prop · H50395 · 2018-02-27 00:00:00 — De registerförfattningar som gäller i stället för personuppgiftslagen innehåller egna bestämmelser om möjligheten att behandla känsliga personuppgifter, dock med hänvisning till personuppgiftslagens defini- tion av känsliga personuppgifter. I 1 kap. 7 § första stycket lagen om behandling av uppgifter i beskattningsverksamhet stadgas bl.a. att känsliga personuppgifter som anges i 13 § PUL får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Enligt andra stycket får uppgifter som avses i första stycket i annat fall behandlas endast om det särskilt anges i 2 kap. Det kapitlet innehåller bestämmelser om beskattningsdatabasen. I 2 kap. 4 § anges att en handling som har kommit in i ett ärende får behandlas i databasen och får innehålla uppgifter som avses i 1 kap. 7 §. Vidare anges att en handling som upprättats i ett ärende får behandlas i data- basen och får innehålla sådana uppgifter om de är nödvändiga för ärendets handläggning. Enligt 2 kap. 10 § andra stycket får inte uppgift som avses i 1 kap. 7 § användas som sökbegrepp. Lagen om behandling av personuppgifter i folkbokför- ingsverksamhet, lagen om behandling av uppgifter i Kronofogdemyndig- hetens verksamhet och lagen om behandling av uppgifter i verksamhet innehåller också sådana bestämmelser. I fråga om de författningar där personuppgiftslagen gäller finns i lagen om behandling av personuppgifter i äktenskapsregister- och bouppteckningsverksamheter några bestämmelser som liknar de ovan angivna (7 och 8 §§). Även lagen om identitetskort för folkbok- förda i har bestämmelser om känsliga personuppgifter liknande de ovan nämnda, som avser den i lagen angivna databasen. Den lagen har också bestämmelser som avser det fotografi som tas vid ansökan om id- kort. I 14 § anges att en kopia av den ansiktsbild som identitetskortet har försetts med får behandlas i databasen. Enligt 17 § första stycket får ansiktsbilden enligt bl.a. 14 § inte användas vid sökning med hjälp av automatiserad behandling. Lagen om det statliga personadressregistret och den tillhörande förord- ningen saknar bestämmelser om känsliga personuppgifter. Dataskyddsförordningens bestämmelser om känsliga personuppgifter Dataskyddsförordningen innehåller i likhet med dataskydds- direktiv och personuppgiftslagen ett principiellt förbud mot att behandla vissa särskilda kategorier av personuppgifter (artikel 9.1). Förbudet omfattar personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackföre- ning och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Artikel 9.1 i förordningen omfattar nya kategorier av uppgifter jämfört med mot- svarande bestämmelse dataskyddsdirektiv (artikel 8.1). tivets bestämmelse innefattar inte genetiska uppgifter, biometriska Prop. 2017/18:95 uppgifter för att entydigt identifiera en fysisk person eller uppgifter om en persons sexuella läggning. Artikel 8.1 i direktivet har genomförts i svensk rätt genom 13 § PUL, som är avsedd att ha samma innebörd som direktivets bestämmelse, se propositionen Personuppgiftslag (prop. 1997/98:44 s. 124). Uppgifter om sexuell läggning har i svensk rätt ansetts ingå i begreppet ”sexualliv” och införandet av det uttrycket i förordningen innebär således inte någon egentlig utvidgning från svenskt perspektiv, se t.ex. propositionen Behandling av personuppgifter inom (prop. 2000/01:126 s. 31) och propositionen Ett starkare skydd mot diskriminering (prop. 2007/08:95 s. 125–129). Tilläggen genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person utgör dock en utvidgning jämfört med den nuvarande ordningen. I rubriken till artikel 9 i dataskyddsförordningen anges att bestämmelsen avser behandling av särskilda kategorier av personupp- gifter. I skäl 10 och 51 omnämns dessa uppgifter i stället som känsliga respektive särskilt känsliga personuppgifter. Precis som dataskyddsdirektiv och personuppgiftslagen kompletteras förbudet i dataskyddsförordningen av ett antal undantag som gör det möjligt att behandla känsliga personuppgifter i vissa fall. Ett sådant undantag är om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse på grundval av unionsrätten eller medlems- staternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades rättigheter och intressen (artikel ). Ett annat exempel är om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk (artikel 9.2 f). och propositionen Ny dataskyddslag Uttrycket känsliga personuppgifter är det som används i 13 § PUL och även i de nu gällande registerförfattningarna. Uttrycket har av Data- skyddsutredningen ansetts vara tydligare än särskilda kategorier av uppgifter och därtill vara inarbetat även på EU-nivå. 2017/18:105 gör regeringen samma bedömning (s. 75). I dataskyddslagen föreslås att det uttryckligen anges att med känsliga personuppgifter avses i dataskyddslagen sådana uppgifter som avses i artikel 9.1 i EU:s data- skyddsförordning (3 kap. 1 § förslaget till dataskyddslag). Undantaget i artikel i dataskyddsförordningen är visserligen direkt tillämpligt men det är enligt regeringen möjligt för medlems- staterna att införa mer specifika bestämmelser i nationell rätt (se prop. 2017/18:105 s. 75). Motsvarande reglering finns i artikel 8.4 i dataskyddsdirektivet enligt vilken känsliga personuppgifter får behandlas under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse. I nämnda proposition gör regeringen också bedömningen att det är ett viktigt allmänt intresse att myndigheternas ärendehandläggning kan ske på ett effektivt och rättssäkert sätt samt att ärendebegreppet i de allra flesta fall är förhållandevis tydligt och bör kunna användas som avgränsning (s. 87). 2017/18:95 Regeringen bedömer vidare i propositionen att det behövs en tydlig reglering som tillåter viss behandling av känsliga personuppgifter hos myndigheterna och anger att det också i många fall finns sådana bestäm- melser i sektorsspecifika författningar om behandling av personuppgifter. Regeringen bedömer att det behövs särskilda bestämmelser i dataskydds- lagen som är tillämpliga för alla myndigheter och som uppfyller kraven i artikel i dataskyddsförordningen (s. 84 f.). Enligt 3 kap. 3 § första stycket förslaget till dataskyddslag får känsliga personuppgifter behand- las av en myndighet med stöd av artikel i dataskyddsförordningen 1. om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, 2. om behandlingen är nödvändig för handläggningen av ett ärende, eller 3. i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Enligt 3 kap. 3 § andra stycket är det vid behandling som sker enbart med stöd av första stycket förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Utöver ovanstående föreslås också att regeringen ska få meddela ytterligare föreskrifter om sådan behandling av känsliga personuppgifter som är nödvändig med hänsyn till ett viktigt allmänt intresse (3 kap. 4 § förslaget till dataskyddslag). Regeringen anger att de föreslagna bestämmelserna är avsedda att gälla för offentlig verksamhet där sektorsspecifik reglering avseende känsliga personuppgifter saknas och att det kan finnas anledning för vissa sektorer att närmare precisera och avgränsa möjligheterna att behandla känsliga personuppgifter ytterligare (s. 91). Bestämmelserna om känsliga personuppgifter är förenliga med dataskyddsförordningen I enlighet med regeringens bedömning att det är ett viktigt allmänt intresse att myndigheternas ärendehandläggning kan ske på ett effektivt och rättssäkert sätt bedömer regeringen, till skillnad från Datainspek- tionen, att den behandling av känsliga personuppgifter som möjliggörs genom berörda registerlagar får anses nödvändig av hänsyn till ett sådant viktigt allmänt intresse som avses i artikel i dataskyddsförord- ningen. Vad gäller nu aktuell verksamhet kan också skäl 112 i data- skyddsförordningen nämnas, där internationella utbyten av uppgifter mellan konkurrensmyndigheter, skatte- eller tullmyndigheter, finanstill- synsmyndigheter, socialförsäkringsmyndigheter eller hälsovårdsmyndig- heter nämns som exempel på viktiga allmänintressen. Regeringen vill också framhålla att det inte är fråga om några nya förslag. Det föreslås således inte några nya bestämmelser, utan befintliga krav på behandling av känsliga personuppgifter behålls. Kraven på viktigt allmänt intresse är som framgår ovan inte heller nya utan gäller även enligt dataskyddsdirektiv. I lagarna finns vidare särskilda bestämmelser som är ägnade att värna den enskildes personliga integritet, t.ex. en begränsning till uppgifter som lämnats i ett ärende eller är nödvändiga för handläggningen av det och regler om förbud mot att söka på känsliga personuppgifter i databaser. Denna reglering uppfyller enligt regeringens mening dataskyddsförord- ningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Det är alltså möjligt att behålla den nuvarande regleringen avseende känsliga personuppgifter i berörda lagar. 2017/18:105 föreslås som framgår ovan bestämmelser om bl.a. myndigheters behandling av känsliga personuppgifter (3 kap. 3 § förslaget till dataskyddslag). Ett alternativ skulle kunna vara att låta dataskyddslagens bestämmelser om behandling av känsliga personuppgifter gälla vid behandling enligt berörda lagar. Detta skulle dock innebära en utvidgning av möjligheterna att behandla känsliga personuppgifter jämfört med vad som gäller . Enligt regeringens mening har det inte framkommit behov av en sådan utvidgning. anser att bestämmelserna om behandling av känsliga personuppgifter är obehövliga med hänsyn till att dataskydds- förordningen anger när sådana uppgifter får behandlas. Denna syn delas således inte av regeringen. De befintliga bestämmelserna i registerförfatt- ningarna har utformats utifrån de särskilda behov som respektive verk- samhet har. Bestämmelserna om behandling av känsliga personuppgifter i berörda lagar bör därför behållas och därmed utgöra en till 3 kap. 3 § dataskyddslagen avvikande reglering (jfr 1 kap. 6 § förslaget till dataskyddslag). väcker frågan om känsliga personuppgifter bör regleras ytterligare, för det fall att myndigheterna är personuppgifts- ansvariga för behandling i s.k. eget utrymme. Så som anges också i avsnitt 7.1 är frågeställningarna inte relaterade till de nya reglerna på EU-nivå och omfattas inte av detta lagstiftningsärende. Som framgår av avsnitt 7.1 finns både i de aktuella registerförfatt- ningarna och i andra författningar bestämmelser som innebär att myndigheter ska lämna ut uppgifter i vissa fall och även bestämmelser om skyldighet för enskilda att lämna uppgifter till myndigheter. Föran- leder utlämnandet behandling av känsliga personuppgifter och finns det bestämmelser om detta i berörd myndighets registerförfattning, är dessa bestämmelser tillämpliga vid sådan behandling. I annat fall är det bestämmelserna om känsliga personuppgifter i dataskyddsförordningen eller den föreslagna dataskyddslagen som ska tillämpas vid sådan behandling, för det fall dessa regelverk är tillämpliga. Hänvisningarna till personuppgiftslagens definition bör ersättas med hänvisningar till dataskyddsförordningens definition Som framgår ovan innebär dataskyddsförordningen att vad som är att beteckna som känsliga personuppgifter blir något mer omfattande jäm- fört med . Vad gäller de lagar som har särregler om känsliga personuppgifter är samtliga uppbyggda så att det hänvisas till definitionen av känsliga personuppgifter i personuppgiftslagen. Som framgår av avsnitt 9.2 behö- ver alla hänvisningar till personuppgiftslagen tas bort. De nu aktuella hänvisningarna till personuppgiftslagen bör enligt regeringens bedöm- ning ersättas med hänvisningar till artikel 9.1 i dataskyddsförordningen med innebörd att personuppgiftslagens definition ersätts med dataskydds- förordningens definition. Denna förändring innebär en ändring i sak, då något fler kategorier av uppgifter kommer att omfattas av restriktionerna. Som nämnts ovan bedöms sexuell läggning redan ingå i begreppet Behandling av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person är dock nyheter. typ av behandling kommer således framöver att kringgärdas av restrik- Datainspektionen saknar överväganden som avser just dessa nya kategorier av känsliga personuppgifter. föregående rubrik inkluderar samtliga kategorier av känsliga uppgifter. anser att 13 § lagen om identitetskort för folkbokförda i är onödig på den grunden att behandling av särskilda person- uppgifter (fotografi, dvs. biometriska data) redan är en rättslig förplik- telse för den utfärdande myndigheten och att övriga kategorier av käns- liga personuppgifter inte är relevanta vid utfärdande av identitetshand- Vad gäller fotografi vill regeringen framhålla att det är en annan bestämmelse, 14 §, som reglerar behandling av ansiktsbilden i databasen. Vanliga fotografier eller en kopia av ansiktsbilden innehåller inte biometriska uppgifter för att entydigt identifiera en fysisk person (se t.ex. SOU 2017:29 s. 149). Regeringen ser inte något skäl att upphäva den Vad gäller behovet av 13 § är det inte uteslutet att käns- liga personuppgifter kan komma in i ett ärende om ansökan om identitetskort eller behöva behandlas i ett sådant ärende, varför den bestämmelsen bör finnas kvar. De föreslagna bestämmelserna har fått en något annorlunda utformning jämfört med promemorians förslag, då inledningen har justerats något. Förslaget genomförs genom ändringar i 1 kap. 7 § första stycket lagen om behandling av uppgifter i 1 kap. 6 § första stycket lagen om behandling av personuppgifter i folkbokföringsverksamhet, 1 kap. 6 § första stycket lagen om behandling av uppgifter i 1 kap. 7 § första stycket lagen om behandling av uppgifter i verksamhet, 7 § lagen om behandling av personuppgifter i äktenskapsregister- och bouppteckningsverksamheter och 13 § lagen om identitetskort för folkbokförda i . 9.4.2 Uppgifter om lagöverträdelser Regeringens förslag: Hänvisningar i de berörda lagarna till person- uppgiftslagens bestämmelse om lagöverträdelser m.m. ska ersättas med en uppräkning som motsvarar personuppgiftslagens definition av sådana överträdelser. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans har några invändningar mot och tillstyrker uttryckligen för- slaget. Skälen för regeringens förslag Enligt 21 § PUL är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden. Förbudet gäller dock inte behandling för forskningsändamål, under vissa i paragrafen angivna förutsättningar. Vidare får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om undantag från förbudet. Regeringen får dessutom i enskilda fall besluta om undantag från förbudet samt överlåta åt tillsynsmyndigheten att fatta sådana beslut. I övrigt finns ingen reglering i personuppgiftslagen som gäller möjligheten att behandla sådana slag av personuppgifter. aktuella registerförfattningar avser myndigheters behandling av personuppgifter, varför 21 § PUL inte i sak är relevant avseende dem. Vissa författningar har dock egna, begränsande regler avseende denna kategori uppgifter. 1 kap. 7 § lagen om behandling av uppgifter i Skatte- verkets beskattningsverksamhet innehåller utöver hänvisningen till känsliga personuppgifter i personuppgiftslagen även en hänvisning till uppgifter om lagöverträdelser m.m. som anges i 21 § PUL. Detta innebär att begränsningen att uppgifter får behandlas endast om de har lämnats i ett ärende eller är nödvändiga för handläggningen av ärendet även omfattar sådana uppgifter. Detsamma gäller sökförbudet i 2 kap. 10 § andra stycket lagen om behandling av uppgifter i beskatt- ningsverksamhet. Lagen om behandling av personuppgifter i folkbokför- ingsverksamhet, lagen om behandling av uppgifter i Kronofogdemyndig- hetens verksamhet och lagen om behandling av uppgifter i verksamhet har liknande bestämmelser. Även lagen om identitetskort för folkbokförda i har bestämmelser om sökbegränsningar avseende lagöverträdelser. I lagen om behandling av uppgifter i verk- samhet finns utöver angiven reglering ytterligare en bestämmelse om behandling av uppgifter om överträdelser. I uppräkningen av vad som får behandlas i skuldsaneringsdatabasen för ett i 2 kap. 14 § angivet ändamål ingår lagöverträdelser som innefattar brott eller domar i brottmål, om uppgifterna utgör grund för en fordran i ett ärende (2 kap. 17 § första stycket 6). Eftersom personuppgiftslagens bestämmelser om lagöverträdelser inte innebär några restriktioner för myndigheters behandling, saknar de författningar som inte har någon egen reglering om lagöverträdelser och där personuppgiftslagen gäller restriktioner avseende denna kategori uppgifter. Dataskyddsförordningens bestämmelser om lagöverträdelser Enligt artikel 10 i EU:s dataskyddsförordning får behandling av person- uppgifter som rör fällande domar i brottmål och överträdelser eller där- med sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unions- rätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får dock endast föras under kontroll av en myndighet. Artikeln motsvarar delvis artikel 8.5 dataskyddsdirektiv. En skillnad är att artikel 8.5 i direktivet talar om brottmålsdomar, vilket innefattar även icke fällande domar. Den nya regleringen innebär alltså en begränsning av bestämmelsens tillämpningsområde till enbart fällande brottmålsdomar. En annan skillnad är att artikel 8.5 i direktivet möjliggör för medlemsstaterna att föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också ska behandlas under kontroll av en myndighet. Ovanstående innebär att såväl dataskyddsdirektiv som den nya förordningen saknar restriktioner avseende myndigheters behandling av uppgifter om lagöverträdelser. Regeringen uttalar sig i prop. 2017/18:105 om artikel 10 i dataskydds- förordningen. Artikeln innebär enligt regeringens bedömning att myndigheter inte behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att få behandla uppgifter som rör lagöverträdelser. I propo- sitionen bedömer regeringen också att det finns ett visst utrymme att förtydliga innebörden av artikel 10 i svensk rätt och anser att det uttryckligen bör framgå av dataskyddslagen att personuppgifter som rör lagöverträdelser får behandlas av myndigheter (s. 99). Det föreslås därför en bestämmelse som anger att personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas av myndigheter (3 kap. 8 § första stycket förslaget till dataskyddslag). Det föreslås också bestäm- melser som rör andra än myndigheters behandling av sådana uppgifter. Hur bör bestämmelserna om uppgifter om lagöverträdelser justeras? Som framgår av redovisningen ovan innehåller ett antal av de berörda registerlagarna begränsande regler om möjligheten att behandla uppgifter om lagöverträdelser m.m. jämfört med personuppgiftslagen. Dataskydds- förordningen har inga begränsande regler om detta för myndigheter. Inte heller i prop. 2017/18: 105 föreslås några restriktioner avseende myndigheter. Detta innebär att några sådana bestämmelser inte krävs med anledning av artikel 10 i förordningen eller den föreslagna dataskyddslagen. Det innebär också att regleringen utgör en begränsning i förhållande till dataskyddsförordningen och dataskyddslagen. Frågan kan därför ställas om de befintliga begränsningarna i lagarna ska finnas kvar. Begränsningarna har införts i syfte att skydda den personliga integriteten (se t.ex. prop. 2000/01:33 s. 100–104). Några skäl att upphäva dessa bestämmelser har inte framkommit. Bestämmelserna bör enligt regeringens bedömning därför finnas kvar. Nästa fråga är hur bestämmelserna bör vara utformade. Som framgår av avsnitt 9.2 föreslås att hänvisningarna till personuppgiftslagen ska tas bort. Ett alternativ är att ersätta hänvisningen till personuppgiftslagen med en hänvisning till artikel 10 i dataskyddsförordningen. Detta skulle innebära en ändring i sak, då t.ex. uppgifter om friande domar inte skulle omfattas av de mer restriktiva reglerna. Som har nämnts ovan har de begränsande reglerna införts till skydd för den personliga integriteten. Några skäl till lättnader har inte framkommit, även om dataskyddsförord- ningen inte hindrar detta. Regeringen föreslår i stället att hänvisningen till personuppgiftslagen ersätts med en uppräkning som motsvarar personuppgiftslagens defini- tion av lagöverträdelser m.m., dvs. lagöverträdelser som innefattar brott, Prop. 2017/18:95 domar i brottmål, straffprocessuella tvångsmedel eller administrativa Justeringen innebär ingen ändring i sak. Vad gäller den ovan nämnda särbestämmelsen i 2 kap. 17 § lagen om behandling av uppgifter i verksamhet finns inga skäl till justeringar varför den bör kvarstå oförändrad. Förslaget genomförs genom ändringar i 1 kap. 7 § första stycket lagen om behandling av uppgifter i 1 kap. 6 § första stycket lagen om behandling av personuppgifter i folkbokföringsverksamhet, 1 kap. 6 § första stycket lagen om behandling av uppgifter i verksamhet, 1 kap. 7 § första stycket lagen om behandling av uppgifter i verksamhet och 17 § andra stycket lagen om identitetskort för folkbok- förda i . 9.5.1Allmänt om rättigheterna i EU:s dataskyddsförordning och bestämmelser i förslaget till dataskyddslag I dataskyddsförordningens tredje kapitel behandlas den registrerades rättigheter. Kapitlet avser rätten till information (artiklarna 13 och 14) och rätten till tillgång (artikel 15), rätten till rättelse (artikel 16), radering (artikel 17), begränsning (artikel 18) och dataportabilitet (artikel 20). Slutligen behandlas rätten att göra invändningar (artikel 21) och att motsätta sig automatiskt individuellt beslutsfattande (artikel 22). I anslutning till dessa rättigheter finns bestämmelser om hur och när information ska lämnas (artikel 12) och bestämmelser om anmälnings- skyldighet för det fall rättelse, radering av personuppgifter eller begränsning av behandling sker (artikel 19). De rättigheter för enskilda som följer av dataskyddsförordningen har, med vissa undantag, sina motsvarigheter dataskyddsdirektiv och personuppgiftslagen. Den registrerades rättigheter har dock förstärkts i vissa avseenden genom dataskyddsförordningen, bl.a. när det gäller rätten till information och tillgång till uppgifter. Den registrerades rättigheter, med motsvarande skyldigheter för den personuppgiftsansvarige, är direkt tillämpliga. Rättigheterna är emellertid inte absoluta utan kan enligt artikel 23 i dataskyddsförordningen begrän- sas under vissa i artikeln angivna förutsättningar. Enligt artikel 23.1 får begränsningar införas i nationell rätt, om begränsningen sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa särskilt angivna mål.