prop · H50395 · 2018-02-27 00:00:00 — För behandling av personuppgifter gäller ett antal olika registerförfattningar. Lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet och den tillhörande förordningen (2001:588) tillämpas vid behandling av personuppgifter i beskattningsverksamhet och i verkets handläggning enligt lagen 2017/18:95 (2007:324) om hantering av vissa borgenärsuppgifter, lagen (2013:948) om stöd vid korttidsarbete och lagen (1991:1047) om sjuklön, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Vid folkbokföringsverksamhet gäller lagen (2001:182) om behandling av personuppgifter i folkbokföringsverk- samhet och den tillhörande förordningen (2001:589). har också verksamhet som avser det statliga personadressregistret, SPAR, varvid lagen (1998:527) om det statliga personadressregistret och den tillhörande förordningen (1998:1234) gäller. I verksamheter med äktenskapsregister och bouppteck- ning gäller lagen (2015:898) om behandling av personuppgifter i Skatte- verkets äktenskapsregister- och bouppteckningsverksamheter och den tillhörande förordningen (2015:905). I lagen (2015:899) om identitets- kort för folkbokförda i och den tillhörande förordningen (2015:904) finns bestämmelser om en databas som innehåller person- uppgifter och som ska föras i verksamheten med utfärdande av identitets- kort för folkbokförda i . Sistnämnda lag reglerar inte endast personuppgiftsbehandlingen i databasen utan även verksamheten med utfärdande av id-kort. I brottsbekämpande verksamhet gäller skattebrottsdata- lagen. Skattebrottsdatalagen omfattas av det nya dataskyddsdirektivet och omfattas därför inte av några förslag i denna proposition. I fråga om personuppgiftsbehandling gäller lagen (2001:185) om behandling av uppgifter i verksamhet och den tillhörande förordningen (2001:646). Vid brottsbekämpande verksamhet gäller tullbrottsdatalagen. I likhet med vad som sägs om omfattas tullbrottsdatalagen av det nya dataskyddsdirektivet och därför inte av några förslag i denna proposition. I fråga om behandling av personuppgifter gäller lagen (2001:184) om behandling av uppgifter i Kronofogdemyn- dighetens verksamhet och den tillhörande förordningen (2001:590). Lagen tillämpas vid behandling av personuppgifter i Kronofogdemyndig- hetens verksamhet med utsökning och indrivning, skuldsanering, F- skuldsanering, betalningsföreläggande och handräckning, europeiskt betalningsföreläggande, tillsyn i konkurs samt i annan verksamhet som särskilt åligger . De flesta av de nämnda författningarna är uppbyggda på samma sätt som lagen om behandling av uppgifter i beskattningsverk- samhet vad avser automatiserad behandling. De flesta författningarna är vidare uppbyggda så att de gäller i stället för personuppgiftslagen eller att personuppgiftslagen gäller om det inte finns avvikande bestämmelser i registerförfattningen. I de författningar som gäller i stället för personupp- giftslagen anges de bestämmelser i personuppgiftslagen som gäller när personuppgifter behandlas enligt den författningen. Några av författ- ningarna gäller delvis även vid behandling av uppgifter om juridiska personer och uppgifter om avlidna. De flesta författningarna innehåller bestämmelser om behandling av uppgifter i särskilda databaser. Andra författningar på skatte- och Inte bara registerförfattningar innehåller bestämmelser om behandling av personuppgifter. På skatte- och tullavdelningens område finns även andra författningar som innehåller bestämmelser om behandling av person- uppgifter, eller som kan medföra behandling av personuppgifter, och som kan beröras av den nya dataskyddsförordningen. Det är t.ex. författningar om internationellt samarbete och författningar som reglerar beskattnings- eller tullverksamheten eller verksamheten med utsökning och indrivning. Som exempel kan nämnas lagen (2000:1219) om internationellt tull- samarbete, lagen (2015:912) om automatiskt utbyte av upplysningar om finansiella konton, lagen (2011:1537) om bistånd med indrivning av skatter och avgifter inom Europeiska unionen, skatteförfarandelagen (2011:1244), tullagen (2016:253) och lagen (2004:629) om trängselskatt. De innehåller t.ex. bestämmelser om uppgiftsskyldighet mellan myndig- heter eller från myndigheter till andra länder och om möjligheter att lämna uppgifter till andra, dvs. Sådan uppgiftsskyldighet kan medföra behandling av personuppgifter. Regeringens bedömning: En stor del av den personuppgiftsbehand- ling som regleras i berörda lagar omfattas av dataskyddsförordningens tillämpningsområde. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: tillstyrker bedömningen. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen. och framför önskemål om att författningarna för deras respektive personuppgiftsbehandling ska ses över i vissa avseen- den, som inte direkt krävs med anledning av de nya dataskyddsreglerna. Justitiekanslern önskar en större samordning av det anpassningsarbete som sker i olika lagstiftningsärenden med anledning av de nya dataskyddsreglerna, t.ex. att enhetliga principer bör användas gällande struktur och språk. anser att det på grund av de många registerförfattningarna finns tillämpningsproblem och att det är olyckligt att uppdraget inte har varit att ta fram en enhetlig reglering för berörd del av den offentliga verksamheten. Skälen för regeringens bedömning Helt eller delvis automatisk behandling EU:s dataskyddsförordning är direkt tillämplig, men förutsätter och avgör huruvida en viss behandling av personuppgifter måste följa regler- na i förordningen. Artikel 2 reglerar dataskyddsförordningens materiella tillämpningsområde. Enligt artikel 2.1 ska förordningen tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personupp- gifter som ingår i eller kommer att ingå i ett register. Den personuppgiftsbehandling som , och utför i sina verksamheter äger till stor del rum på det sätt som anges i artikel 2.1. Som framgår i avsnitt 5.2 gäller också registerförfattningarna för myndigheterna om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I dataskyddsförordningen fastställs bestämmelser om skydd för fysiska personer med avseende på behandlingen av personuppgifter och om det fria flödet av personuppgifter (artikel 1). Dataskyddsförordningen om- fattar alltså inte behandling av personuppgifter rörande juridiska perso- ner, vilket också framgår av skäl 14. Av skäl 27 framgår att förordningen inte heller gäller behandling av personuppgifter rörande avlidna personer, men att medlemsstaterna får fastställa bestämmelser för behandlingen av personuppgifter rörande avlidna personer. De berörda myndigheterna behandlar uppgifter både om fysiska och juridiska personer, men också i vissa fall om avlidna. I likhet med data- skyddsförordningen tar nu aktuella registerförfattningar sikte på behand- ling av personuppgifter. Vissa bestämmelser i registerförfattningarna gäller dock även vid behandling av uppgifter om juridiska personer eller avlidna. Att vissa bestämmelser gäller även vid behandling av uppgifter om juridiska och/eller avlidna personer medför inte att dataskyddsförord- ningen blir tillämplig för den kretsen. Verksamhet som inte omfattas av unionsrätten Enligt artikel 2.2 a i dataskyddsförordningen ska förordningen inte tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. 2017/18:105 behandlar regeringen denna fråga. Exakt vilka verksamheter som faller utanför unionsrättens tillämpningsområde och därmed inte omfattas av förordningens bestämmelser om behandling av personuppgifter är enligt regeringen inte helt klart, förutom när det gäller verksamhet rörande nationell säkerhet som uttryckligen nämns i skälen. Även en restriktiv tolkning av undantaget från förordningens tillämpningsområde bör emellertid innebära att det inom den offentliga sektorn också finns annan verksamhet som faller utanför unionsrättens tillämpningsområde (prop. 2017/18:105 s. 29). Det är inte otänkbart att viss behandling som omfattas av nu aktuella lagar skulle kunna anses falla utanför förordningens tillämpningsområde på den grunden. behandlar personuppgifter i sin beskatt- ningsverksamhet som bl.a. innefattar frågor om direkt skatt (inkomst- skatt), där unionen som utgångspunkt saknar befogenheter och där medlemsstaterna har självständig beslutanderätt. föreslås dock bl.a. att bestämmelserna i dataskyddsförordningen, i den ursprungliga lydelsen, ska gälla även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. (1 kap. 2 § förslaget till dataskyddslag). Detta kan delvis liknas vid att personuppgiftslagen har gjorts generellt tillämplig, se avsnitt 5.1. I författningskommentaren till den föreslagna bestämmelsen anges bl.a. att det finns bestämmelser i förordningen som inte kan tillämpas i rent nationella sammanhang. Som exempel nämns att det inte är möjligt att genom nationell rätt ålägga tillsynsmyndigheter i andra länder att samarbeta med den svenska tillsynsmyndigheten. Kapitel VII och kapitel X i dataskyddsförordningen är t.ex. inte tillämpliga inom det utsträckta tillämpningsområdet. Förebygga, förhindra, utreda, avslöja eller lagföra brott Artikel 2.2 d i dataskyddsförordningen som undantar den behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder innebär att den allra största delen av den personuppgifts- behandling som och utför i sin brottsbekämpande verksamhet inte omfattas av dataskyddsförordningens tillämpningsom- råde. Här gäller i stället det nya dataskyddsdirektivet. Utredningen om 2016 års dataskyddsdirektiv har haft i uppdrag att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt. I delbetänkandet behandlas gränsdragningsfrågor avseende det nya dataskyddsdirektivet och dataskyddsförordningen (SOU 2017:29, avsnitt 8). Såväl Skatte- verkets som personuppgiftsbehandling berörs där. I slut- betänkandet föreslås de författningsändringar som krävs i de brotts- bekämpande myndigheternas registerförfattningar (SOU 2017:74). De författningar som reglerar myndigheternas personuppgiftsbehandling vid sådan verksamhet, skattebrottsdatalagen och tullbrottsdatalagen, omfattas som nämnts ovan därför inte av förslagen i denna proposition. Vissa av lagarna som omfattas av översynen i promemorian som ligger till grund för denna proposition kan omfattas även av det nya data- skyddsdirektivets tillämpningsområde. Detta gäller t.ex. lagen om inter- nationellt tullsamarbete. Lagen tillämpas på internationellt tullsamarbete som 1. följer av en internationell överenskommelse med en annan stat eller mellanfolklig organisation som har tillträtt eller annars är förpliktat att följa och 2. har till syfte att förhindra, upptäcka, utreda eller beivra överträdelser av tullbestämmelser (1 kap. 1 §). Dessa överträdelser kan avse såväl straffbelagda som rent administrativa överträdelser. anser att det är olyckligt att uppdraget inte har varit att ta fram en enhetlig reglering för berörd del av den offentliga verksamheten. En sådan generell översyn av registerförfattningarna som men också och Kronofogdemyn- digheten önskar är inte möjlig i detta lagstiftningsärende. Vid översynen har dock vissa behov av justeringar i lagarna uppmärksammats som inte har direkt samband med dataskyddsförordningen, och som omfattas av den remitterade promemorians förslag. I denna proposition behandlas 2017/18:95 vissa sådana förslag till ändringar. Justitiekanslern önskar en större samordning av de anpassningar som föreslås i olika lagstiftningsärenden med anledning av de nya dataskyddsreglerna. I detta lagstiftningsärende har pågående förändringsarbete avseende andra författningar med liknande struktur som här aktuella beaktats, för att uppnå en så stor enhetlighet som möjligt. 7Överväganden kring vissa grundläggande krav på behandling 7.1Rättslig grund för behandling av personuppgifter Regeringens bedömning: Den behandling av personuppgifter som får utföras enligt bestämmelser i de berörda lagarna eller som måste utföras med anledning av bestämmelser i dem är tillåten enligt artikel 6.1 och 6.3 i EU:s dataskyddsförordning. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: Datainspektionen efterfrågar ett tydligt utpekande av de rättsliga grunderna och en analys av att lagstiftningen är propor- tionell mot det legitima mål som eftersträvas. tillstyrker bedömningen men anser att det har skett en sammanblandning mellan vad som i dataskyddsrättslig mening är särskilt bestämda ändamål och tillåtna rättsliga grunder för behandling. Vidare bör bestämmelsen i 3 § lagen om det statliga personadressregistret flyttas till instruktion för att skapa en rättslig grund för registret. anser att det i den fortsatta lagstiftningsprocessen bör tydliggöras att utlämnande av information för användning i kreditupplysningsverksamheten är en uppgift av allmänt intresse. anser att det finns oklarheter när det gäller frågan om den personuppgiftsbehandling som sker i s.k. eget utrymme hos en myndighet, bl.a. om sådan behandling är rättsligt grundad på det sätt som krävs. anser att denna fråga bör klargöras och att det bör ske genom regler i författning eller uttalanden i lagmotiv, för det fall myndigheten ska anses vara personuppgiftsansvarig för behandling i eget utrymme. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen. Skälen för regeringens bedömning Dataskyddsförordningens bestämmelser om rättslig grund Den europeiska dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. I EU:s dataskydds- förordning räknas dessa rättsliga grunder upp i artikel 6.1. Behandling är enligt denna bestämmelse endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a) Den registrerade har lämnat sitt samtycke till att dennes person- Prop. 2017/18:95 uppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning. f)Behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Bestämmelsen motsvarar i stora drag artikel 7 dataskydds- direktiv, som har genomförts i svensk rätt genom 10 § PUL. Uppräkningen i artikel 6.1 är uttömmande. Om ingen av de grunder som anges där är tillämplig är behandlingen inte laglig och får därmed inte genomföras. De rättsliga grunderna är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. För myndigheters verksamhet är grunderna i artikel 6.1 c och 6.1 e i dataskyddsförordningen av särskilt intresse. Bestämmelserna motsvaras av artikel 7 c och 7 e dataskyddsdirektiv. Artikel 6.1 c i dataskyddsförordningen är i sak likalydande med artikel 7 c dataskyddsdirektiv – personuppgifter får behandlas om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Enligt regeringens bedömning i prop. 2017/18:105 bör utgångspunkten vara att begreppet rättslig förpliktelse i de båda rättsakterna ska tolkas och tillämpas på samma sätt (s. 53). Artikel 6.1 e i dataskyddsförordningen är i stora delar likalydande med artikel 7 e dataskyddsdirektiv. Av båda bestämmelserna fram- går att personuppgifter får behandlas om behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. I direktivets bestämmelse anges vidare att uppgifter får behandlas även om behandlingen är ett led i myndighetsutövning som utförs av tredje man till vilken uppgifterna har lämnats ut. bedömer att mycket talar för att begreppet uppgift av allmänt intresse måste anses ha fått en vidare unionsrättslig betydelse genom dataskyddsförordningen än det har haft. Bedömningen görs bl.a. eftersom det enligt dataskyddsförord- ningen, till skillnad års dataskyddsdirektiv, inte är tillåtet för myndigheter att behandla personuppgifter med stöd av den rättsliga grund som utgår från en avvägning mellan den ansvariges berättigade intressen och den registrerades rättigheter och intressen när de utför sina uppgifter (SOU 2017:39 s. 123). Regeringen bedömer i prop. 2017/18:105 att för att myndigheternas verksamhet ska kunna fungera 2017/18:95 även i fortsättningen måste begreppet uppgift av allmänt intresse ges en vid betydelse (s. 56). Medlemsstaterna får enligt artikel 6.2 fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling för att efterleva punkterna 6.1 c och e. Den grund för behandling som avses i artikel 6.1 c och e ska enligt artikel 6.3 fastställas i enlighet med unionsrätten eller den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Något mot- svarande krav på att grunden ska vara fastställd finns inte dataskyddsdirektiv eller i personuppgiftslagen. Det har därför ansetts möjligt att med stöd av 10 § d PUL utföra behandling av personuppgifter som är nödvändig för att utföra en arbetsuppgift av allmänt intresse, även om den rättsliga grunden inte är fastställd i författning eller liknande. Dataskyddsförordningen innebär däremot att bl.a. förpliktelser och uppgifter av allmänt intresse inte kan åberopas som rättsliga grunder för behandling av personuppgifter om den rättsliga grunden inte är fastställd i unionsrätten eller medlemsstatens nationella rätt. Vid behandling som omfattas av artikel 6.1 c och e ska enligt artikel 6.3 också syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkten 6.1 e, vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. Av artikel 6.3 framgår vidare att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bl.a. de allmänna villkor som ska gälla, vilken typ av uppgifter som ska behandlas, ändamålsbegränsningar och lagringstid. Artikel 6.3 ställer också krav på att, i fråga om grunden för personupp- giftsbehandling, unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Detta krav på proportionalitet gäller även för sektorsspecifika dataskyddsbestämmelser. 2017/18:105 uttalar sig regeringen bl.a. om vad kravet i data- skyddsförordningen på att den rättsliga grunden i vissa fall ska vara fastställd i unionsrätt eller nationell rätt innebär i fråga om nationell författningsreglering. Det som ska fastställas i unionsrätten eller i nationell rätt är den grund för behandlingen som avses i artikel 6.1 c och e. Det krävs således inte en reglering i unionsrätten eller i nationell rätt av den personuppgifts- behandling som ska ske med stöd av dessa rättsliga grunder. Regeringen betonar därvid att dataskyddsförordningens krav på att grunden för behandlingen ska vara fastställd inte utgör någon nyhet när det gäller svenska myndigheters behandling av personuppgifter. I propositionen hänvisas till att legalitetsprincipen är grundlagsfäst genom 1 kap. 1 § regeringsformen, som anger att den offentliga makten utövas under lagarna. Legalitetsprincipen innebär alltså att myndigheternas maktutöv- ning i vidsträckt mening, även i den mån denna förutsätter behandling av personuppgifter, måste ha stöd i någon av de källor som tillsammans Det torde inte förekomma någon offentlig verk- samhet i av vikt för samhällets funktioner som saknar stöd i författning eller beslut som har meddelats i enlighet med regerings- formens bestämmelser (prop. 2017/18:105 s. 49 f.). Vidare ska enligt artikel 6.3 andra stycket sista meningen unionsrätten eller medlemsstaternas nationella rätt uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Detta motsvarar det krav som ställer på lagstiftaren i en rättsstat och det bör vara mycket ovanligt att svensk rätt inte uppfyller krav. Mot denna bakgrund bör utgångspunkten vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndighetsutövning som fastställs i enlighet med svensk rätt (s. 50). Regeringen konstaterar därvid att en rättslig grund är fastställd i enlighet med svensk rätt om den följer av författning eller beslut som meddelats i enlighet med regeringsformens bestämmelser (s. 52). Regeringen konstaterar som nämnts att det följer av grundlag att den offentliga makten utövas under lagarna. Förpliktelser som åligger enskilda eller kommuner kan regleras direkt i lag, i förordningar eller andra föreskrifter. Förpliktelser kan också fastställas i domar eller myndighetsbeslut som meddelats med stöd av lag eller andra föreskrifter. Även domstolar och förvaltningsmyndigheter kan, vid sidan av sina uppgifter och uppdrag, sägas ha rättsliga förpliktelser. En myndighets uppdrag enligt instruktionen till myndigheten eller ett regleringsbrev kan enligt regeringen i vissa fall utgöra en i enlighet med nationell rätt fastställd rättslig förpliktelse i dataskyddsförordningens mening, t.ex. om myndigheten ges i uppdrag att föra ett visst register. I normalfallet torde dock myndighetens uppdrag i första hand utgöra en rättslig grund för behandling av personuppgifter med stöd av artikel 6.1 e i dataskydds- förordningen, dvs. på grundval av att uppdraget avser en uppgift av allmänt intresse (s. 53 f.). Regeringen föreslår att det ska införas en bestämmelse i den nya dataskyddslagen som tydliggör att personuppgifter får behandlas med stöd av artikel 6.1 c i dataskyddsförordningen, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollek- tivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 1 § förslaget till dataskyddslag). Enligt artikel 6.3 andra stycket första meningen i dataskyddsförordningen ska syftet med behandlingen, då denna grundar sig på en rättslig förpliktelse, fastställas i den rättsliga grunden. Enligt regeringen torde kravet innebära att en förpliktelse inte kan läggas till grund för behandling av personuppgifter om syftet med behandlingen inte framgår. Det ska alltså vara möjligt för såväl den personuppgiftsansvarige som den registrerade att förstå varför behandlingen av personuppgifter ska ske. Detta kan exempelvis ske genom en författning som anger att en näringsidkare i en viss situation är skyldig att lämna uppgifter till en myndighet eller en domstol (s. 54).