prop · H503254 · 2018-05-02 00:00:00 — Bestämmelsen om tredjelandsöverföringar i 21 § utlänningsdatalagen har införts med stöd av undantaget för viktiga allmänna intressen dataskyddsdirektiv, som motsvarar artikel 49.1 d i dataskydds- förordningen. Den bedömning som gjordes då är enligt regeringens mening fortfarande relevant. De ändamål som omfattas av 21 § är också erkända i svensk rätt. Undantaget i artikel 49.1 d i dataskyddsförordningen är, liksom övriga undantag i samma artikel, direkt tillämpligt. Bestämmelsen i 21 § utlänningsdatalagen fyller en funktion genom att den klargör i vilka situationer överföring kan ske med stöd av det undantaget. Regeringen bedömer att en sådan klargörande bestämmelse är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen och att den bör behållas. Överföring till tredjeland kan därmed ske under de förutsättningar som anges i 21 § utlänningsdatalagen även om det inte finns något beslut om adekvat skyddsnivå enligt artikel 45.3 eller lämpliga skyddsåtgärder enligt artikel 46 i dataskyddsförordningen. Det finns inget behov av att införa en sådan upplysningsbestämmelse som promemorian föreslår. Däremot bör ledet om den registrerades samtycke i 21 § första stycket utlänningsdatalagen tas bort, eftersom undantaget för samtycke enligt artikel 49.1 a i dataskyddsförordningen inte gäller för åtgärder som vidtas av offentliga myndigheter som ett led i myndighetsutövning (artikel 49.3). Även hänvisningen till personuppgiftslagen bör tas bort (se avsnitt 6.3.1). 2017/18:254 Med anledning av de synpunkter som och framför bör det framhållas att den föreslagna ändringen inte innebär att möjligheten att föra över personuppgifter till tredjeland blir mer omfattande än vad som gäller . En sådan överföring av personuppgifter till tredjeland som avses i 21 § utlänningsdatalagen ska också alltid föregås av en bedömning av om den aktuella överföringen är förenlig med offentlighets- och sekretesslagen. I den lagen finns särskilda sekretessregler gällande utlänningar. Enligt regeringens bedömning är skyddet för den registrerade vid överföring av personuppgifter till tredjeland tillfredsställande. Regeringens förslag: Bestämmelsen i utlänningsdatalagen om personuppgiftsombud ska upphävas. Regeringens bedömning: Dataskyddsförordningens bestämmelser om dataskyddsombud kräver inga ändringar i utlänningsdatalagen. Promemorians förslag och bedömning överensstämmer med Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig i denna Enligt Förvaltningsrätten i är det oklart om offentlighets- och sekretesslagens (2009:400) bestämmelser uppfyller dataskydds- förordningens krav på tystnadsplikt för dataskyddsombud i det allmännas verksamhet och anser att frågan bör analyseras ytterligare. Skälen för regeringens förslag och bedömning: Enligt 10 § första stycket utlänningsdatalagen ska och var och en utse ett eller flera personuppgiftsombud. samma paragraf ska den personuppgiftsansvarige anmäla till tillsyns- myndigheten när ett personuppgiftsombud utses eller entledigas. utlandsmyndigheterna är det frivilligt att utse ett personuppgiftsombud. Utlänningsdatalagen hänvisar också till 38–40 §§ personuppgiftslagen, som innehåller bestämmelser om personuppgiftsombudets uppgifter. Enligt artikel 37.1 a i dataskyddsförordningen ska myndigheter som utför personuppgiftsbehandling under alla omständigheter utse ett Termen dataskyddsombud definieras inte i förord- ningen men i artikel 38–39 regleras dess ställning och uppgifter. delar motsvarar dataskyddsombudet det som dataskydds- direktiv benämns uppgiftsskyddsombud och som i personuppgiftslagen Dataskyddsförordningens reglering är dock mer utförlig än regleringen dataskyddsdirektivs och personuppgiftslagen vad gäller dataskyddsombudets kvalifikationer, arbetsuppgifter och ställning i förhållande till den personuppgifts- Skyldigheten för myndigheter att utse ett dataskyddsombud framgår direkt av förordningen. I likhet med promemorian anser regeringen att det inte finns skäl att införa några hänvisningar till bestämmelserna i dataskyddsförordningen i denna del. 10 § utlänningsdatalagen bör således upphävas, liksom hänvisningen till 38–40 §§ personuppgiftslagen (se även avsnitt 6.3.1). Regleringen innebär att det inte längre kommer att vara valfritt för Prop. 2017/18:254 utlandsmyndigheterna att utse ett dataskyddsombud. Förvaltningsrätten i anser att frågan om tystnadsplikt för dataskyddsombudet bör analyseras ytterligare. Domstolen anser bl.a. att dataskyddsombudets uppgifter knappast kan anses vara en del av den personalsociala eller personaladministrativa verksamheten och att ombudet därmed inte skulle kunna omfattas av tystnadsplikt enligt 39 kap. offentlighets- och sekretesslagen. Enligt artikel 38.5 i dataskyddsförordningen ska dataskyddsombudet, när det gäller dennes genomförande av sina uppgifter, vara bundet av sekretess eller konfidentialitet i enlighet med unionsrätten eller medlems- staternas nationella rätt. 2017/18:105 resonerar regeringen kring dataskyddsombudets tystnadsplikt (avsnitt 15.2). Regeringen framhåller där att skyddet av personuppgifter utgör en integrerad del av all verksamhet där behandling av personuppgifter förekommer och att dataskyddsombudets befattning med personuppgifter därmed är direkt kopplad till den personuppgiftsansvariges verksamhet. Ett dataskydds- ombud måste därmed anses delta i myndighetens verksamhet på det sätt som avses i 2 kap. 1 § offentlighets- och sekretesslagen. Dataskyddsombudet omfattas därför av offentlighets- och sekretesslagens förbud att röja eller utnyttja de sekretessbelagda uppgifter som ombudet får kännedom om. Detta gäller oavsett om uppgiften förekommer i ett ärende, i personaladministrativ verksamhet eller i någon annan del av myndighetens verksamhet där sekretess gäller för uppgiften. Om den personuppgiftsansvarige eller personuppgiftsbiträdet är en myndighet eller offentligt organ får enligt artikel 37.3 i dataskydds- förordningen ett enda dataskyddsombud utnämnas för flera sådana myndigheter eller organ, med hänsyn till deras organisationsstruktur och storlek. Det kan alltså bli aktuellt för mindre myndigheter att utse ett gemensamt dataskyddsombud. Det är upp till myndigheterna själva att bedöma om detta är lämpligt. Regeringens bedömning: Bestämmelsen i dataskyddslagen om behandling av personnummer och samordningsnummer bör gälla även inom utlänningsdatalagens tillämpningsområde. Promemorians förslag överensstämmer i sak med regeringens I promemorian föreslås att utlänningsdatatalagen ska innehålla en hänvisning till dataskyddslagens bestämmelse om personnummer och samordningsnummer. Remissinstanserna: framför att det sannolikt kommer att uppstå ett behov av nya typer av identifikationsnummer, bl.a. för att göra det möjligt att utbyta information med andra myndigheter innan och oavsett om individer blivit tilldelade personnummer eller För att undvika att behöva skriva om lagtexten vore det därför lämpligt att införa ett mer generiskt uttryck. sig ingen remissinstans särskilt över förslaget. 2017/18:254 Skälen för regeringens bedömning: Utlänningsdatalagen innehåller en hänvisning till 22 § personuppgiftslagen, som anger att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering, eller c) något annat beaktansvärt skäl. Artikel 87 dataskyddsförordningen avser behandling av nationella identifikationsnummer. Enligt denna artikel får medlemsstaterna närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Ett nationellt identifikationsnummer eller ett annat vedertaget sätt för identifiering ska i sådana fall endast användas med iakttagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt förordningen. Detta utgör en skillnad mot dataskydds- direktiv, som anger att medlemsstaterna ska bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas (artikel 8.7). Enligt direktivet finns alltså en skyldighet att föreskriva villkor, medan förordningen endast möjliggör sådana föreskrifter. Däremot innehåller förordningen krav som ska vara uppfyllda, om sådana föreskrifter införs. Det framgår inte av förordningen vilka slag av skyddsåtgärder det ska eller kan vara fråga om. Regeringen föreslår i prop. 2017/18:105 att det i dataskyddslagen ska införas en bestämmelse om att uppgifter om personnummer eller samord- ningsnummer ska få behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl (3 kap. 10 § dataskyddslagen). Den nya bestämmelsen motsvarar alltså till sin lydelse helt den hittillsvarande bestämmelsen i personuppgiftslagen. Enligt regeringen ligger bestämmelsen väl i linje med förordningens intentioner och är flexibel och väl avpassad för att förhindra omotiverad behandling av personnummer och samordningsnummer (s. 102). I likhet med promemorian bedömer regeringen att det saknas skäl att frångå vad som tidigare gällt beträffande person- och samordnings- nummer i utlänningsdatalagen. Dataskyddslagen föreslås att gälla inom utlänningsdatalagens tillämpningsområde, under förutsättning att annat inte följer av utlänningsdatalagen eller föreskrifter som har meddelats i anslutning till lagen. Det krävs därför inte någon särskild lagstiftnings- åtgärd för att bestämmelsen om person- och samordningsnummer i dataskyddslagen ska bli tillämplig även inom utlänningsdatalagens område. Regeringen anser inte att det, såsom framför, finns skäl att frångå de i svensk rätt förekommande begreppen personnummer och samordningsnummer. 6.13Tillsynsmyndighetens handläggning och beslut samt sanktionsavgifter Regeringens bedömning: Bestämmelserna i dataskyddslagen om tillsynsmyndighetens handläggning och beslut samt sanktionsavgifter bör gälla även inom utlänningsdatalagens tillämpningsområde. Promemorians förslag överensstämmer i sak med regeringens bedömning. I promemorian föreslås att utlänningsdatatalagen ska innehålla en hänvisning till dataskyddslagens bestämmelser om tillsynsmyndighetens handläggning och beslut samt sanktionsavgifter. Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig i denna del. och Förvaltningsrätten i invänder mot förslaget att det ska införas möjlighet för tillsynsmyndigheten att ta ut administrativa sanktionsavgifter från myndigheterna. Skälen för regeringens bedömning: I utlänningsdatalagen finns hänvisningar till 43 och 44 §§, 45 § första stycket och 47 § personuppgiftslagen. I dessa bestämmelser regleras tillsynsmyndighetens befogenheter att vidta åtgärder mot de personuppgiftsansvariga. behörighet, uppgifter och befogenheter regleras utförligt i artikel 55–59 i dataskyddsförordningen. Enligt dessa bestämmelser har tillsynsmyndigheten bl.a. befogenhet att behandla klagomål från registrerade, utfärda varningar och reprimander mot personuppgiftsansvariga, rikta förelägganden mot personuppgifts- ansvariga samt besluta om begränsning av eller förbud mot viss behandling. Enligt artikel 83 i dataskyddsförordningen har tillsyns- myndigheten i vissa fall möjlighet att påföra de personuppgiftsansvariga administrativa sanktionsavgifter vid överträdelser av förordningens bestämmelser. Varje medlemsstat får fastställa regler för om och i vilken utsträckning sådana sanktionsavgifter kan påföras offentliga myndigheter och organ som är inrättade i medlemsstaten. Dataskyddslagen innehåller bestämmelser som kompletterar dataskyddsförordningens reglering i dessa delar. I 6 kap. 1 § föreskrivs att de befogenheter som tillsynsmyndigheten har enligt dataskyddsförordningen även ska gälla vid tillsyn över efterlevnaden av bestämmelserna i dataskyddslagen och andra författningar som kompletterar dataskyddsförordningen. Vad gäller sanktionsavgifter så anges det i 6 kap. 2 § dataskyddslagen att sanktionsavgifter ska få tas ut av myndigheter vid vissa överträdelser av dataskyddsförordningen. Bestämmelsen reglerar även avgiftens storlek. I samma kapitel finns även vissa kompletterande bestämmelser avseende sanktionsavgifter. 2017/18:105 utvecklar regeringen skälen för att tillsyns- myndigheten ska ha möjlighet att ta ut administrativa sanktionsavgifter från myndigheter (avsnitt 16.2). I likhet med promemorian anser regeringen att det saknas skäl att inom ramen för utlänningsdatalagens tillämpningsområde ha ett annat förfarande för tillsyn och sanktioner än det som kommer att gälla för andra myndigheter enligt dataskyddslagen. Eftersom dataskyddslagen kommer att gälla inom utlänningsdatalagens område, under förutsättning att annat inte följer av utlänningsdatalagen eller föreskrifter som har meddelats i anslutning till lagen, krävs det inte 2017/18:254 någon särskild lagstiftningsåtgärd för att bestämmelserna i dessa delar ska bli tillämpliga. Det bör därför inte införas några regler om tillsynsmyndighetens handläggning och beslut eller om sanktionsavgifter i utlänningsdatalagen. Regeringens bedömning: Rätten till ersättning enligt artikel 82 i dataskyddsförordningen gäller vid överträdelser av bestämmelser i utlänningsdatalagen eller av föreskrifter som har meddelats i anslutning till den lagen. Promemorians förslag överensstämmer i sak med regeringens bedömning. I promemorian föreslås att utlänningsdatalagen ska hänvisa till dataskyddslagens bestämmelse om skadestånd. Remissinstanserna: Justitiekanslern och Förvaltningsrätten i ifrågasätter om den föreslagna hänvisningen till dataskyddslagen är nödvändig. I övrigt yttrar sig ingen remissinstans särskilt över förslaget. Skälen för regeringens bedömning: Artikel 82 i dataskydds- förordningen föreskriver att en person ska ha rätt till ersättning för skada som denne har lidit till följd av en överträdelse av förordningen. Av skäl 146 i dataskyddsförordningen följer att med behandling som strider mot förordningen avses även behandling som strider mot medlemsstaternas nationella rätt med närmare specifikation av förordningens bestämmelser. I 7 kap. 1 § dataskyddslagen tydliggörs att rätten till ersättning enligt förordningen även gäller vid överträdelse av dataskyddslagen och andra författningar som kompletterar dataskydds- förordningen. Att bestämmelsen i dataskyddslagen blir tillämplig följer av regeringens förslag att dataskyddslagen ska gälla vid behandling av personuppgifter enligt utlänningsdatalagen, om inte annat följer av utlänningsdatalagen eller anslutande föreskrifter (avsnitt 6.3.1). Regeringen anser därför att det inte behövs några regler om skadestånd i utlänningsdatalagen. Den lagtekniska lösning som föreslås ligger i linje med Justitiekanslerns och Förvaltningsrättens i synpunkter. Rätten till ersättning enligt artikel 82 i dataskyddsförordningen gäller alltså vid överträdelser av bestämmelser i utlänningsdatalagen eller föreskrifter som har meddelats i anslutning till den lagen. Regeringens förslag: Bestämmelsen i utlänningsdatalagen som reglerar förhållandet mellan reglerna om gallring och reglerna om behandling av personuppgifter för arkivändamål ska tas bort. Regeringens bedömning: Utlänningsdatalagens övriga bestämmel- ser om gallring är förenliga med dataskyddsförordningen och kan Promemorians förslag och bedömning överensstämmer delvis med I promemorian föreslås att bestämmelsen som reglerar förhållandet mellan gallringsreglerna och rätten att behandla uppgifter för arkivändamål ska finnas kvar men ändras redaktionellt. Remissinstanserna: Remissinstanserna yttrar sig inte särskilt över bedömningen och förslaget. Skälen för regeringens förslag och bedömning: Av 10 § arkivlagen (1990:782) framgår att allmänna handlingar får gallras, men att det ska beaktas bl.a. att arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår ska kunna tillgodose syftet med arkivbildningen. Detta syfte framgår av 3 § tredje stycket arkivlagen och utgörs av rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Av 10 § tredje stycket arkivlagen framgår att avvikande bestämmelser om gallring i annan lag eller i förordning gäller i stället för arkivlagens bestämmelser. Många registerförfattningar, däribland utlänningsdatalagen, innehåller bestämmelser om gallring. Enligt 15 § andra stycket 2 utlännings- datalagen har regeringen rätt att meddela föreskrifter om gallring av känsliga personuppgifter. Några sådana föreskrifter finns dock inte i utlänningsdataförordningen. Regeringen har även, enligt 14 § tredje stycket 2 utlänningsdatalagen, rätt att meddela föreskrifter om gallring vad gäller register över fingeravtryck och fotografier. Denna rätt har regeringen utnyttjat genom att i 3 § utlännings- dataförordningen föreskriva att en uppgift i detta register ska gallras när den registrerade blir svensk medborgare och i andra fall senast efter det att uppgiften registrerades. De gallringsbestämmelser som finns i utlänningsdatalagen eller i föreskrifter som har meddelats i anslutning till den lagen, har företräde framför den rätt att arkivera och bevara handlingar som framgår av 8 § andra stycket personuppgiftslagen (8 § andra stycket utlänningsdatalagen). Av förarbetena till utlännings- datalagen framgår att avsikten med de befintliga gallrings- bestämmelserna har varit att skydda de registrerades personliga integritet (prop. 2015/16:65 s. 102 f). Eftersom gallringreglerna utgör ett skydd för de registrerades integritet föranleder dataskyddsförordningen inte några ändringar av bestämmelserna. Det krävs dock ändringar i 8 § andra stycket utlännings- datalagen eftersom personuppgiftslagen ska upphävas. Bestämmelsen infördes för att klargöra att arkivreglerna inte är tillämpliga när personuppgifter ska gallras enligt utlänningsdatalagen. I promemorian föreslås att en motsvarande bestämmelse ska placeras i anslutning till den bestämmelse om rätten att behandla personuppgifter för arkivändamål som också föreslås (jfr avsnitt 6.4). Som anförs i promemorian kan det dock ifrågasättas om bestämmelsen i 8 § andra stycket utlännings- datalagen egentligen fyller någon funktion. Att gallringsbestämmelser i annan lag eller förordning har företräde före arkivlagens bestämmelser följer redan av 10 § tredje stycket arkivlagen. Mot den bakgrunden bedömer regeringen att bestämmelsen i 8 § andra stycket utlännings- datalagen kan tas bort. Regeringens bedömning: Bestämmelserna i dataskyddsförordningen om automatiserat beslutsfattande kräver inga ändringar i utlänningsdatalagen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen ifrågasätter promemorians slutsats att artikel 22 i dataskyddsförordningen endast avser automatiserade beslut som innefattar profilering. Det framgår enligt inspektionen tydligt av både bestämmelsens ordalydelse och av skäl 71 i dataskyddsförordningen att artikel 22 är generellt tillämplig på automatiserade beslut. efterfrågar ett vidare resonemang gällande utrymmet att fatta automatiserade beslut och anför att eftersom tolkningen av artikel 22 är oklar kan konsekvensen bli att verkets digitalisering inte kan genomföras enligt målsättning. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen. Skälen för regeringens bedömning: Enligt artikel 15.1 dataskyddsdirektiv har varje person rätt att inte bli föremål för ett beslut som har rättsliga följder för honom eller som märkbart påverkar honom och som enbart grundas på automatisk behandling av uppgifter som är avsedda att bedöma vissa personliga egenskaper hos honom, exempelvis hans arbetsprestationer, kreditvärdighet, pålitlighet och uppträdande. I svensk rätt har artikeln genomförts genom 29 § personuppgiftslagen. Enligt den bestämmelsen gäller att om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för den fysiska personen, grundas enbart på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos personen, ska den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. Det finns inte någon hänvisning i utlänningsdatalagen som gör personuppgiftslagens bestämmelser om automatiserade beslut tillämpliga. Skälet för det torde vara att det inte fattas några sådana beslut inom de aktuella myndigheternas verksamhet. Av artikel 22 i dataskyddsförordningen framgår att den registrerade ska ha rätt att inte bli föremål för beslut som grundas enbart på automatiserad behandling, inbegripet profilering, om beslutet har rättsliga följder för den registrerade eller på liknande sätt i betydande grad påverkar honom eller henne. I artikeln föreskrivs vidare undantagssituationer och villkor för sådant förfarande. Enligt artikel 22.2 b ska punkt 1 inte tillämpas bl.a. om beslutet tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen. Beslut får enligt artikel 22.4 inte grunda sig på känsliga personuppgifter såvida inte artikel 9.2 a (samtycke) eller g (viktigt allmänt intresse) gäller och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits. Artikel 22 är direkt tillämplig i medlemsstaterna. Med stöd av artikel 23 är det dock möjligt att i nationell rätt begränsa tillämpningsområdet för artikeln. Regleringen om automatiserade beslut i artikel 22 i dataskydds- förordningen har en annan utformning än motsvarande bestämmelser i personuppgiftslagen och dataskyddsdirektiv. i direktivet och 29 § personuppgiftslagen tar sikte på s.k. profilering gäller dataskyddsförordningen enligt sin lydelse beslut som enbart grundas på automatiserad behandling, inbegripet profilering. Frågan är om detta innebär att förordningens reglering har ett bredare tillämpningsområde än den nuvarande regleringen. Det kan konstateras att artikel 22 till sin ordalydelse kan tolkas på olika sätt. Bestämmelsen kan, i enlighet med Datainspektionens uppfattning, läsas så att den är generellt tillämplig på automatiserade beslut. Formuleringen inbegripet profilering skulle då endast vara en upplysning om att bestämmelsen även omfattar profilering. Artikel 22 kan dock även läsas så att den automatiserade behandlingen måste omfatta profilering enligt definitionen i artikel 4.4 för att bestämmelsen ska bli tillämplig. Frågan om automatiskt beslutsfattande utvecklas i skäl 71 till förordningen. I det skälet behandlas endast profilering. Det kan vidare konstateras att skäl 73, vid uppräkningen av rättigheter som kan begränsas enligt artikel 23, endast omnämner profileringsbaserade beslut. Detta får anses tala mot att artikel 22 är tillämplig även när profilering inte inbegrips i behandlingen av personuppgifter. Sammantaget talar det anförda för att artikel 22 i dataskyddsförordningen endast är avsedd att omfatta automatiserade beslut som innefattar profilering. Någon säker slutsats kan dock i avsaknad av praxis inte dras i denna fråga. Med anledning av efterfrågan om ett vidare resonemang gällande utrymmet att fatta automatiserade beslut vill regeringen framhålla följande. Även om artikel 22.1 i dataskydds- förordningen skulle anses omfatta automatiserat beslutsfattande som inte är profilering, kan det konstateras att sådant beslutsfattande generellt är tillåtet för svenska myndigheter. Detta kommer bl.a. till uttryck i 28 § förvaltningslagen (2017:900), som träder i kraft . I paragrafens första stycke tydliggörs att ett beslut kan fattas automatiserat och i propositionen uttalar regeringen att detta är ett klargörande av att det inte behövs en reglering i en specialförfattning för att en myndighet ska kunna använda denna beslutsform (prop. 2016/17:180, s. 179–180).