prop · H503142 · 2018-03-13 00:00:00 — Undantaget i första stycket gäller också om en anmälan medför att en fysisk persons medlemskap i en fackförening blir känt eller om en anmälan avslöjar uppgift om en fysisk persons hälsotillstånd eller sexualliv. Denna lag träder i kraft . Ärendet och dess beredning utfärdades och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävandet av direktiv /46/EG (allmän dataskyddsförordning). Dataskyddsförordningen finns i bilaga 1. I departementspromemorian Författningsändringar på finansmarknads- området med anledning av EU:s dataskyddsförordning finns förslag till författningsändringar med anledning av dataskyddsförordningen. Prome- lagförslag finns i bilaga 2. Promemorian har remissbehandlats. En förteckning över remiss- instanserna finns i bilaga 3. Remissyttrandena finns tillgängliga i Finans- departementet (Fi2017/03612/FPM). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådet lämnade förslagen utan erinran. I förhållande till lagrådsremissen har det gjorts några språkliga och redaktionella ändringar i lagtexten. Den allmänna regleringen för behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av den om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garan- tera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Dataskyddsdirektivet gäller inte för behandling av personuppgifter på områden som faller utanför gemenskapsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på Dataskyddsdirektivet har genomförts i svensk rätt genom personuppgiftslagen (1998:204), förkortad PUL, som är generellt tillämplig vid behandling av personuppgifter. Därtill finns ett antal sektorspecifika författningar som reglerar behandling av personuppgifter hos framför allt myndigheter, s.k. registerförfattningar. lade Europeiska kommissionen fram sitt förslag till en reformerad dataskyddsreglering i EU. Förslaget avsåg dels en förordning med allmänna EU-regler om skydd för personuppgifter som skulle ersätta dataskyddsdirektivet, dels ett direktiv med regler om skydd för personuppgifter som behandlas i samband med förebyggande, utredning, 2017/18:142 avslöjande eller lagföring av brott och därmed förbunden rättslig verksamhet. Dataskydds- förordningen utgör en ny generell reglering för behandling av person- uppgifter inom EU och kommer att ersätta det nuvarande dataskydds- direktivet när den börjar tillämpas . Även om dataskyddsförordningen är direkt tillämplig, till skillnad från dataskyddsdirektivet, innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. med dataskyddsförordningen antogs ett nytt dataskydds- direktiv med regler om behandling av personuppgifter inom den brotts- bekämpande sektorn, och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Sådan behandling som omfattas av det nya dataskyddsdirektivet är undantagen från dataskyddsförordningens tillämpningsområde. Det huvudsakliga syftet med reformen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att bl.a. förbättra den inre marknadens funktion och öka enskildas kontroll över sina person- uppgifter. Dataskyddsförordningen trädde i kraft och ska, som nämns i avsnitt 4.1 ovan, tillämpas fr.o.m. . Dataskyddsförordningen kommer att utgöra den generella rättsliga grunden för behandling av personuppgifter inom EU. I förordningens första kapitel slås syftet och tillämpningsområdet fast. Utgångspunkten är att förordningen ska tillämpas på all behandling av personuppgifter, om uppgifterna rör en fysisk person och behandlingen helt eller delvis sker på automatisk väg eller avser personuppgifter som ingår i eller kommer att ingå i ett register. Från tillämpningsområdet undantas dock behand- ling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten och behandling som utförs av medlemsstaterna när de bedriver verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken. Vidare undantas behandling som utförs av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med dennes hushåll och behandling som utförs av EU:s institu- tioner, organ och byråer. Slutligen undantas behandling som utförs av behöriga myndigheter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (sådan behandling av personuppgifter omfattas i stället av det nya dataskydds- direktivet (se avsnitt 4.1). I dataskyddsförordningen anges de principer som ska styra behand- Prop. 2017/18:142 lingen av personuppgifter (kapitel 2), de rättigheter som den registrerade ska ha (kapitel 3), de skyldigheter som den personuppgiftsansvarige och dennes biträde, det s.k. personuppgiftsbiträdet, ska ha (kapitel 4) samt det som ska gälla vid överföring av personuppgifter till tredjeländer eller internationella organisationer (kapitel 5). I förordningen finns också bestämmelser om oberoende nationella tillsynsmyndigheter (kapitel 6) och deras samarbete och åtgärder som de ska vidta för att förordningen ska tillämpas konsekvent (kapitel 7). Vidare finns bestämmelser om rättsmedel, ansvar och sanktioner (kapitel 8) och delegerade befogen- heter (kapitel 10). Dataskyddsförordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll men innehåller även nyheter. Till exempel ökar informationsskyldigheten till den registrerade och administrativa sank- tionsavgifter införs. För att förordningen ska tillämpas konsekvent i hela EU, inrättas Europeiska dataskyddsstyrelsen, som kommer att bestå av representanter för de nationella dataskyddsmyndigheterna. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna men förutsätter och möjliggör kompletterande nationella bestämmelser. Medlemsstaterna ska t.ex., för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande, fast- ställa undantag eller avvikelser från vissa av förordningens bestäm- melser, bl.a. rörande principer för behandling av personuppgifter, om dessa är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten (artikel 85.2). Vidare finns det ett förhållandevis stort utrymme för nationella särregleringar för sådan behandling av personuppgifter som är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse eller utföra en uppgift av allmänt intresse eller som är nödvändig som ett led i den person- uppgiftsansvariges myndighetsutövning (artikel 6.2). 4.3Anpassning av nationell reglering Dataskyddsförordningen kommer att tillämpas direkt i . 2017/18:105 lämnas förslag på hur svensk rätt på ett övergripande plan ska anpassas till förordningen. I nämnda proposition föreslås bl.a. att PUL ska upphävas och att det ska införas en lag med kompletterande bestämmelser till EU:s dataskyddsförordning (i det följande benämnd dataskyddslagen). Den sammantagna svenska sektorsspecifika dataskyddsregleringen är omfattande. Den sektorsspecifika regleringen kompletterar eller avviker från PUL, som är subsidiär (se 2 § PUL). På finansmarknadsområdet finns flera lagar med inslag av dataskydds- reglering. En förutsättning för att dessa ska falla inom dataskydds- förordningens tillämpningsområde är att de gäller för verksamheter som omfattas av unionsrätten. Dataskyddsförordningens tillämpningsområde är detsamma som dataskyddsdirektivets. Lagarna på finansmarknads- området reglerar förhållanden som utgör en del av den inre marknaden och som omfattas av unionsrätten. Vid införandet av den nuvarande 2017/18:142 svenska dataskyddsregleringen bedömdes dessa lagar omfattas av data- skyddsdirektivets tillämpningsområde. Regeringens utgångspunkt är mot denna bakgrund att lagarna även omfattas av dataskyddsförordningens tillämpningsområde. I denna proposition föreslås de anpassningar av lagstiftningen på finansmarknadsområdet som är nödvändiga i anledning av dataskyddsförordningen. De hänvisningar till dataskyddsförordningen som förekommer i dessa förslag till anpassningar är dynamiska, dvs. avser den gällande lydelsen av förordningen, i likhet med det som föreslås för den nya dataskyddslagen inom dataskydds- förordningens tillämpningsområde (prop. 2017/18:105 s. 24 f.). Genom den valda hänvisningstekniken kommer framtida ändringar i dataskydds- förordningen att få genomslag i lagen. Krav på behandlingen av personuppgifter Tillåten behandling av personuppgifter Regeringens bedömning: Sådan behandling av personuppgifter som är nödvändig till följd av lagar på finansmarknadsområdet kan ske med stöd av EU:s dataskyddsförordning. Det finns därför inte något behov av lagändringar i detta avseende. Promemorians bedömning överensstämmer med regeringens bedöm- Remissinstanserna: Flertalet remissinstanser tillstyrker bedömningen eller har inget att invända mot den. Datainspektionen anser att det i detta sammanhang inte är tillräckligt att endast konstatera att grunden för behandlingen är fastställd i nationell rätt utan att redovisa vilken rättslig grund som avses eller beskrivning av hur den är fastställd. tionen efterfrågar även en redogörelse för vilka överväganden som gjorts i fråga om det nationella rättsliga stödet för behandlingen av person- uppgifter uppfyller ett mål av allmänt intresse och är proportionerligt mot det legitima mål som eftersträvas. Skälen för regeringens bedömning behandling av personuppgifter ska vara tillåten ska, enligt 10 § PUL, den registrerade ha lämnat sitt samtycke till behandlingen eller behandlingen vara nödvändig för något av de i paragrafen angivna Därutöver finns i 9 § PUL vissa grundläggande krav på all behandling av personuppgifter. Den personuppgiftsansvarige ska bl.a. se till att personuppgifter behandlas lagligt och på ett korrekt sätt samt att personuppgifter bara samlas in för särskilda, uttryckligt angivna och Vidare får de insamlade uppgifterna inte användas på ett sätt som är oförenligt med det ändamål för vilket de samlades in (den s.k. finalitetsprincipen) eller bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. behandlingen s.k. känsliga personuppgifter eller uppgifter om lagöver- trädelser m.m., måste behandlingen dessutom vara tillåten enligt 13–21 §§ PUL, vilket behandlas närmare i avsnitten 5.2 och 5.3. De villkor som ska vara uppfyllda för att behandling av personuppgifter ska vara laglig anges i artikel 6 i dataskyddsförordningen. Artikelns inne- håll överensstämmer i stort med 10 § PUL. Enligt artikel 6.1 första stycket är behandlingen laglig endast om och i den mån som åtminstone ett av följande villkor är uppfyllt: 1.Den registrerade har lämnat sitt samtycke till att dennes person- uppgifter behandlas för ett eller flera specifika ändamål. 2.Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. 3.Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som vilar på den personuppgiftsansvarige. 4.Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. 5.Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning. 6.Behandlingen är nödvändig för ändamål som rör den personuppgifts- ansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Enligt artikel 6.1 andra stycket gäller led f dock inte för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Medlemsstaterna får enligt artikel 6.2 i dataskyddsförordningen närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling för att efterleva artikel 6.1 första stycket c och e. Den grund för behandling som avses i artikel 6.1 första stycket c och e ska enligt artikel 6.3 fastställas i enlighet med unionsrätten eller den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Också syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 första stycket e, vara nöd- vändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Av artikel 6.3 följer vidare att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bl.a. de allmänna villkor som ska gälla, vilken typ av uppgifter som ska behandlas, ändamålsbegränsningar och lagringstid. Artikel 6.3 ställer också krav på att, i fråga om grunden för behand- lingen av personuppgifter, unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Detta krav på proportionalitet, som 2017/18:142 gäller även för sektorsspecifika dataskyddsbestämmelser, torde enligt innebära att lagstiftaren måste göra en avvägning mellan å ena sidan behovet av att en uppgift kan utföras på ett effektivt och rättssäkert sätt och, å andra sidan, den enskildes rätt till skydd för sina personuppgifter (SOU 2017:39 s. 134). Slutligen berör artikel 6.4 situationen att en behandling sker för andra ändamål än det ändamål för vilket personuppgifterna ursprungligen samlades in. Utöver kravet på rättslig grund i artikel 6 finns i artikel 5 i data- skyddsförordningen vissa grundläggande principer för behandling av personuppgifter. Enligt den artikeln ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Vidare anges och utvecklas vissa principer som gäller vid behandling av person- uppgifter, nämligen principerna om ändamålsbegränsning, uppgifts- minimering, korrekthet, lagringsminimering samt integritet och konfi- dentialitet. Slutligen anges att det är den personuppgiftsansvarige som ansvarar för, och ska kunna visa, att de grundläggande principerna följs. Skyldigheterna i bl.a. artikel 5 kan, under vissa förutsättningar, begränsas genom unionsrätten eller medlemsstaternas nationella rätt (artikel 23). I likhet med PUL finns det i dataskyddsförordningen ytterligare krav för behandling av känsliga personuppgifter och för behandling av upp- gifter som rör fällande domar i brottmål och överträdelser (artikel 9 respektive 10). Artiklarna 9 och 10 behandlas närmare i avsnitten 5.2 och 5.3. Dataskyddsförordningens krav kan förenklat sammanfattas som att behandlingen av personuppgifter måste ha en rättslig grund, dvs. antingen ske med samtycke (artikel 6.1 första stycket a) eller uppfylla villkoren i något av leden b–f i artikel 6.1 första stycket. Detta är emellertid inte tillräckligt för att en behandling av personuppgifter ska vara tillåten. Övriga krav måste också vara uppfyllda, t.ex. de grundläggande principerna för behandling i artikel 5. Behovet av den konkreta behandlingen måste alltid vägas mot den registrerades intresse av personlig integritet. Förslagen i propositionen Ny dataskyddslag 2017/18:105 överväger regeringen frågan vad som avses med att grunden för behandlingen av personuppgifter enligt artikel 6.1 första stycket c och e ska fastställas i enlighet med unionsrätten eller den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av (artikel 6.3). I samma proposition bedömer regeringen att detta krav inte innebär ett krav på att själva behandlingen av personuppgifter måste regleras. Det är i stället den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen som ska ha stöd i rätts- ordningen. Den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen bedöms vara fastställd i enlighet med svensk rätt om den har stöd i författning eller beslut som antagits i enlighet med regeringsformens bestämmelser. Som en följd av den svenska arbets- marknadsmodellen bedöms rättsliga förpliktelser och uppgifter av all- mänt intresse även kunna vara fastställda genom kollektivavtal (samma prop. 48–52 och s. 188 f.). Det finns rättsligt stöd för nödvändig behandling av personuppgifter på finansmarknadsområdet På finansmarknadsområdet finns ett antal lagar i vilka såväl myndigheter som privata aktörer åläggs uppgifter och förpliktelser som kräver behandling av personuppgifter. Som exempel kan nämnas en emittents skyldighet att behandla personuppgifter i samband med upprättandet av ett prospekt enligt lagen (1991:980) om handel med finansiella instru- ment och svenska värdepapperscentralers och kontoförande instituts skyldighet att behandla personuppgifter inom ramen för rapporterings- system för anställda som vill göra anmälningar om misstänkta regel- överträdelser. Som ytterligare exempel kan nämnas skyldigheten för sådana verksamhetsutövare som avses i lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism (i det följande benämnd penningtvättslagen) att behandla personuppgifter i syfte att förhindra att finansiell verksamhet och annan näringsverksamhet utnyttjas för penningtvätt eller finansiering av terrorism. De uppgifter som myndigheter och privata aktörer har enligt lagarna på finansmarknadsområdet eller enligt beslut som har meddelats med stöd av sådana lagar är regelmässigt uppgifter av allmänt intresse. I vart fall utgör de rättsliga förpliktelser. För myndigheternas del innefattar uppgift- erna dessutom ofta myndighetsutövning. – och den myndighetsutövning som kan ligga i dem – är fastställda i den nationella rätten och bestämmelserna har ansetts proportionerliga i förhållande till den enskildes intresse av skydd för sin personliga integri- tet på det sätt som krävs enligt artikel 6.3 i dataskyddsförordningen. Datainspektionen efterfrågar ett tydligt utpekande av de rättsliga grunderna för behandlingen av personuppgifter och hur de är fastställda i den nationella rätten, samt en analys i förhållande till var och en av dessa avseende bestämmelsernas proportionalitet. Datainspektionen anför i detta sammanhang att det inte räcker med att konstatera att stödet för behandlingen ansetts vara proportionerligt i tidigare lagstiftningsärenden. Regeringen, som bedömer att bestämmelserna även fortsättningsvis ska anses proportionerliga, grundar detta inte enbart på att stödet för behand- lingen ansetts proportionerligt i förhållande till sitt syfte i tidigare lagstiftningsärenden, utan på behovet av de uppgifter och förpliktelser som bestämmelserna berör. I förhållande till att ingen av dessa bestäm- melser bedöms vara oförenlig med dataskyddsförordningen framstår det dock inte som motiverat att i detta sammanhang redogöra för var och en av dem. Till detta kan läggas att kravet på att lagstiftning ska vara proportionerlig i förhållande till det legitima mål som eftersträvas följer av grundläggande krav på lagstiftaren i en rättsstat. Mot denna bakgrund görs bl.a. i prop. 2017/18:105 bedömningen att varje personuppgiftsansvarig kan utgå från att svensk rätt uppfyller detta krav (s. 50). Nödvändig behandling av personuppgifter enligt bestämmelserna på finansmarknadsområdet är sammanfattningsvis tillåten enligt dataskydds- 2017/18:142 förordningen. Dataskyddsreformen medför alltså inte något behov av författningsändringar i detta avseende. En annan sak är att den personuppgiftsansvarige är skyldig att försäkra sig om att den konkreta behandlingen i det enskilda fallet sker lagligt, dvs. att det rör sig om nödvändig behandling med rättsligt stöd, och att övriga krav på behandlingen av personuppgifter är uppfyllda. Bestämmelser som innebär undantag från förbud mot behandling av- seende vissa särskilt integritetskänsliga personuppgifter behandlas i av- snitten nedan. Regeringens förslag: Hänvisningen i penningtvättslagen till person- uppgiftslagens bestämmelse om känsliga personuppgifter ska ersättas av hänvisning till artikel 9.1 i EU:s dataskyddsförordning. I bestäm- melsen i lagen om registrering av verkliga huvudmän där det uttryck- ligen anges vilka typer av känsliga personuppgifter som avses, ska det i stället införas en hänvisning till artikel 9.1 i dataskyddsförordningen. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Datainspektionen avstyrker förslaget att tillåta behandling av känsliga personuppgifter enligt penningtvättslagen. Svensk Försäkring påpekar, utan att invända mot förslaget i sig, att det är angeläget att försäkringsföretag har rätt att behandla känsliga person- uppgifter i försäkringssammanhang, och föreslår att det införs ett uttryck- ligt stöd i lag för sådan behandling. Skälen för regeringens förslag Enligt 13 § PUL är det förbjudet att behandla s.k. känsliga personupp- gifter, dvs. personuppgifter som rör hälsa eller sexualliv och person- uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Undantag från detta förbud finns i 15–19 §§ PUL. I artikel 9.1 i dataskyddsförordningen finns, i likhet med i PUL, ett generellt förbud mot behandling av känsliga personuppgifter (rubricerade som ”särskilda kategorier av personuppgifter” i dataskyddsförordningen). Enligt förordningen omfattar dessa personuppgifter emellertid även genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om en fysisk persons sexuella läggning. Vidare finns i artikel 9.2 undantag från förbudet. Exempelvis är behand- ling tillåten i följande fall, vilka bedöms särskilt relevanta för författ- ningarna på finansmarknadsområdet. Den registrerade har uttryckligen lämnat sitt samtycke till behand- Prop. 2017/18:142 lingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt före- skriver att förbudet inte kan upphävas av den registrerade. Behandlingen är nödvändig för att skydda den registrerades eller någon annan fysisk persons grundläggande intressen när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke (artikel 9.2 c). Behandlingen rör personuppgifter som på ett tydligt sätt har offentlig- gjorts av den registrerade (artikel 9.2 e). Behandlingen är nödvändig för att fastställa, göra gällande eller för- svara rättsliga anspråk eller som en del av domstolarnas dömande verksamhet (artikel 9.2 f). Behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ).