prop · H503115 · 2018-02-27 00:00:00 — Regeringens proposition 2017/18:115 Anpassning till EU:s dataskyddsförordning av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar Regeringen överlämnar denna proposition till . I propositionen föreslår regeringen ändringar i lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar. EU:s dataskyddsförordning, som ska börja tillämpas , är direkt tillämplig i . Förordningen kräver dock att svenska författningar anpassas för att säkerställa både att förordningen får ett effektivt genomslag och att svensk rätt inte strider mot förordningen. I propositionen finns förslag till anpassningar av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar till dataskyddsförordningen. Lagändringarna föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. 2Förslag till lag om ändring i lagen (2001:183) om behandling av personuppgifter i verksamhet med val och Ärendet och dess beredning .............................................................. Den nuvarande generella regleringen – dataskyddsdirektivet och personuppgiftslagen ................... 4.2Behandling av personuppgifter i verksamhet med val Dataskyddsförordningen och dataskyddslagen .................. Verksamhet med val och folkomröstningar...................... Anpassning av regleringen om personuppgiftsbehandling i verksamhet med val och folkomröstningar till 5.2Generellt om utrymmet att behålla nationell reglering inom dataskyddsförordningens 5.3Förhållandet till den generella Ändamålsbestämmelser och finalitetsprincipen ............... 5.6Behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser ................................ Personuppgiftsbehandling vid medborgarinitiativ, medborgarförslag och folkinitiativ.................................................. Ikraftträdande- och övergångsbestämmelser................................... Konsekvenser av förslagen ............................................................. FÖRORDNING (EU) 2016/679 av 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) ........... Sammanfattning av promemorian Anpassning av lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar .................. Förteckning över remissinstanserna .............................. Utdrag ur protokoll vid regeringssammanträde 2017/18:115 1 Regeringen föreslår att antar regeringens förslag till lag om ändring i lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar. 2Förslag till lag om ändring i lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar Härigenom föreskrivs i fråga om lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar dels att 3 kap. ska upphöra att gälla, dels att 1 kap. 2, 3 och 7 §§, 2 kap. 14 och 24 §§ och rubriken närmast före 1 kap. 2 § ska ha följande lydelse, dels att det ska införas två nya paragrafer, 1 kap. 5 a och 8 §§, och närmast före 1 kap. 8 § en ny rubrik av följande lydelse. personuppgifts- Förhållandet till annan reglering Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204). En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag. Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. När personuppgifter behandlas enligt denna lag eller enligt andra föreskrifter i det ämne som regleras i lagen gäller personuppgiftslagens (1998:204) bestämmelser om 1.definitioner i 3 §, 2.förhållandet till offentlighetsprincipen m.m. i 8 §, Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i behandling i 9 § med undantag för anslutning till lagen. vad som sägs i första stycket i och 4.säkerheten vid behandling i 30–32 §§, 5.överföring av personuppgifter till tredje land i 33–35 §§, 6.personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§, 7.upplysningar till allmänheten om vissa behandlingar i 42 §, 8.tillsynsmyndighetens befogenheter i 43 och 47 §§, och 9.straff i 49 §. Vid behandling av personuppgifter som inte sker i databaser gäller även 22 § personuppgiftslagen. enligt 4 eller 5 § får behandlas även behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. anges i 13 § personuppgiftslagen artikel 9.1 i EU:s dataskydds- lagöverträdelser m.m. som anges i uppgifter) och personuppgifter som 21 § samma lag får behandlas avses i artikel 10 i förordningen får endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för har lämnats i ett ärende eller är handläggningen av det. nödvändiga för handläggningen av Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap. Rätten att göra invändningar Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Den centrala valmyndigheten, och får ta ut avgifter för att lämna ut uppgifter ur databasen för sametingsvalet. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om sådana avgifter.Rätten att ta ut avgifter får inte innebära en inskränkning i1. rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt tryckfrihetsförordningen, eller2. en registrerads rätt enligt artikel 12.5 i EU:s dataskyddsförordning. och länsstyrelserna får ta ut och länsstyrelserna får ta ut avgifter för att lämna ut uppgifter avgifter för att lämna ut uppgifter ur databasen enligt de närmare med stöd av 8 kap. 7 § föreskrifter om sådana avgifter. Rätten att ta ut avgifter enligt Rätten att ta ut avgifter får inte första stycket får inte innebära innebära en inskränkning i inskränkning i rätten att ta del av 1. rätten att ta del av och mot och mot fastställd avgift få kopia fastställd avgift få kopia eller eller utskrift av en allmän handling utskrift av en allmän handling artikel 12.5 i EU:s dataskydds- 24 §2 Den centrala valmyndigheten, och får ta ut avgifter för att lämna ut uppgifter ur databasen enligt de närmare föreskrifter som meddelas av regeringen. Rätten att ta ut avgifter får inte innebära inskränkning i rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt tryckfrihetsförordningen. 1.Denna lag träder i kraft . 2.Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet. Senaste lydelse 2002:66. Senaste lydelse 2004:539. 2017/18:115 3 Ärendet och dess beredning utfärdades och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här kallad dataskyddsförordningen. Förordningen, som börjar tillämpas , finns i svensk lydelse i bilaga 1. ny generell reglering för personuppgiftsbehandling inom EU och ersätter och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, nedan kallat Detta innebär bl.a. att (1998:204), förkortad PUL, måste upphävas och att nationell lagstiftning som hänvisar eller förhåller sig till personuppgiftslagens bestämmelser behöver ses över och anpassas till den nya EU-regleringen. I har promemorian Anpassning av lagen (2001:183) om behandling av personuppgifter i verksamhet med val och sammanfattning av promemorian finns i bilaga 2 och promemorians lagförslag finns i bilaga 3. remissinstanserna finns i bilaga 4. finns tillgängliga i (dnr Ju2017/05728/L6). Regeringen beslutade att inhämta Lagrådets yttrande över det lagförslag som finns i bilaga 5. Lagrådets yttrande finns i Lagrådet lämnade förslaget utan erinran. redaktionella ändringar har gjorts i förhållande till förslaget i Den nuvarande generella regleringen – Den generella regleringen om behandling av personuppgifter inom EU finns i dataskyddsdirektivet. Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av person- uppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet har genomförts i svensk rätt huvudsakligen genom person- Bestämmelserna i personuppgiftslagen har till syfte att skydda människor mot att deras personliga integritet kränks genom Personuppgiftslagen följer i princip direktivets struktur och innehåller liksom direktivet bestämmelser om bl.a. Prop. 2017/18:115 personuppgiftsansvar, grundläggande krav för behandling av person- uppgifter, information till den registrerade, skadestånd och straff. Personuppgiftslagen är tillämplig även utanför område och gäller både för myndigheter och enskilda som behandlar personuppgifter. Lagen är subsidiär vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Det finns en stor mängd sådana bestämmelser i vad som brukar kallas särskilda registerförfattningar eller andra informationshanteringsförfattningar, som framför allt reglerar hur olika myndigheter får behandla personuppgifter. Studiestödsdatalagen (2009:287), polisdatalagen (2010:361) och lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar är exempel på sådana sektorsspecifika regleringar. 4.2Behandling av personuppgifter i verksamhet med val och folkomröstningar I lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar finns särskilda bestämmelser om behandlingen av personuppgifter i den centrala valmyndighetens och länsstyrelsernas verksamhet med val och folkomröstningar enligt vallagen (2005:837), folkomröstningslagen (1979:369) och lagen (1994:692) om kommunala folkomröstningar. I lagen finns också bestämmelser om personuppgiftsbehandling i den centrala valmyndighetens, och verksamhet med val enligt sametingslagen (1992:1433). Bestämmelserna i lagen är tillämpliga om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (1 kap. 1 §). Lagen gäller med vissa i 1 kap. 3 § och 3 kap. angivna undantag i stället för personuppgiftslagen. Dessa undantag innebär bl.a. att följande bestämmelser i personuppgiftslagen gäller: definitioner (3 §), förhållandet till offentlighetsprincipen m.m. (8 §), grundläggande krav vid behandling (9 §), säkerheten vid behandling (30–32 §§) samt rättelse och skadestånd (28 och 48 §§). Till den aktuella lagen hör förordningen (2002:61) om behandling av personuppgifter i verksamhet med val, som bl.a. innehåller vissa bestämmelser om överföring av personuppgifter till tredjeland och utlämnande av uppgifter till enskilda på medium för automatiserad behandling. Dataskyddsförordningen kommer att utgöra den nya generella regleringen för personuppgiftsbehandling inom EU och ersätta dataskyddsdirektivet när den börjar tillämpas . Det huvudsakliga syftet med förordningen är att ytterligare harmonisera och effektivisera skyddet för 2017/18:115 personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Dataskyddsförordningen baseras till stor del på den struktur och reglering som finns i dataskyddsdirektivet men är i många avseenden mer detaljerad och innehåller även en rad nyheter. Förordningen kommer att vara direkt tillämplig i alla EU:s medlemsstater men förutsätter och möjliggör kompletterande och specificerande nationella bestämmelser av olika slag. Som nämns i det föregående innebär det för svensk del bl.a. att personuppgiftslagen måste upphävas och att nationell lagstiftning som hänvisar eller på något sätt förhåller sig till lagens bestämmelser behöver ses över och anpassas till den nya EU-regleringen. I propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås bl.a. att personuppgiftslagen och personuppgiftsförordningen (1998:1191) ska upphävas och att de i förhållande till dataskyddsförordningen kompletterande bestämmelser som är av generell karaktär ska samlas i en ny övergripande lag om dataskydd. Den föreslagna lagen kallas nedan för dataskyddslagen. Lagen reglerar bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, tillsynsmyndighetens handläggning och beslut samt skadestånd och överklagande. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i registerförfattningar. Förslagen i denna proposition utgår ifrån att den svenska generella dataskyddsregleringen kommer att ha i allt väsentligt den utformning som föreslås i propositionen Ny dataskyddslag. 4.4Verksamhet med val och folkomröstningar I vallagen finns bestämmelser om genomförande av val till , landstings- och kommunfullmäktige samt . är central valmyndighet och ansvarar på central nivå för förberedelserna och genomförandet av de allmänna valen. På regional nivå ansvarar länsstyrelserna och på lokal nivå är det kommunerna genom valnämnderna som är ansvariga för frågor om valen. är också central myndighet för folkomröstning enligt folkomröstningslagen, medan valnämnderna svarar för genomförande av folkomröstning i en kommun eller ett landsting enligt lagen om kommunala folkomröstningar. och har också tillsammans med en av utsedd valnämnd uppgifter vid genomförande av val till enligt sametingslagen. Av förordningen (2007:977) med instruktion för framgår vidare bl.a. att ska vara behörig myndighet för kontroll och intygande av antalet giltiga stödförklaringar som har gjorts av unionsmedborgare från enligt och rådets förordning (EU) nr 211/2011 av om medborgarinitiativet. 5Anpassning av regleringen om personuppgiftsbehandling i verksamhet med val och folkomröstningar till dataskyddsförordningen I förarbetena till lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar framhöll regeringen att de grundläggande principerna för att skydda den enskildes integritet borde regleras i lag. Att behandling av personuppgifter inte får vara oförenlig med de ändamål för vilka de har samlats in lyfte regeringen fram som en sådan grundläggande princip och det borde därför, enligt regeringen, anges i lagen för vilka ändamål uppgifter får behandlas. Regeringen menade att det därigenom i och för sig gavs en tillräcklig garanti för den registrerades personliga integritet, även utan en närmare reglering av vilka uppgifter som får behandlas. Att helt underlåta en reglering av vilka uppgifter som får behandlas skulle dock kunna leda till oklarheter och svårigheter för de tillämpande myndigheterna och de yttre ramarna för vad registret i fråga får innehålla borde därför också anges i lagen. Vidare borde även frågor om direktåtkomst, utlämnande av uppgifter till enskilda samt frågor om personuppgiftsansvar och därmed sammanhängande frågor regleras i lag (prop. 2000/01:33 s. 84–85). Såvitt framkommit utgör lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar en i allt väsentligt ändamålsenlig reglering som balanserar skyddet för den enskildes personliga integritet och aktuella myndigheters verksamhetsbehov på ett lämpligt sätt. Enligt regeringens bedömning finns det i detta sammanhang inte skäl att göra en allmän översyn av lagen eller att ompröva tidigare ställningstaganden, om det inte krävs med anledning av dataskyddsförordningen. Tvärtom framstår det som att det både från ett verksamhets- och ett integritetsperspektiv finns goda skäl att behålla huvuddragen i den nuvarande regleringen. Det huvudsakliga syftet med denna proposition är därför att föreslå anpassningar som är nödvändiga med anledning av den nya dataskyddsregleringen. I propositionen behandlas även frågan om behovet av ett särskilt författningsstöd vid behandling av personuppgifter i medborgar- och folkinitiativ, se avsnitt 6. Från dataskyddsförordningens tillämpningsområde undantas enligt artikel 2.2 a behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. Mycket talar för att delar av den behandling av personuppgifter som sker i anslutning till val och folkomröstning inte utgör ett led i verksamhet som omfattas av unionsrätten. Detta skulle innebära att delar av tillämpningsområdet för lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar 2017/18:115 faller utanför dataskyddsförordningens tillämpningsområde. Frågan om vilken verksamhet som får anses omfattas av unionsrätten är dock svårbedömd (se prop. 2017/18:105 s. 27–29). Enligt regeringens förslag till dataskyddslag ska det införas en bestämmelse som innebär att förordningens bestämmelser ska gälla som svensk rätt även vid personuppgiftsbehandling inom verksamhet som inte omfattas av unionsrätten (1 kap. 2 §). Det innebär alltså att dataskyddsförordningen utsträcks till att gälla även utanför sitt egentliga tillämpningsområde på samma sätt som personuppgiftslagen gjorts tillämplig utanför dataskyddsdirektivets tillämpningsområde (se avsnitt 4.1). Mot denna bakgrund finns det inte skäl att i detta sammanhang närmare utreda var gränsen mellan verksamhet inom och utom unionsrätten går. 5.2Generellt om utrymmet att behålla nationell reglering inom dataskyddsförordningens tillämpningsområde Regeringens bedömning: Det finns utrymme att behålla nationell reglering av myndigheters personuppgiftsbehandling inom tillämpningsområdet för EU:s dataskyddsförordning. Den behandling av personuppgifter som regleras i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar är nödvändig för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen efterfrågar en tydligare beskrivning av vilken rättslig grund som personuppgiftsbehandlingen enligt lagen vilar på. Inspektionen efterfrågar också en analys som visar att lagstiftningen är proportionell mot det legitima mål som eftersträvas, i enlighet med artikel 6.3 i dataskyddsförordningen. instanser som yttrar sig tillstyrker eller har inte några invändningar mot Skälen för regeringens bedömning: EU-förordningar ska enligt artikel 288 i fördraget om Europeiska unionens funktionssätt ha allmän giltighet samt vara till alla delar bindande och direkt tillämpliga i varje medlemsstat i EU. Förordningar gäller alltså fullt ut och med samma innehåll inom hela EU och ska inte genomföras i nationell rätt. medlemsstat kan behålla eller införa nationell lagstiftning på det område som en förordning omfattar, endast om förordningen ger utrymme för det. I svensk rätt har det ofta ansetts nödvändigt med ett särskilt anpassat och reglerat integritetsskydd för behandling av personuppgifter i offentlig verksamhet (se avsnitt 4.1). Detta gäller inte minst när det varit fråga om omfattande behandling av personuppgifter eller personuppgiftsbehandling som av andra skäl har ansetts särskilt integritetskänslig. innebär att myndigheterna ges ett tydligt rättsligt stöd för den personuppgiftsbehandling som verksamheten kräver och att skyddet för den personliga integriteten säkerställs i olika slag av offentlig verksamhet. En övergripande fråga är vilket utrymme dataskyddsförordningen ger för sådan nationell reglering som finns i de svenska registerförfattningarna. Det kan konstateras att även om dataskyddsförordningen är direkt tillämplig så både förutsätter och medger förordningen nationella bestämmelser som kompletterar delar av förordningen genom specificeringar eller undantag. Detta gäller särskilt sådan behandling som sker inom den offentliga sektorn. Enligt artikel 6.2 i dataskyddsförordningen får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Detta förutsätter emellertid att det är fråga om sådan personuppgiftsbehandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). När myndigheter behandlar personuppgifter för att fullgöra sina uppgifter sker det normalt med stöd av de rättsliga grunderna i artikel 6.1 c och e i förordningen. I enlighet med skäl 8 i dataskyddsförordningen kan medlemsstaterna dessutom under vissa förutsättningar, och i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga, införliva delar av förordningen i nationell rätt. Enligt artikel 6.3 första stycket i dataskyddsförordningen ska de grunder för behandlingen som avses i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Med detta avses, enligt skäl 41, inte att den rättsliga grunden nödvändigtvis måste fastställas i eller i enlighet med en av beslutad lag. Däremot måste grunden vara fastställd i laga ordning på ett konstitutionellt korrekt sätt. Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan enligt artikel 6.3 andra stycket innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen, bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstider samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Den nationella rätten ska i detta avseende uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Enligt artikel 23 i dataskyddsförordningen får begränsningar ske av vissa av de rättigheter och skyldigheter som föreskrivs i förordningen. Detta förutsätter att begränsningarna sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Det förutsätter också att begränsningen sker för något av de ändamål som anges i artikel 23.1, bl.a. den nationella säkerheten, försvaret och den allmänna säkerheten 2017/18:115 samt andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse. Det anförda innebär att det finns utrymme att behålla nationell reglering av myndigheters personuppgiftsbehandling.