i fråga om databasen för sametingsvalet (se 2 kap. 19 och 22 §§). Dataskyddsförordningen innehåller i likhet med dataskyddsdirektivet och personuppgiftslagen ett principiellt förbud mot att behandla vissa särskilda kategorier av personuppgifter (artikel 9.1). Förbudet omfattar behandling av uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Artikel 9.1 i förordningen omfattar nya kategorier av uppgifter jämfört med motsvarande bestämmelse i dataskyddsdirektivet (artikel 8.1). Direktivets bestämmelse innefattar inte genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person eller uppgifter om en persons sexuella läggning. Artikel 8.1 i direktivet har genomförts i svensk rätt genom 13 § PUL, som är avsedd att ha samma innebörd som direktivets bestämmelse (propositionen Personuppgiftslag, prop. 1997/98:44 s. 124). Uppgifter om sexuell läggning har i svensk rätt ansetts ingå i begreppet ”sexualliv” och införandet av det begreppet i förordningen innebär således inte någon egentlig utvidgning från svenskt perspektiv (se t.ex. propositionen Behandling av personuppgifter inom , prop. 2017/18:115 s. 31 och propositionen Ett starkare skydd mot diskriminering, prop. 2007/08:95 s. 125–129). Tillägget av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person utgör dock en utvidgning jämfört med den nuvarande ordningen. I rubriken till artikel 9 i dataskyddsförordningen anges att bestämmelsen avser behandling av särskilda kategorier av personuppgifter. I skäl 10 och 51 omnämns dessa uppgifter i stället som känsliga respektive särskilt känsliga I personuppgiftslagen och andra författningar används benämningen känsliga personuppgifter. Det begreppet är väl inarbetat, även på EU-nivå, och språkligt lättare att använda och förstå, inte minst i Regeringen anser därför att begreppet känsliga personuppgifter bör användas som samlingsbenämning för sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som anges i artikel 9 i dataskyddsförordningen (se prop. 2017/18:105 s. 74). Precis som i dataskyddsdirektivet och personuppgiftslagen kompletteras förbudet i dataskyddsförordningen av ett antal undantag som gör det möjligt att behandla känsliga personuppgifter i vissa fall. undantag är om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades rättigheter och intressen (artikel ). är visserligen direkt tillämpligt men det är möjligt för medlemsstaterna att införa mer specifika bestämmelser i nationell rätt (se 2017/18:105 s. 74–76). Motsvarande reglering finns i artikel 8.4 i dataskyddsdirektivet där det anges att känsliga personuppgifter får behandlas under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse. I propositionen Ny dataskyddslag gör regeringen bedömningen att det är ett viktigt allmänt intresse att myndigheternas ärendehandläggning kan ske på ett effektivt och rättssäkert sätt samt att ärendebegreppet i de allra flesta fall är förhållandevis tydligt och bör kunna användas som avgränsning (prop. 2017/18:105 s. 87–88). Regeringen bedömer därför att den behandling av känsliga personuppgifter som möjliggörs genom lagen om behandling av personuppgifter i verksamhet med val och folk- omröstningar får anses nödvändig av hänsyn till ett sådant viktigt allmänt intresse som avses i artikel i dataskyddsförordningen. från Datainspektionen anser regeringen inte att kravet på ett viktigt allmänt intresse behöver framgå uttryckligen. I lagen finns särskilda bestämmelser som är ägnade att värna den enskildes personliga integritet, t.ex. en begränsning till uppgifter som lämnats i ett ärende eller är nödvändiga för handläggningen av det och regler om förbud mot att söka på känsliga personuppgifter i databaser. Denna reglering uppfyller enligt regeringens mening dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och Det är alltså möjligt att behålla den nuvarande regleringen avseende känsliga personuppgifter i 1 kap. 7 § första stycket och 2 kap. lagen om behandling av personuppgifter i verksamhet med val och folk- Förslaget till dataskyddslag (prop. 2017/18:105) innehåller bestämmelser om bl.a. myndigheters behandling av känsliga personuppgifter (3 kap. 3 §). Förslaget innebär att sådan behandling är tillåten (1) om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, (2) om behandlingen är nödvändig för handläggningen av ett ärende, eller (3) i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Ett alternativ skulle kunna vara att låta dataskyddslagens bestämmelser om behandling av känsliga personuppgifter gälla vid behandling enligt i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Detta skulle dock innebära en utvidgning av möjligheterna att behandla känsliga personuppgifter jämfört med vad som gäller . Enligt regeringens mening har det inte framkommit ett behov av en sådan utvidgning. Bestämmelserna om behandling av känsliga personuppgifter i 1 kap. 7 § första stycket och 2 kap. lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar bör därför behållas och därmed utgöra en till 3 kap. 3 § dataskyddslagen avvikande reglering (1 kap. 6 § dataskyddslagen). Bestämmelsen i 1 kap. 7 § måste dock ändras på så sätt att hänvisningen till 13 § PUL ersätts av en hänvisning till artikel 9.1 i dataskyddsförordningen. Som framgår ovan innebär detta en viss förändring i sak, eftersom något fler kategorier av uppgifter omfattas av regleringen om känsliga personuppgifter i dataskyddsförordningen jämfört med motsvarande reglering i personuppgiftslagen. Hänvisningen till dataskyddsförordningen avser förordningen i den gällande lydelsen (se avsnitt 5.3). Behandling av personuppgifter om lagöverträdelser är också föremål för särskilda begränsningar. Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder endast utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Regeringen bedömer att artikel 10 i förordningen, för svenskt vidkommande, tar sikte på personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel (se prop. 2017/18:105 s. 97–99). En motsvarande bestämmelse finns i artikel 8.5 i dataskyddsdirektivet, där det framgår att uppgifter om lagöverträdelser får behandlas endast under kontroll av en myndighet eller med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder.