prop · H503115 · 2018-02-27 00:00:00 — Artikel 8.5 i dataskyddsdirektivet har genomförts i svensk rätt genom 21 § PUL, vars första stycke är avsett att uppfylla det som krävs enligt artikel 8.5 (se prop. 1997/98:44 s. 129). Artikel 10 i dataskyddsförordningen skiljer sig dock något från regleringen i direktivet. Förordningens bestämmelse har begränsats till enbart fällande brottmålsdomar. En annan skillnad i förordningen jämfört med direktivet är att hänvisningen till personuppgifter om avgöranden i tvistemål och administrativa sanktioner har tagits bort. Som regeringen konstaterar i 2017/18:115 propositionen Ny dataskyddslag innebär detta att uppgifter om administrativa frihetsberövanden inte omfattas av någon särskild reglering enligt dataskyddsförordningen, om de inte utgör känsliga personuppgifter enligt artikel 9.1, exempelvis om de också avslöjar uppgifter om etniskt ursprung eller psykisk ohälsa (se prop. 2017/18:105 s. 98). Av artikel 10 i dataskyddsförordningen följer bl.a. att uppgifter om lagöverträdelser får behandlas om det sker ”under kontroll av myndighet”, vilket enligt regeringens bedömning innebär att myndigheter inte behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att få behandla uppgifter som rör lagöverträdelser (se prop. 2017/18:105 s. 99). Enligt förslaget till dataskyddslag får myndigheter behandla sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen (3 kap. Regleringen i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar tillåter behandling av personuppgifter som rör lagöverträdelser endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Regleringen innebär en begränsning av möjligheten att behandla sådana uppgifter jämfört med 21 § PUL. Denna begränsning har införts i syfte att skydda den personliga integriteten (se prop. 2000/01:33 s. 100–104). Regleringen innebär även en begränsning i förhållande till dataskyddsförordningen och dataskyddslagen. Enligt regeringens mening har det inte framkommit skäl att utöka möjligheterna till behandling av uppgifter som rör lagöverträdelser i verksamhet med val och folkomröstningar. Den nuvarande regleringen av uppgifter som rör lagöverträdelser, som får anses utgöra en sådan specifik bestämmelse för att anpassa tillämpningen av bestämmelserna i förordningen som är tillåten enligt artikel 6.2 i dataskyddsförordningen, bör därför kvarstå. Hänvisningen till 21 § PUL bör dock ersättas med en hänvisning till artikel 10 i dataskyddsförordningen. Som framhålls ovan innebär det även en viss förändring i sak eftersom artikel 10 i dataskyddsförordningen har en något snävare omfattning än nuvarande reglering av uppgifter om lagöverträdelser i dataskyddsdirektivet och personuppgiftslagen. Hänvisningen till dataskyddsförordningen avser förordningen i den gällande lydelsen (se avsnitt 5.3). Regeringens förslag: Bestämmelserna i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar om information till den registrerade, rättelse, skadestånd och överklagande upphävs. Bestämmelsen om att en registrerad inte har rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen anpassas språkligt till EU:s dataskyddsförordning. Regeringens bedömning: Det bör även fortsättningsvis framgå av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar att en registrerad inte har rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen. Promemorians förslag och bedömning överensstämmer delvis med regeringens. I promemorian föreslås även att bestämmelsen om information om uppgifter i handlingar som den enskilde har tagit del av ska finnas kvar men ändras så att den hänvisar till dataskyddsförordningen i stället för till personuppgiftslagen. Remissinstanserna: Datainspektionen avstyrker promemorians förslag till bestämmelse om information till den registrerade och anser, när det gäller begränsningar av den registrerades rätt att göra invändningar, att det behöver analyseras om de föreslagna språkliga ändringarna innebär någon förändring i sak. Övriga remissinstanser som yttrar sig tillstyrker eller har inte några invändningar mot promemorians förslag och bedömning. Skälen för regeringens förslag och bedömning I lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar finns vissa bestämmelser som tar sikte på enskildas rättigheter. Av 1 kap. 2 § andra stycket framgår att den registrerade inte har rätt att motsätta sig sådan behandling som är tillåten enligt lagen och i 3 kap. regleras rätten till information, rättelse, skadestånd och överklagande. Av 3 kap. 1 § lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar framgår att personuppgiftslagens bestämmelser om information till den registrerade i 23 och 25–27 §§ gäller vid tillämpning av lagen. Däremot hänvisas inte till 24 § PUL om information som ska lämnas om personuppgifter har samlats in från någon annan källa än den registrerade. Av 3 kap. 2 § följer vidare att vissa elektroniska handlingar inte behöver lämnas ut till en enskild i samband med att myndigheten fullgör sin informationsskyldighet enligt 26 § PUL, om den enskilde har tagit del av handlingens innehåll. Undantaget förutsätter att den registrerade får tydlig information om att handlingar som han eller hon har skickat in till eller fått från myndigheten finns registrerade samt att han eller hon får en förteckning över dessa handlingar. Om den enskilde begär det ska dock informationen även omfatta uppgift i en sådan handling (se prop. 2000/01:33 s. 204 och 212). Kapitel III i dataskyddsförordningen innehåller en omfattande reglering av registrerades rättigheter. Artiklarna 13 och 14 i förordningen rör information till den registrerade och har i allt väsentligt motsvarande innebörd som 23 och 24 §§ PUL även om omfattningen av den information som ska tillhandahållas har utvidgats. Av artikel 13.4 respektive artikel 14.5 a följer att den registrerade inte behöver informeras om och i den mån denne redan förfogar över informationen. Artikel 15 i dataskyddsförordningen reglerar vidare den registrerades rätt till tillgång till personuppgifter och viss annan särskilt angiven information. I stora delar motsvarar artikel 15 rätten till information efter ansökan i 26 § PUL, rätten till s.k. registerutdrag. Under vissa förutsättningar är det möjligt att med stöd av artikel 23.1 i dataskyddsförordningen begränsa tillämpningsområdet för nu nämnda och andra rättigheter enligt förordningen. Sådana begränsningar måste ske med respekt för andemeningen i de grundläggande rättigheterna och 2017/18:115 friheterna och utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa angivna viktiga I propositionen Ny dataskyddslag föreslår regeringen att undantag från vissa av dataskyddsförordningens skyldigheter och rättigheter ska införas Enligt förslaget ska exempelvis rätten till information och tillgång inte gälla uppgifter som omfattas av sekretess (5 kap. 1 §). Vidare ska rätten till tillgång som huvudregel inte heller gälla personuppgifter som finns i löpande text som utgör utkast eller minnesanteckning (5 kap. 2 §). Enligt regleringen i 3 kap. 2 § lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar behöver information som ska lämnas enligt 26 § PUL inte omfatta uppgifter i en handling som den enskilde har tagit del av. Om den enskilde begär det ska dock informationen även omfatta uppgifter i en sådan handling. görs bedömningen att detta innebär att bestämmelsen inte bör anses utgöra en begränsning av rätten till tillgång enligt artikel 15 i dataskydds- Som Datainspektionen påpekar avser dock den registrerades rätt till tillgång enligt artikel 15 inte endast personuppgifter. personuppgiftsansvarige ska även informera om bl.a. ändamålen med behandlingen och eventuell överföring till tredjeland. en registrerad redan fått tillgång till vissa handlingar som innehåller personuppgifter innebär således inte att rätten till tillgång enligt artikel 15 i sin helhet har tillgodosetts i förhållande till dessa uppgifter. instämmer därför i Datainspektionens bedömning att bestämmelsen i 3 kap. 2 § lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar utgör en begränsning i den enskildes rätt till tillgång till sådan information. Frågan är således om det finns tillräckliga skäl för en sådan begränsning. Som Datainspektionen framhåller kan den person- uppgiftsansvarige, om denne behandlar en stor mängd uppgifter om den registrerade, efterfråga vilken information eller vilken behandling som en begäran enligt artikel 15 i förordningen avser innan informationen lämnas ut (se skäl 63). I ett sådant sammanhang bör den personuppgiftsansvarige kunna efterfråga om den registrerades begäran omfattar information som Det kan vidare konstateras att, enligt artikel 12.5 i dataskyddsförordningen, kan den personuppgiftsansvarige ta ut en rimlig kostnad eller vägra tillmötesgå en begäran, om den är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art. Enligt regeringens bedömning finns det mot den bakgrunden inte skäl att göra undantag från artikel 15 i förordningen. Bestämmelsen i 3 kap. 2 § lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar bör därför upphävas. Som nämns i det föregående är inte 24 § PUL om information som ska lämnas om personuppgifter har samlats in från någon annan än den registrerade tillämplig enligt lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Enligt 24 § andra stycket PUL, som baseras på artikel 11.2 i dataskyddsdirektivet, behöver inte information lämnas till den registrerade om det finns bestämmelser om registreringen i en lag eller annan författning. I förarbetena till lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar konstaterades att det inte krävs att sådan information ges när behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning med bestämmelser om vilka uppgifter som får behandlas och hur uppgifterna i övrigt får hanteras. Något skäl att trots detta införa ett krav för myndigheterna att lämna sådan information ansågs inte föreligga (prop. 2000/01:33 s. 105). En motsvarighet till 24 § PUL och artikel 11.2 i dataskyddsdirektivet finns i artikel 14 i dataskyddsförordningen som reglerar information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade. Enligt artikel 14.5 c tillämpas inte bestämmelsen om, och i den mån, erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. Den typ av reglering som avses i artikel 14.5 c finns i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar som innehåller bl.a. bestämmelser om tillåtna ändamål, gallring och elektroniskt utlämnande. Det innebär att förordningens bestämmelser om information som ska tillhandahållas när personuppgifter inte har erhållits från den registrerade inte ska tillämpas i den verksamhet som omfattas av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Sammanfattningsvis innebär det anförda att den registrerades rätt till information och rätt till tillgång enligt dataskyddsförordningen inte bör begränsas i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar och att bestämmelserna i 3 kap. 1 och 2 §§ därför bör upphävas. Rätten att göra invändningar Enligt artikel 14 a i dataskyddsdirektivet ska medlemsstaterna tillförsäkra den registrerade rätten att, under vissa närmare angivna förutsättningar, när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. I personuppgiftslagen har artikeln genomförts på så vis att den registrerade har en uttrycklig rätt att motsätta sig behandling för direkt marknadsföring (11 § PUL) och en rätt att återkalla ett lämnat samtycke då behandling av personuppgifter bara är tillåten med ett sådant samtycke enligt vissa angivna paragrafer (12 § första stycket PUL). När ett sådant samtycke återkallats får ytterligare personuppgifter om den registrerade inte behandlas. I övrigt kan den registrerade inte med rättslig verkan motsätta sig sådan behandling som är tillåten enligt personuppgiftslagen (12 § andra stycket PUL). I 1 kap. 2 § andra stycket lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar finns, liksom i vissa andra registerförfattningar, en bestämmelse som klargör att den registrerade inte med rättslig verkan kan motsätta sig den behandling av personuppgifter som är tillåten enligt lagen. Av förarbetena framgår att avsikten har varit att göra ett undantag från bestämmelsen om den registrerades rätt att göra invändningar enligt artikel 14 a i dataskyddsdirektivet (prop. s.209 och 346). Dataskyddsförordningen innehåller en rätt för den registrerade att göra invändningar i artikel 21. Där stadgas att den registrerade ska, av skäl som 2017/18:115 hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e (behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning) eller 6.1 f (den allmänna intresseavvägningen som inte gäller för myndigheter när de fullgör sina Den personuppgiftsansvarige får i sådana fall inte längre behandla personuppgifterna om denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Som nämns ovan ges medlemsstaterna genom artikel 23.1 i dataskydds- förordningen möjlighet att begränsa vissa av förordningens rättigheter och skyldigheter, däribland rätten att göra invändningar enligt artikel 21. Enligt artikel 23.1 får en sådan begränsning ske om den sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle, i syfte att säkerställa vissa intressen, bl.a. unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. 23.2 föreskrivs vidare att lagstiftningsåtgärder som avses i artikel 23.1 ska innehålla specifika bestämmelser åtminstone, när så är relevant, avseende bl.a. ändamålen med behandlingen eller kategorierna av behandling och lagringstiden samt tillgängliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av Den behandling av personuppgifter som regleras i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar kan, som framgår av avsnitt 5.2, vara nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c i dataskyddsförordningen) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e i dataskyddsförordningen). behandling sker på den sistnämnda grunden är rätten att göra invändningar enligt artikel 21 tillämplig. I de fall sådan behandling sker för att fastställa, utöva eller försvara ett rättsligt anspråk kan den personuppgiftsansvarige, i enlighet med artikel 21.1, fortsätta att behandla uppgifterna även efter en invändning från den enskilde. Det är av stor betydelse att personuppgifter får behandlas i verksamhet med val och folkomröstningar oberoende av den registrerades inställning. Den personuppgiftsansvarige får närmast undantagslöst anses kunna påvisa skäl för fortsatt behandling som väger tyngre än den registrerades intressen i det enskilda fallet. Under sådana förhållanden och för att fullt ut säkerställa förutsättningarna för de aktuella myndigheterna att behandla relevanta personuppgifter bör den registrerade inte heller fortsättningsvis ha någon rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen. En sådan begränsning måste anses utgöra en nödvändig och proportionell åtgärd i syfte att säkerställa ett viktigt mål av generellt allmänt intresse. Lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar innehåller dessutom specifika bestämmelser om bl.a. ändamålen med behandlingen, de kategorier av uppgifter som får behandlas och gallring. Denna reglering innebär en förhållandevis snäv ram för personuppgiftsbehandlingen och minimerar risken för kränkning av den registrerades rättigheter och friheter. Den får därför anses uppfylla de krav som uppställs i artikel 23.2 dataskyddsförordningen. Bestämmelsen i 1 kap. 2 § andra stycket lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar om att en registrerad inte har rätt att motsätta sig behandling kan således i princip behållas. I enlighet med promemorians förslag bör bestämmelsen omformuleras så att det tydligt framgår att den utgör en begränsning av rätten att göra invändningar enligt artikel 21 i dataskyddsförordningen samt ges en annan placering i lagen. Avsikten med den nuvarande bestämmelsen är, som framgår ovan, att begränsa rätten att göra invändningar enligt artikel 14 a i dataskyddsdirektivet som motsvarar artikel 21 i dataskyddsförordningen. Omformuleringen av bestämmelsen innebär således inte någon förändring i sak. Hänvisningen till dataskyddsförordningen avser förordningen i den gällande lydelsen (se avsnitt 5.3). Av 3 kap. 3 § lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar framgår att personuppgiftslagens bestämmelser om rättelse (28 §) och skadestånd (48 §) också gäller vid behandling av personuppgifter enligt den aktuella lagen och anslutande författningar. En sådan bestämmelse har bedömts nödvändig eftersom 28 och 48 §§ PUL endast gäller vid behandling i strid med personuppgiftslagen och inte vid felaktig behandling i förhållande till regleringen i registerförfattningar (se t.ex. SOU 1997:39 s. 436–437). Enligt 28 § PUL är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen. Den personuppgiftsansvarige ska också, enligt bestämmelsen, underrätta tredjeman till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Regleringen i 28 § PUL motsvaras i dataskyddsförordningen av artikel 16 om rätten till rättelse, artikel 17 om rätten till radering, artikel 18 om rätten till begränsning av behandling och artikel 19 om anmälningsskyldighet avseende rättelse, radering eller begränsning av behandling. Artikel 16 innebär att den registrerade har rätt att utan dröjsmål få felaktiga personuppgifter rättade. Regleringen innebär vidare att den registrerade, med beaktande av ändamålet med behandlingen, har rätt att komplettera ofullständiga personuppgifter. Artikel 17 innebär att den registrerade har en rätt till radering av personuppgifter bl.a. om uppgifterna behandlats på ett olagligt sätt. Enligt artikel 18 har den registrerade rätt att kräva att behandlingen begränsas bl.a. om behandlingen är olaglig och den registrerade motsätter sig att uppgifterna raderas och i stället begär en 2017/18:115 begränsning av deras användning. Av artikel 19 framgår att den personuppgiftsansvarige ska underrätta varje mottagare till vilken personuppgifterna har lämnats ut om rättelse, radering eller begränsning av behandling som skett enligt artiklarna 16, 17 och 18, om inte detta visar sig vara omöjligt eller medför en oproportionell ansträngning. Utformningen av dessa artiklar innebär att de, till skillnad från 28 § PUL, kommer vara direkt tillämpliga även vid sådan personuppgiftsbehandling som sker i strid med lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Någon hänvisning till dataskyddsförordningens bestämmelser om rättelse behövs därför inte. När det gäller skadestånd föreskriver artikel 82 i dataskyddsförordningen att en person ska ha rätt till ersättning för skada som denne har lidit till följd av en överträdelse av förordningen. Av skäl 146 i dataskyddsförordningen följer att med behandling som strider mot förordningen avses även behandling som strider mot medlemsstaternas nationella rätt med närmare specifikation av förordningens bestämmelser. Regeringen föreslår i propositionen Ny dataskyddslag att rätten till ersättning enligt dataskyddsförordningen ska gälla vid överträdelser av bestämmelser i dataskyddslagen och andra författningar som kompletterar dataskyddsförordningen (7 kap. 1 §). Någon hänvisning till bestämmelserna om skadestånd i dataskyddsförordningen behövs därför inte i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. I 3 kap. 4 § lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar regleras möjligheten att överklaga en myndighets beslut om rättelse och om information som ska lämnas enligt 26 § PUL. Av artikel 79 i dataskyddsförordningen följer en rätt till effektiva rättsmedel mot en personuppgiftsansvarig. I propositionen Ny dataskyddslag lämnas förslag angående rätten att överklaga beslut som en personuppgiftsansvarig myndighet meddelar med anledning av att en registrerad utövar sina rättigheter enligt dataskyddsförordningen (prop. 2017/18:105 s 150–152). Regeringen föreslår i propositionen att beslut som myndigheten fattar med anledning av att en registrerad utövar sin rätt till information, registerutdrag, rättelse, radering, begränsning, invändning eller dataportabilitet ska få överklagas till allmän förvaltningsdomstol (7 kap. 2 §). Detta gäller dock inte beslut av regeringen, , eller ombudsmän. Prövningstillstånd föreslås på samma sätt som krävas vid överklagande till kammarrätten. Dataskyddslagens överklagandebestämmelser kommer att vara generellt tillämpliga. Det finns inte något behov av några särskilda bestämmelser om överklagande i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar. Regeringens bedömning: Bestämmelserna i dataskyddsförordning om automatiserat beslutsfattande kräver inga författningsändringar. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att artikel 22 i dataskyddsförordningen är tillämplig även när profilering inte inbegrips i personuppgiftsbehandlingen. Övriga remissinstanser som yttrar sig tillstyrker eller har inte några invändningar mot promemorians bedömning. Skälen för regeringens bedömning: Enligt artikel 15.1 i dataskyddsdirektivet har varje person rätt att inte bli föremål för ett beslut som har rättsliga följder för honom eller som märkbart påverkar honom och som enbart grundas på automatisk behandling av uppgifter som är avsedda att bedöma vissa personliga egenskaper hos honom, exempelvis hans arbetsprestationer, kreditvärdighet, pålitlighet och uppträdande. I svensk rätt har artikeln genomförts genom 29 § PUL.