prop · H503122 · 2018-03-06 00:00:00 — Den nya förordningen är avsedd att specifi- cera och komplettera dataskyddsförordningen. Av artikel 29 i förslaget framgår att förordningen är tänkt att börja tillämpas som dataskyddsförordningen, dvs. Av artikel 95 i dataskyddsförordningen framgår hur förordningens bestämmelser förhåller sig till bestämmelserna i direktivet om integritet och elektronisk kommunikation. Dataskyddsförordningen ska enligt artikeln inte innebära några ytterligare förpliktelser för fysiska eller juri- diska personer som behandlar personuppgifter inom ramen för tillhanda- hållande av allmänt tillgängliga elektroniska kommunikationstjänster i allmänna kommunikationsnät i unionen, när det gäller områden inom vilka de redan omfattas av särskilda skyldigheter för samma ändamål i enlighet med direktivet om integritet och elektronisk kommunikation. Som ett förtydligande till artikeln anges i skäl 173 i dataskyddsförord- ningen att dataskyddsförordningen bör vara tillämplig på alla frågor som gäller skyddet av grundläggande rättigheter och friheter i förhållande till behandlingen av personuppgifter, vilka inte omfattas av särskilda skyldigheter med samma mål som anges i direktivet om integritet och elektronisk kommunikation, däribland den personuppgiftsansvariges skyldigheter och fysiska personers rättigheter. Artikel 95 överens- stämmer med tillämpningsområdet för berörda tjänster vid behandling av personuppgifter i direktivet om integritet och elektronisk kommunikation (jfr artikel 3) och innebär att förordningen inte ska tillämpas där direktivet om integritet och elektronisk kommunikation innehåller sär- skilda bestämmelser som har samma mål (i den engelska språkversionen ”same objective set out”). Begreppen behandling, samtycke och personuppgiftsansvarig bör ha samma innebörd som i EU:s dataskyddsförordning Enligt artikel 2 i direktivet om integritet och elektronisk kommunikation gäller definitionerna i dataskyddsdirektivet, om inte annat anges i direk- tivet. Definitionen av en användares eller en abonnents samtycke mot- svarar definitionen av den registrerades samtycke i dataskyddsdirektivet (artikel 2 f). Sådana hänvisningar till dataskyddsdirektivet utgör enligt artikel 94 i dataskyddsförordningen hän- visningar till dataskyddsförordningen. Den hänvisning som finns i 6 kap. 1 § lagen om elektronisk kommunikation till definitionerna av be- greppen behandling, samtycke och personuppgiftsansvarig i personupp- giftslagen bör mot denna bakgrund ändras till att avse motsvarande definitioner i dataskyddsförordningen. För att undvika osäkerhet är det av stor vikt att terminologin som används i den nationella regleringen följer den begreppsutveckling som sker inom unionen. Det är därför ändamålsenligt att hänvisningen till de uttryck som används i dataskyddsförordningen görs dynamisk, dvs. avser förordningen i den gällande lydelsen (jfr prop. 2017/18:105 s. 24–25). EU:s dataskyddsförordning och lagen om elektronisk kommunikation Eftersom personuppgiftslagen kommer att upphävas måste bestämmelsen i 6 kap. 2 § om hur lagen förhåller sig till annan lag delvis ändras. Artikel 95 i dataskyddsförordningen anger hur dataskyddsförordningens be- stämmelser ska tillämpas fram till att direktivet om integritet och elektronisk kommunikation ändras för att uppnå överensstämmelse med förordningen. Artikeln är direkt tillämplig. Det är därmed enligt rege- ringens mening tillräckligt att upplysa om att bestämmelser om behand- ling av personuppgifter, förutom i 6 kap. lagen om elektronisk kommu- nikation, även finns i dataskyddsförordningen och i dataskyddslagen samt i föreskrifter som meddelats i anslutning till den lagen. Artikel 95 kan, som uppmärksammat, innebära en viss materiell förändring i förhållande till den nuvarande lydelsen av 6 kap. 2 § första stycket. Artikel 95 gäller nämligen endast behandling av personuppgifter inom ramen för tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster i allmänna kommunikationsnät. Det medför att behandling av personuppgifter, som utförs av dem som till- handahåller elektroniska kommunikationsnät och elektroniska kommuni- kationstjänster som inte är allmänna, kan komma att regleras av data- skyddsförordningen. I övrigt omfattas tillhandahållande av elektroniska kommunikationsnät och elektroniska kommunikationstjänster som inte är allmänna alltjämt av bestämmelserna i lagen om elektronisk kommuni- kation. Vilka regler som ska tillämpas får avgöras av tillämparen i det enskilda fallet med utgångspunkt i den samlade regleringen. Något för- tydligande av vilka bestämmelser i 6 kap. som kan tillämpas vid till- handahållande av elektroniska kommunikationsnät och elektroniska kommunikationstjänster som inte är allmänna vid behandling av person- uppgifter på det sätt som Datainspektionen efterfrågar kan därmed inte göras. Enligt 6 kap. 2 § andra stycket lagen om elektronisk kommunikation gäller bestämmelserna i personuppgiftslagen om rättelse och skadestånd även vid behandling av personuppgifter enligt den lagen. I promemorian görs bedömningen att denna reglering kan tas bort eftersom dataskydds- förordningens bestämmelser om rättelse och rätt till ersättning är direkt tillämpliga. Enligt promemorians bedömning behövs ingen hänvisning i sektorsspecifika författningar för att bestämmelserna ska gälla. Bestäm- melsen i 6 kap. 2 § andra stycket genomför emellertid delvis artikel 15.2 i direktivet om integritet och elektronisk kommunikation och kan därför 2017/18:122 inte tas bort. Enligt artikel 15.2 ska bestämmelserna om rättslig prövning, ansvar och sanktioner i kapitel III i dataskyddsdirektivet gälla för de nationella bestämmelser som antas i enlighet med direktivet om integritet och elektronisk kommunikation och för de individuella rättigheter som kan härledas från detsamma. Hänvisningen till personuppgiftslagens bestämmelse om skadestånd ska därmed i stället ersättas med en hänvisning till dataskyddsförordningens reglering om rätt till ersättning. När det gäller hänvisningen till bestämmelsen om rättelse i person- uppgiftslagen innefattar bestämmelsen i 28 § personuppgiftslagen åt- gärderna rättelse, blockering och utplåning. I dataskyddsförordningen är motsvarande åtgärder uppdelade i tre artiklar. Rätten till rättelse följer numera av artikel 16 i dataskyddsförordningen. Rätten till radering och begränsning av behandling framgår av artiklarna 17 och 18. Att dessa artiklar även gäller vid behandling av personuppgifter enligt lagen om elektronisk kommunikation ska framgå genom en hänvisning till dataskyddsförordningen. För att undvika osäkerhet bör det säkerställas att ändringar av förordningen får genomslag. Det är därför ändamålsenligt att hänvisningen till dataskyddsförordningen görs dynamisk, dvs. avser förordningen i den gällande lydelsen (jfr prop. 2017/18:105 s. 24–25). Regeringens förslag och bedömning: Lagändringarna ska träda i kraft . Det finns inget behov av övergångsbestämmelser. Promemorians förslag och bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig i denna del. Skälen för regeringens förslag och bedömning: EU:s dataskydds- förordning ska börja tillämpas . De anpassningar till förordningen som föreslås i propositionen bör träda i kraft som förordningen ska börja tillämpas. Något behov av övergångs- bestämmelser i de berörda lagarna finns inte. Dataskyddsförordningens bestämmelser om skadestånd kommer att tillämpas på överträdelser av förordningen och nationell rätt som kom- pletterar förordningen. Bestämmelserna kommer alltså inte att tillämpas för skador som orsakats före . I sådana fall ska hittills- varande skadeståndsbestämmelser tillämpas. Detta behöver inte regleras i särskilda övergångsbestämmelser utan får anses följa av allmänna rätts- grundsatser (jfr prop. 1972:5 s. 593). Regeringens bedömning: De föreslagna ändringarna medför inga konsekvenser för personuppgiftsansvariga myndigheter eller för enskilda. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över Skälen för regeringens bedömning: Genom de förslag som läggs fram i propositionen genomförs nödvändiga anpassningar av data- skyddsregleringar inom ansvarsområden till data- skyddsförordningen. Förslagen berör tillämpande myndigheter och aktö- rer i den privata sektorn i deras egenskap av personuppgiftsansvariga. Rättsläget ändras i mycket begränsad omfattning genom förslagen och ändringarna görs uteslutande i befintliga dataskyddsregleringar. Genom förslagen bedöms lagarna inom aktuella ansvarsområden överensstämma med dataskyddsförordningen. I den bedömningen ligger bl.a. att data- skyddsregleringen är proportionerlig i förhållande till de legitima mål som eftersträvas och att det i vederbörlig utsträckning har tagits hänsyn till den registrerades rätt till personlig integritet. Några alternativa lös- ningar tycks inte finnas för anpassningen. Förslagen bedöms inte leda till några kostnadsökningar för person- uppgiftsansvariga. Förslagen bedöms inte heller medföra några ökade kostnader för enskilda eller det allmänna. Ändringarna bedöms inte innebära några negativa effekter för företagens arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt. Inte heller bedöms förslagen ha någon påverkan på vare sig jämställd- heten mellan män och kvinnor eller möjligheten att nå de integrations- politiska målen. Förslagen bedöms inte heller ha några sociala eller miljömässiga konsekvenser. 12.1Förslaget till lag om ändring i rennäringslagen (1971:437) 74 § Ärenden om registrering av renmärke prövas av . är personuppgiftsansvarigt för behandlingen av personuppgifter i renmärkesregistret. Registret får användas för att fastställa vem som är ägare till en ren. Registret ska innehålla uppgifter om ett renmärkes utseende, den sameby där märket får användas samt märkesinnehavarens namn, person- eller organisationsnummer och adress. Bestämmelserna i andra och tredje styckena kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska 2017/18:122 personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och före- skrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. I paragrafen anges vilken myndighet som är personuppgiftsansvarig för renmärkesregistret, hur registret får användas och vilka uppgifter regist- ret ska innehålla. Paragrafen upplyser också om att det finns bestämmel- ser om behandling av personuppgifter i dataskyddsförordningen och i dataskyddslagen. Övervägandena finns i avsnitt 6.1. I fjärde stycket ersätts hänvisningen till personuppgiftslagen med en upplysning om att bestämmelserna i andra och tredje styckena komplette- rar EU:s dataskyddsförordning vid behandling av personuppgifter. Data- skyddsförordningen kommer, när den börjar tillämpas, att vara direkt tillämplig i varje medlemsstat och utgöra den huvudsakliga rättsakten i fråga om behandling av personuppgifter. Det innebär att den automatiskt blir en del av den svenska rättsordningen. Hänvisningen till dataskydds- förordningen är dynamisk dvs. avser förordningen i den gällande lydelsen. Ett nytt femte stycke införs som upplyser om att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter i renmärkesregistret. Detta gäller dock endast om inte annat följer av lagen eller föreskrifter som har meddelats i anslutning till lagen. I dataskyddslagen finns bl.a. generella begränsning- ar av den registrerades rättigheter och processuella bestämmelser. Övriga ändringar är enbart av språklig karaktär och någon ändring i sak i förhållande till vad som gäller är inte avsedd. 12.2Förslaget till lag om ändring i skogsvårdslagen (1979:429) 32 b § I fråga om personuppgifter ska registret över fysiska och juridiska personer, som yrkesmässigt bedriver produktion eller införsel för saluföring av skogsodlingsmaterial eller handel med sådant material, ha till ändamål att till- 1. verksamhet för vilken staten ansvarar enligt lag eller annan författning, och a) som avser sådana näringsidkare som registrerats i registret, eller b) som för att kunna utföras förutsätter tillgång till uppgifter om sådana 2. aktualisering, komplettering eller kontroll av uppgifter om sådana närings- idkare i kund- eller verksamhetsregister eller liknande register, eller 3. uttag av urval av personuppgifter för direkt marknadsföring, dock med den begränsning som följer av artikel 21.2 och 21.3 i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning), här benämnd EU:s dataskyddsförordning. Paragrafen behandlar ändamål för behandling av personuppgifter i regist- ret över fysiska och juridiska personer som yrkesmässigt bedriver produktion eller införsel för saluföring av skogsodlingsmaterial eller handel med sådant material. Övervägandena finns i avsnitt 7. Genom ändringen i tredje punkten ersätts hänvisningen till person- uppgiftslagen med en hänvisning till motsvarande reglering i EU:s dataskyddsförordning. Enligt artikel 21.2 i dataskyddsförordningen har den registrerade rätt att invända mot behandling av personuppgifter för direkt marknadsföring. Om den registrerade invänder mot sådan behandling ska den personuppgiftsansvarige enligt artikel 21.3 inte längre behandla personuppgifterna för sådana ändamål. Hänvisningen till dataskyddsförordningen är dynamisk dvs. avser förordningen i den gällande lydelsen. I övrigt görs en ändring av språklig karaktär. 32 c § I fråga om personuppgifter ska registret över godkända frökällor ha till ändamål att tillhandahålla uppgifter för 1. verksamhet för vilken staten ansvarar enligt lag eller annan författning, och a)som avser sådana frökällor som registrerats i registret, eller b)som för att kunna utföras förutsätter tillgång till uppgifter om sådana frökällor, 2.omsättning av skogsodlingsmaterial och fast egendom på vilken en frökälla registrerats, 3.aktualisering, komplettering eller kontroll av uppgifter om frökällor i kund- eller verksamhetsregister eller liknande register, eller 4.uttag av urval av personuppgifter för direkt marknadsföring, dock med den begränsning som följer av artikel 21.2 och 21.3 i EU:s dataskyddsförordning. Paragrafen behandlar ändamål för behandling av personuppgifter i regist- ret över godkända frökällor. Övervägandena finns i avsnitt 7. Genom ändringen i fjärde punkten ersätts hänvisningen till person- uppgiftslagen med en hänvisning till motsvarande reglering i EU:s data- skyddsförordning. Enligt artikel 21.2 i dataskyddsförordningen har den registrerade rätt att invända mot behandling av personuppgifter för direkt marknadsföring. Om den registrerade invänder mot sådan behandling ska den personuppgiftsansvarige enligt artikel 21.3 inte längre behandla personuppgifterna för sådana ändamål. Hänvisningen till dataskydds- förordningen är dynamisk dvs. avser förordningen i den vid varje tid- punkt gällande lydelsen. Övriga ändringar är av språklig karaktär. 32 e § är personuppgiftsansvarig för behandlingen av person- uppgifter i de register som avses i 32 a § första stycket. Av paragrafen framgår att är personuppgiftsansvarig för behandlingen av personuppgifter i registret över fysiska och juridiska personer som yrkesmässigt bedriver produktion eller införsel för salu- föring av skogsodlingsmaterial eller handel med sådant material samt registret över godkända frökällor. Övervägandena finns i avsnitt 6.3. Genom ändringen tas hänvisningen till personuppgiftslagen bort. Någon ändring i sak i förhållande till vad som gäller är inte avsedd. 2017/18:122 Ansvar och överklagande m.m. 40 § beslut enligt denna lag eller enligt föreskrifter som har meddelats med stöd av lagen får överklagas till allmän förvaltningsdomstol. får överklaga beslut i fall som avses i 25 § andra stycket. Prövningstillstånd krävs vid överklagande till kammarrätten. Paragrafen innehåller bl.a. bestämmelser om rätten att överklaga Skogs- styrelsens beslut. Övervägandena finns i avsnitt 8. Ändringen innebär att första stycket andra meningen, som anger att beslut om avslag på ansökan om information enligt 26 § personuppgiftslagen och beslut om rättelse enligt 28 § personuppgifts- lagen får överklagas till allmän förvaltningsdomstol, tas bort. Att beslut som fattas av en personuppgiftsansvarig myndighet med anledning av att den registrerade utövar sin rätt till information och tillgång till person- uppgifter eller rättelse får överklagas till allmän förvaltningsdomstol framgår av dataskyddslagen. I övrigt görs en ändring av språklig karaktär. 12.3 Förslaget till lag om ändring i lagen (2003:389) om elektronisk kommunikation 6 kap. Behandling av trafikuppgifter samt integritetsskydd 1 § I detta kapitel avses med elektroniskt meddelande: all information som utbyts eller överförs mellan ett begränsat antal parter genom en allmänt tillgänglig elektronisk kommunikations- tjänst, utom information som överförs som del av sändningar av ljudradio- och tv-program som är riktade till allmänheten via ett elektroniskt kommunikations- nät om denna information inte kan sättas i samband med den enskilda abonnenten eller användaren av informationen, integritetsincident: en händelse som leder till oavsiktlig eller otillåten ut- plåning, förlust eller ändring, eller otillåtet avslöjande av eller otillåten åtkomst till uppgifter som behandlas i samband med tillhandahållandet av allmänt till- gängliga elektroniska kommunikationstjänster, internetåtkomst: möjlighet till överföring av ip-paket som ger användaren till- gång till internet, meddelandehantering: utbyte eller överföring av elektroniskt meddelande som inte är samtal och inte heller är information som överförs som del av sändningar av ljudradio- och tv-program, misslyckad uppringning: uppringning som kopplas fram utan att nå en mot- trafikuppgift: uppgift som behandlas i syfte att befordra ett elektroniskt med- delande via ett elektroniskt kommunikationsnät eller för att fakturera detta med- Begreppen behandling, personuppgiftsansvarig och samtycke har i kapitlet samma innebörd som i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. I paragrafen anges vad som avses med en rad uttryck som används i kapitlet vid behandling av trafikuppgifter och integritetsskydd t.ex. behandling, personuppgiftsansvarig och samtycke. Övervägandena finns i avsnitt 9. När det gäller uttrycken behandling, personuppgiftsansvarig och sam- tycke tas hänvisningen till personuppgiftslagen bort och ersätts av en hänvisning till EU:s dataskyddsförordning. Dessa uttryck kommer således ha samma innebörd som i artikel 4 i förordningen. Hänvisningen till dataskyddsförordningen är dynamisk dvs. avser förordningen i den gällande lydelsen. Förhållande till annan reglering 2 § Bestämmelser om behandling av personuppgifter finns förutom i detta kapitel i EU:s dataskyddsförordning och i lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning samt i föreskrifter som har med- delats i anslutning till den lagen. Bestämmelserna i dataskyddsförordning om rättelse, radering, begräns- ning och skadestånd gäller även vid behandling av personuppgifter enligt denna lag. I det allmännas verksamhet ska offentlighets- och sekretesslagen (2009:400) tillämpas i stället för 20–23 §§. Paragrafen upplyser bl.a. om lagens förhållande till annan reglering om behandling av personuppgifter. Övervägandena finns i avsnitt 9. Genom ändringen tas hänvisningen till personuppgiftslagen i första stycket bort. Bestämmelsen upplyser i stället om att det förutom i 6 kap. finns bestämmelser om behandling av personuppgifter i EU:s data- skyddsförordning och i dataskyddslagen samt i föreskrifter som har meddelats i anslutning till den lagen. Hänvisningen till dataskydds- förordningen är dynamisk dvs. avser förordningen i den vid varje tid- punkt gällande lydelsen. Enligt artikel 95 i dataskyddsförordningen ska förordningen inte inne- bära några ytterligare förpliktelser för fysiska eller juridiska personer som behandlar personuppgifter inom ramen för tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster i allmänna kommunikationsnät i unionen. Det gäller områden inom vilka tillhanda- hållaren redan omfattas av särskilda skyldigheter för samma ändamål i enlighet med direktiv /58/EG. Bestämmelserna i 6 kap. ska under dessa förutsättningar tillämpas framför dataskyddsförordningens regle- ring. Behandling av personuppgifter vid tillhandahållande av elektro- niska kommunikationsnät och elektroniska kommunikationstjänster som inte är allmänna kan därmed komma att regleras av dataskyddsförord- ningen. Eftersom dataskyddslagen är subsidiär i förhållande till av- vikande bestämmelser i annan lag eller förordning gäller dataskydds- lagen endast om inte annat anges i 6 kap. I andra stycket tas hänvisningen till bestämmelserna i personuppgifts- lagen om rättelse och skadestånd bort och ersätts med en hänvisning till 2017/18:122 motsvarande reglering i dataskyddsförordningen. Rätten till ersättning regleras i artikel 82 i förordningen. Rätten till rättelse, radering och begränsning av behandling av personuppgifter som sker enligt lagen framgår av artiklarna 16–18. Någon ändring i sak i förhållande till vad som gäller är inte avsedd. 12.4Förslaget till lag om ändring i lagen (2006:24) om nationella toppdomäner för på Internet Förhållandet till annan dataskyddsreglering 3 § Bestämmelserna i 6 § kompletterar och rådets förord- ning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning). Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen upplyser om att det vid behandling av personuppgifter finns bestämmelser i annan dataskyddsreglering. Övervägandena finns i avsnitt 6.1, 7 och 8. I första stycket ersätts hänvisningen till personuppgiftslagen med en upplysning om att bestämmelserna i 6 § kompletterar EU:s dataskydds- förordning vid behandling av personuppgifter. Dataskyddsförordningen kommer, när den börjar tillämpas, att vara direkt tillämplig i EU och utgöra den huvudsakliga rättsakten på området för personuppgifts- behandling. Det innebär att den automatiskt blir en del av den svenska rättsordningen. I vissa avseenden förutsätter respektive tillåter data- skyddsförordningen att medlemsstater inför bestämmelser som komplet- terar förordningen, antingen i form av preciseringar eller i form av undantag. Bestämmelserna i 6 § utgör en sådan kompletterande precisering (jfr artikel 6.2). Hänvisningen till dataskyddsförordningen är dynamisk dvs. avser förordningen i den gällande lydelsen. Genom ändringen i andra stycket tas hänvisningen till personuppgifts- lagens bestämmelser om rättelse och skadestånd bort och ersätts med en upplysning om att bestämmelser om behandling av personuppgifter finns i dataskyddslagen samt tillhörande förordning. Att rätten till rättelse och skadestånd gäller vid behandling av personuppgifter enligt lagen framgår direkt av dataskyddsförordningen.