prop · H503254 · 2018-05-02 00:00:00 — Regeringen bedömer också att begränsningen kan ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Till skillnad från vad som föreslås i promemorian bör bestämmelsens utformning ta sin utgångspunkt i den personuppgifts- ansvariges skyldighet att informera om personuppgiftsincidenter. 2017/18:254 6.9 Regeringens förslag: En bestämmelse ska införas i utlänningsdatalagen som anger att rätten att göra invändningar mot behandling av personuppgifter enligt artikel 21.1 i dataskyddsförordningen inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till lagen. Regeringens bedömning: Utlänningsdatalagen bör inte innehålla några undantag från den registrerades rättigheter enligt artiklarna 13– 19 i dataskyddsförordningen, utöver vad som följer av dataskydds- lagen. Promemorians förslag och bedömning överensstämmer delvis med regeringens. I promemorian föreslås inte något undantag från den registrerades rätt att göra invändningar enligt artikel 21.1 i dataskyddsförordningen. Vidare föreslås i promemorian att utlänningsdatalagen ska innehålla en hänvisning till dataskyddslagens bestämmelser om den registrerades rätt till information. Förslaget överensstämmer i denna del i sak med regeringens bedömning. Remissinstanserna: Ingen av remissinstanserna invänder mot promemorians förslag och bedömning. Skälen för regeringens förslag och bedömning Dataskyddsförordningens bestämmelser om den registrerades rättigheter I kapitel III i dataskyddsförordningen behandlas den registrerades rättigheter. Det finns bestämmelser om rätten till information (artiklarna 13 och 14), registerutdrag (artikel 15), rätten till rättelse (artikel 16), radering (artikel 17), begränsning (artikel 18) och dataportabilitet (artikel 20). Vidare behandlas rätten att göra invändningar (artikel 21) och att motsätta sig automatiskt individuellt beslutsfattande (artikel 22). I anslutning till dessa rättigheter finns även bestämmelser om hur och när information ska lämnas (artikel 12) och bestämmelser om anmälningsskyldighet för det fall rättelse, radering eller begränsning av behandling sker (artikel 19). De rättigheter för enskilda som följer av dataskyddsförordningen har, med vissa undantag, sina motsvarigheter dataskyddsdirektiv och personuppgiftslagen. Rättigheterna har dock förstärkts i vissa avseenden genom dataskyddsförordningen, bl.a. när det gäller rätten till information och tillgång till uppgifter. Den registrerades rättigheter, med motsvarande skyldigheter för den personuppgiftsansvarige, är direkt tillämpliga. Rättigheterna är emellertid inte absoluta utan kan enligt artikel 23 i dataskyddsförordningen begränsas, under vissa förutsättningar. Enligt artikeln får begränsningar införas i nationell rätt om begränsningen sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle, i syfte att säkerställa vissa angivna viktiga intressen. En nyhet i dataskyddsförordningen jämfört med dataskyddsdirektiv är att det anges att en begränsande lagstiftningsåtgärd, när så är relevant, ska bl.a. om Prop. innehålla specifika bestämmelser i vissa avseenden, skyddsåtgärder. Nedan behandlas frågan om det skulle behövas särskilda regler i utlänningsdatalagen som begränsar enskildas rättigheter enligt dataskyddsförordningen när det gäller rätten till information och tillgång till personuppgifter, rätten till rättelse, radering och begränsning av behandling av personuppgifter och rätten att göra invändningar mot behandling. Rätten till dataportabilitet är inte tillämplig vid den personuppgiftsbehandling som sker enligt utlänningsdatalagen eftersom sådan behandling inte grundar sig på samtycke eller avtal. Dataportabilitet behandlas därför inte nedan. Automatiskt besluts- fattande, som inte regleras i utlänningsdatalagen, behandlas i avsnitt 6.16. Rätten till information och tillgång till personuppgifter Av 8 § första stycket 5 utlänningsdatalagen framgår att bestämmelser om information till den registrerade i 23 och 25–27 §§ personuppgiftslagen gäller vid tillämpning av utlänningsdatalagen. Däremot hänvisas inte till 24 § personuppgiftslagen om information som ska lämnas om personuppgifter som har samlats in från någon annan källa än den registrerade. Artikel 13 och 14 i dataskyddsförordningen reglerar vilken information som ska lämnas till den registrerade och har i allt väsentligt motsvarande innebörd som 23 och 24 §§ personuppgiftslagen, även om omfattningen av den information som ska tillhandahållas har utvidgats. Artikel 15 i dataskyddsförordningen reglerar den registrerades rätt till tillgång till personuppgifter och motsvarar 26 § personuppgiftslagen om information som ska lämnas efter ansökan (s.k. registerutdrag). 2017/18:105 föreslår regeringen undantag från vissa av dataskyddsförordningens rättigheter och skyldigheter. Rätten till information och tillgång enligt artiklarna 13–15 i dataskydds- förordningen ska enligt förslaget inte gälla sådana uppgifter som omfattas av sekretess eller tystnadsplikt (5 kap. 1 § första stycket dataskyddslagen). Vidare ska rätten till registerutdrag som huvudregel inte gälla personuppgifter som finns i löpande text som inte har fått sin slutliga utformning eller som utgör minnesanteckning eller liknande (5 kap. 2 § dataskyddslagen). I likhet med promemorian anser regeringen att dessa bestämmelser, som motsvarar 26 § tredje stycket och 27 § personuppgiftslagen, bör gälla även när personuppgifter behandlas enligt utlänningsdatalagen. I promemorian föreslås att utlänningsdatalagen ska innehålla hänvisningar till bestämmelserna i dataskyddslagen. Att bestämmelserna i 5 kap. 1 § första stycket och 2 § dataskyddslagen blir tillämpliga följer emellertid av regeringens förslag att dataskyddslagen ska gälla vid behandling av personuppgifter enligt utlänningsdatalagen, om inte annat följer av utlänningsdatalagen eller anslutande föreskrifter (avsnitt 6.3.1). Som nämns ovan är 24 § personuppgiftslagen, som motsvarar artikel 11 dataskyddsdirektiv, inte tillämplig enligt utlännings- datalagen. Enligt 24 § första stycket ska den personuppgiftsansvarige självmant lämna den registrerade information om behandlingen, om 2017/18:254 personuppgifterna har samlats in från någon annan källa än den registrerade. Av andra stycket följer dock att information inte behöver lämnas till den registrerade om det finns bestämmelser om registreringen eller utlämnandet av personuppgifterna i en lag eller någon annan författning. I förarbetena till utlänningsdatalagen konstaterades att någon hänvisning till 24 § personuppgiftslagen inte var nödvändig i utlännings- datalagen eftersom det föreslogs att sådana bestämmelser som föreskrivs i 24 § andra stycket personuppgiftslagen skulle införas i utlännings- datalagen (prop. 2015/16:65 s. 50). En motsvarighet till 24 § personuppgiftslagen finns i artikel 14 i dataskyddsförordningen. Artikel 14.5 c innehåller dock ett undantag som innebär att den personuppgifts- ansvarige inte behöver lämna information till den registrerade, om den personuppgiftsansvarige har rätt att ta emot eller lämna ut uppgifterna enligt medlemsstatens nationella rätt. En förutsättning för att undantaget ska vara tillämpligt är att den nationella rätten fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. Den typ av reglering som avses i undantaget i artikel 14.5 c finns i utlänningsdatalagen och i t.ex. förvaltningslagen (2017:900). Utlännings- datalagen innehåller vidare skyddsåtgärder i form av bestämmelser om tillåtna ändamål, tillgången till personuppgifter och sökbegränsningar. Regeringen bedömer, liksom promemorian, att detta innebär att förordningens bestämmelser om information som ska tillhandahållas när personuppgifter inte har erhållits från den registrerade inte behöver tillämpas inom utlänningsdatalagens område. Eftersom undantaget följer direkt av dataskyddsförordningen finns det inget behov av att reglera frågan i utlänningsdatalagen. Regeringen anser sammanfattningsvis att rätten till information och tillgång till personuppgifter enligt artiklarna 13–15 i dataskyddsförord- ningen inte bör begränsas för behandling av personuppgifter inom utlänningsdatalagens tillämpningsområde utöver vad som följer av dataskyddslagen. Rätten till rättelse och radering av personuppgifter Enligt 28 § personuppgiftslagen är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen. Bestämmelsen gäller vid behandling av personuppgifter enligt utlänningsdatalagen (8 § första stycket 6 utlänningsdatalagen). En myndighet får dock inte utplåna uppgifter i en allmän handling, om det skulle strida mot andra bestämmelser. Av 28 § personuppgiftslagen framgår även att den personuppgiftsansvarige i vissa fall ska underrätta tredje man, till vilken uppgifterna har lämnats ut, om korrigerings- åtgärden. När det gäller rättelse motsvaras 28 § personuppgiftslagen av artikel 16 i dataskyddsförordningen, som innebär att den registrerade har rätt att utan dröjsmål få felaktiga personuppgifter rättade. Med beaktande av ändamålet med behandlingen ska den registrerade även ha rätt att komplettera ofullständiga personuppgifter. Regeringen anser att det inte finns skäl att i utlänningsdatalagen begränsa rätten till rättelse enligt dataskyddsförordningen. Möjligheterna för en enskild att enligt artikel 17 i dataskydds- förordningen få personuppgifter raderade är mer omfattande än möjlig- heterna till utplåning av personuppgifter enligt 28 § personuppgiftslagen. Bestämmelsen i förordningen gäller dock inte bl.a. om behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighets- utövning eller för att den personuppgiftsansvarige ska kunna utföra en uppgift av allmänt intresse. Rätten till radering ska inte heller gälla i den utsträckning som den sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med sådan behandling som sker för arkivändamål av allmänt intresse (artikel 17.3 d i dataskyddsförordningen). Som anges i avsnitt 5 är den personuppgiftsbehandling som sker inom utlänningsdatalagens tillämpningsområde nödvändig som ett led i myndighetsutövning och för att kunna utföra en uppgift av allmänt intresse. Regeringen bedömer mot denna bakgrund att regleringen i dataskyddsförordningen innebär att personuppgifter som behandlas inom utlänningsdatalagens tillämpningsområde normalt är undantagna från rätten till radering. Det saknas skäl att i utlänningsdatalagen ytterligare begränsa denna rätt. Rätten att begära begränsning av behandling av personuppgifter Enligt artikel 18 i dataskyddsförordningen har den registrerade rätt att under vissa förutsättningar kräva att behandlingen av personuppgifter begränsas. Med begränsning avses en markering av lagrade personuppgifter i syfte att begränsa behandlingen av dessa (artikel 4.3 i dataskyddsförordningen). Om den registrerade bestrider att personuppgifterna är riktiga eller har gjort en invändning mot behandling av uppgifterna enligt artikel 21.1 i dataskyddsförordningen, ska den personuppgiftsansvarige begränsa behandlingen uppgifternas riktighet kontrolleras eller en bedömning görs av vems berättigade skäl som väger tyngst, den registrerades eller den personuppgiftsansvariges (artikel 18.1 a och d). Behandlingen ska även begränsas om den är olaglig eller om personuppgifterna inte längre behövs för ändamålen med behandlingen (artikel 18.1 b och c). Att behandlingen ska begränsas innebär enligt artikel 18.2 att personuppgifter inte får behandlas på något annat sätt än att lagras. Undantag görs dock bl.a. för det fall behandlingen sker av skäl som rör ett viktigt allmänintresse. Bestämmelsen i artikel 18.1 d, som reglerar begränsning av behandling när den enskilde har invänt mot behandling, får ingen betydelse vid behandling som är tillåten enligt utlänningsdatalagen, eftersom rätten att invända mot behandling inte föreslås gälla i dessa fall (se nedan). Någon rätt att få behandling begränsad med stöd av artikel 18.1 d kommer därför inte att finnas vid behandling som är tillåten enligt lagen. I de övriga fall som avses i artikel 18.1 innebär dataskyddsförordningen att den registrerade har en rätt att få behandlingen begränsad. Myndigheternas verksamhet inom utlänningsdatalagens tillämpnings- område är dock, som konstateras i avsnitt 5, regelmässigt av allmänt intresse. Att det inte sker några avbrott i myndigheternas verksamhet och ärendehandläggning är enligt regeringens mening ett sådant viktigt allmänintresse som avses i artikel 18.2 i dataskyddsförordningen, som innebär att de tillämpande myndigheterna kan fortsätta att utföra nödvändig personuppgiftsbehandling även om behandlingen har begränsats. Det saknas behov av att införa ytterligare inskränkningar av rätten till begränsning av behandling. Skyldigheten att underrätta tredje man om vidtagna korrigeringsåtgärder I artikel 19 i dataskyddsförordningen finns bestämmelser om under- rättelse till mottagare av personuppgifter om rättelser, raderingar eller begränsningar av behandling. Artikeln motsvarar i huvudsak vad som gäller (28 § personuppgiftslagen och 8 § första stycket 6 utlänningsdatalagen). Det har inte framkommit skäl att i utlänningsdatalagen begränsa denna rättighet. Rätten att göra invändningar mot behandling av personuppgifter Artikel 21 i dataskyddsförordningen reglerar enskildas möjligheter att motsätta sig behandling av personuppgifter. Enligt artikeln ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e (behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning) eller artikel 6.1 f (den allmänna intresseavvägningen). Följden av att en invändning görs enligt artikel 21.1 är att den personuppgifts- ansvarige inte längre får behandla personuppgifterna, såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. För myndigheternas del innebär regleringen att invändningar endast får göras mot behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e). Myndigheter får nämligen inte grunda sin rätt till behandling av personuppgifter på den allmänna intresseavvägningen enligt artikel 6.1 f i dataskyddsförordningen när de fullgör sina uppgifter. Begränsningen innebär också att rätten att göra invändningar inte gäller vid behandling av personuppgifter som är nödvändig exempelvis för att en myndighet ska kunna uppfylla en rättslig förpliktelse (artikel 6.1 c), såsom en skyldighet att föra ett offentligt register. Som nämns inledningsvis i detta avsnitt ges medlemsstaterna genom artikel 23 i dataskyddsförordningen möjlighet att begränsa vissa av förordningens rättigheter och skyldigheter, däribland rätten att göra invändningar enligt artikel 21. Enligt artikel 23.1 får en sådan begränsning göras om den sker med respekt för de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle, bl.a. i syfte att säkerställa andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse. I artikel 23.2 föreskrivs vidare att lagstiftningsåtgärder som avses i punkt 1 ska innehålla specifika bestämmelser åtminstone, när så är relevant, avseende bl.a. ändamålen med behandlingen eller kategorierna av behandling och lagringstiden samt tillgängliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller Prop. 2017/18:254 kategorierna av behandling. Det är av stor betydelse att personuppgifter får behandlas i de aktuella myndigheternas verksamhet oberoende av den registrerades inställning. Den behandling som är tillåten enligt lagen är en förutsättning för att myndigheterna ska kunna utföra sina uppgifter på ett korrekt, rättssäkert och effektivt sätt. Den personuppgiftsansvarige får närmast undantagslöst anses kunna påvisa skäl för fortsatt behandling som väger tyngre än den registrerades intressen i det enskilda fallet. Under sådana förhållanden och för att fullt ut säkerställa förutsättningarna för de aktuella myndigheterna att behandla relevanta personuppgifter bör den registrerade inte ha någon rätt att motsätta sig sådan personuppgifts- behandling som är tillåten enligt lagen. En sådan begränsning får anses utgöra en nödvändig och proportionell åtgärd i syfte att säkerställa ett viktigt mål av generellt allmänt intresse. Utlänningsdatalagen innehåller dessutom specifika bestämmelser om bl.a. ändamålen med behandlingen, de kategorier av uppgifter som får behandlas, sökbegränsningar och gallring. Regleringen innebär en förhållandevis snäv ram för personuppgiftsbehandlingen och minimerar risken för kränkning av den registrerades rättigheter och friheter. Den får därför anses uppfylla de krav som uppställs i artikel 23.2 dataskyddsförordningen. Till skillnad från promemorian anser regeringen således att den registrerades rätt att invända mot den personuppgiftsbehandling som sker enligt utlänningsdatalagen bör begränsas. Det bör därför införas en ny bestämmelse i lagen som anger att rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den. 6.10Överföringar av personuppgifter till tredjeland Regeringens förslag: Det som anges om den registrerades samtycke i bestämmelsen i utlänningsdatalagen om överföringar av person- uppgifter till tredjeland ska tas bort. Regeringens bedömning: Bestämmelsen är i övrigt förenlig med dataskyddsförordningen och kan behållas. Promemorians förslag överensstämmer delvis med regeringens Promemorian föreslår att det i lagen ska införas en upplysning om att sådana överföringar av personuppgifter till tredjeland som avses i 21 § utlänningsdatalagen ska få ske även om det inte finns något beslut om adekvat skyddsnivå enligt artikel 45.3 eller lämpliga skyddsåtgärder enligt artikel 46 i dataskyddsförordningen. föreslår inte att det som anges om den registrerades samtycke i bestämmelsen om överföringar av personuppgifter till tredjeland ska tas Remissinstanserna: framför att tredjelands- överföringar kan ha potentiellt förödande konsekvenser för den registrerade och att det därför finns synnerligen starka skäl att sådana överföringar sker med stor försiktighet. 2017/18:254 tredjelandsöverföringar bara ska vara tillåtna om de är nödvändiga för ett viktigt skäl som rör allmänintresset och att sådana överföringar aldrig ska få ske om det finns en risk för att den registrerade eller någon annan utsätts för övergrepp eller lider annat allvarligt men till följd av överföringen. anser att det bör uppställas tydligare ramar för de aktuella överföringarna och pekar på att personuppgifterna riskerar att i det mottagande landet användas på ett sätt som inte är förenligt med och rättighetsstadgan samt att det för den enskilde kan röra sig om mycket ingripande åtgärder. yttrar sig ingen remissinstans särskilt över förslaget. Skälen för regeringens förslag och bedömning Bestämmelser om överföring av personuppgifter till tredjeland i Bestämmelser om överföring av personuppgifter till tredjeland finns i 8 § första stycket 8 utlänningsdatalagen som hänvisar till 33–35 §§ Av 33 § första stycket personuppgiftslagen framgår att det är förbjudet att föra över personuppgifter som är under behandling till tredjeland om landet inte har en adekvat nivå för skyddet av person- Förbudet gäller också överföring av personuppgifter för behandling i tredjeland. Bestämmelsen i 34 § personuppgiftslagen innehåller undantag från förbudet; överföring av personuppgifter till tredjeland utan adekvat skyddsnivå är t.ex. tillåten om det behövs för fullgörande av vissa avtal eller för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. I förarbetena till utlänningsdatalagen (prop. 2015/16:65 s. 96 ff.) bedömde regeringen att bestämmelserna i personuppgiftslagen om överföring av personuppgifter till tredjeland inte tillgodoser all överföring av personuppgifter som är befogad inom utlänningsdatalagens Som exempel nämndes att myndigheterna kan ha behov av att föra över uppgifter till exempelvis s.k. förtroendeadvokater i tredjeland när utlandsmyndigheter biträder svenska myndigheter med utredning i ärenden. Vidare nämndes sådana utlämnanden som behövs när i ärenden om återvändanden behöver ordna resehandlingar och mottagande i mottagarlandet samt sådana överföringar som i verkställighetsärenden behöver göra till utländska beskickningar för att fastställa en persons identitet eller för att få ut resehandlingar för personen. infördes det i 21 § första stycket utlänningsdatalagen en bestämmelse som innebär att det, trots hänvisningen till 33 § personuppgiftslagen, är tillåtet att även utan den registrerades samtycke föra över personuppgifter till tredjeland om överföringen är absolut nödvändig för de ändamål som anges i 11 § 1 och 2 samt 12 § 1 utlänningsdatalagen, dvs. av ärenden eller biträde i sådana ärenden, kontroll av utlänning samt återsökning av rättslig information. En förutsättning är dock att det inte hindras av sekretess enligt offentlighets- och sekretesslagen (2009:400). 15 § utlänningsdataförordningen föreskrivs att personuppgifter som behandlas för återsökning av rättslig information får föras över till tredjeland endast om uppgifterna inte direkt pekar ut den registrerade. Bestämmelsen i 21 § utlänningsdatalagen bedömdes vara förenlig med dataskyddsdirektivs bestämmelse om undantag från över- föringsförbudet för ett viktigt allmänt intresse (prop. 2015/16:65 s. 98) . Dataskyddsförordningens bestämmelser om överföring av personuppgifter till tredjeland Bestämmelser om under vilka förutsättningar personuppgifter får föras över till tredjeland finns i kapitel V i dataskyddsförordningen. Personuppgifter får föras över till ett tredjeland om kommissionen har beslutat att landet säkerställer en adekvat skyddsnivå för uppgifterna (artikel 45.1). Om ett sådant beslut saknas, får personuppgifter endast föras över till tredjeland efter att lämpliga skyddsåtgärder har vidtagits och under förutsättning att lagstadgade rättigheter och effektiva rättsmedel finns tillgängliga för de registrerade (artikel 46.1). Om det varken finns något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder får personuppgifter endast föras över till ett tredjeland om vissa närmare angivna villkor i artikel 49 är uppfyllda. Det undantag som främst är aktuellt inom utlänningsdatalagens tillämpningsområde framgår av artikel 49.1 d. Enligt bestämmelsen får personuppgifter föras över till tredjeland om det är nödvändigt av viktiga skäl som rör allmänintresset. Detta allmänintresse ska enligt artikel 49.4 vara erkänt i unionsrätten eller i den nationella rätten. Enligt artikel 49.5 får det vidare i medlemsstaternas nationella rätt uttryckligen fastställas gränser för överföringen av specifika kategorier av personuppgifter till ett tredjeland om det saknas beslut om adekvat skyddsnivå. Bestämmelsen i utlänningsdatalagen om överföring av personuppgifter till tredjeland kan behållas