prop · H503105 · 2018-02-20 00:00:00 — Parallellt med detta pågår arbetet med att genomföra det nya dataskyddsdirektivet. Arbetet med att anpassa svensk lagstiftning till den nya EU-regleringen är mycket omfattande och delvis mycket komp- licerat. Regeringen kan nu konstatera att detta arbete inte kommer att vara helt avslutat . När personuppgiftslagen upphör att gälla kommer det således fortfarande att finnas ett antal författningar med hänvisningar till personuppgiftslagen som ännu inte har hunnit ändras. I huvudsak förekommer det två olika slag av så kallade registerför- fattningar. Det vanligaste är att sådana författningar gäller utöver person- uppgiftslagen, vilket innebär att personuppgiftslagen gäller om inte annat 2017/18:105 anges i den särskilda författningen. Det finns dock även registerförfatt- ningar som gäller i stället för personuppgiftslagen. I båda dessa fall inne- håller författningarna hänvisningar till personuppgiftslagen eller till vissa bestämmelser i denna. Således anges t.ex. i studiestödsdatalagen att personuppgiftslagen tillämpas vid behandling av personuppgifter i Centrala studiestöds- nämndens studiestödsverksamhet, i den mån den lagen innehåller bestämmelser om behandling av personuppgifter som saknar motsvarig- het i studiestödsdatalagen. I patientdatalagen anges på motsvarande sätt att personuppgiftslagen gäller om inte annat följer av patientdatalagen eller föreskrifter som meddelats med stöd av den lagen. datalagen (2016:27) och polisdatalagen utgör däremot exempel på författningar som gäller i stället för personuppgiftslagen. författningar ska endast vissa särskilt angivna bestämmelser i person- Det finns också författningar om behandling av personuppgifter som är heltäckande och därmed fristående från person- Lagen om behandling av personuppgifter inom Försvars- maktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och lagen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet är exempel på sådana Författningar som hänvisar till personuppgiftslagen innehåller bestäm- melser som specificerar, kompletterar eller gör undantag från person- När dataskyddsförordningen börjar tillämpas kommer dessa bestämmelser i praktiken i stället att utgöra kompletterande bestämmelser till förordningen. Eftersom vissa författningar som hän- visar till personuppgiftslagen inte kommer att hinna ändras innan data- skyddsförordningen ska börja tillämpas, kommer sådana författningar fortfarande att hänvisa till personuppgiftslagen . finns ett behov av att klargöra hur sådana hänvisningar ska tolkas, efter- som det annars kan uppstå tillämpningsproblem. I värsta fall skulle författningar med hänvisningar till personuppgiftslagen kunna tolkas som att personuppgiftsbehandlingen delvis är oreglerad, med brister i integri- tetsskyddet som följd. Regeringen delar därför utredningens bedömning om att det behövs någon form av övergångsreglering. Utredningen föreslår att personuppgiftslagen ska fortsätta gälla i den utsträckning som det i en annan lag eller förordning finns bestämmelser som innehåller hänvisningar till den lagen. Denna typ av övergångs- bestämmelse används även i den nya förvaltningslagen. Hovrätten för , Datainspektionen och , invänder mot utredningens förslag och påpekar att dataskyddsförordningen ska tillämpas . par remissinstanser, bl.a. , förutser normkonflikter. Regeringen kan dock konstatera att de sektorsspecifika författningarna som det nu är fråga om i princip uteslutande avser sådan behandling av personuppgifter som utförs på grundval av rättsliga förpliktelser, uppgifter av allmänt intresse eller som ett led i myndighetsutövning. dessa områden har medlemsstaterna enligt dataskyddsförordningen i stort sett samma utrymme att införa eller behålla nationella bestämmelser om behandlingen som enligt dataskyddsdirektivet. uppgiftslagen som de sektorsspecifika författningarna hänvisar till motsvaras också i allt väsentligt av bestämmelser i dataskyddsförord- ningen. Mot denna bakgrund bedömer regeringen att risken är mycket liten för att normkonflikter ska uppstå under den korta tid som över- gångsbestämmelsen behövs. Däremot finns det i dataskyddsförordningen bestämmelser som saknar motsvarighet i personuppgiftslagen, t.ex. rörande anmälan av personuppgiftsincidenter, krav på konsekvens- bedömning och sanktionsavgifter. Dessa bestämmelser ska givetvis tillämpas , även om behandlingen också omfattas av bestämmelser i en registerförfattning som hänvisar till personuppgiftslagen. Någon normkonflikt uppstår inte heller i dessa avseenden. Det finns mot denna bakgrund inte skäl att, som Pensions- myndigheten föreslår, uttryckligen ange i övergångsbestämmelsen att personuppgiftslagen ska tillämpas endast så länge dess bestämmelser inte står i strid med förordningen. Regeringen har övervägt om övergångsbestämmelsen bör utformas på det sätt som Hovrätten för förordar, dvs. att bestäm- melserna i dataskyddsförordningen ska tillämpas i stället för de bestäm- melser i personuppgiftslagen som en viss hänvisning avser. Regeringen anser emellertid att den typen av bestämmelser bör undvikas (Gröna boken – Riktlinjer för författningsskrivning, Ds 2014:1 s. 111–112). Vidare anser regeringen att det saknas skäl att tidsbegränsa övergångs- bestämmelsens giltighet, som i län föreslår, eftersom denna med automatik kommer att sakna betydelse när samtliga författningar som innehåller hänvisningar till personuppgiftslagen har ändrats. Sammanfattningsvis anser regeringen således, i likhet med utred- ningen, att det bör införas en övergångsbestämmelse som anger att personuppgiftslagen fortfarande gäller i den utsträckning som det i en annan lag eller en förordning finns bestämmelser som innehåller hän- visningar till den lagen. Ärendehandläggning och överklagande av beslut En utgångspunkt i förordningen är som nämns ovan att behandling som pågår den dag då förordningen börjar tillämpas ska ha bringats i överens- stämmelse med förordningen. Personuppgiftsansvariga och person- uppgiftsbiträden får därför förutsättas ha ordnat sin behandling så att exempelvis en begäran om information från en registrerad som inkommit men inte hunnit besvaras före kan tillmötesgås i enlighet med förordningens bestämmelser. Även tillsynsmyndighetens verksamhet bör i möjligaste mån ha anpassats till förordningens regel- verk . Tillsynsärenden kan dock pågå och det är inte självklart att tillsynsmyndigheten helt kan styra över när underlaget är så fullständigt att beslut i ärendet kan fattas. Utredningen föreslår mot denna bakgrund en övergångsbestämmelse om att ärenden som har inletts hos Datainspektionen före ikraftträdandet av dataskyddslagen men som ännu inte har avgjorts, ska handläggas enligt person- uppgiftslagen. Datainspektionen invänder dock mot detta förslag och anför att behandling av personuppgifter i de allra flesta fall är en pågående aktivi- tet samt att pågående behandling ska bedömas enligt regleringen i data- skyddsförordningen . Regeringen bedömer mot denna bakgrund att det inte finns skäl att införa någon sådan över- gångsbestämmelse som utredningen föreslår. Det bör dock noteras att personuppgiftslagen i vissa fall ändå kommer att vara tillämplig även hos Datainspektionen, nämligen vid tillsyn över behandling av person- uppgifter som fortfarande regleras av personuppgiftslagen eller författ- ningar som hänvisar till personuppgiftslagen, se föregående avsnitt. Utredningen föreslår vidare en övergångsbestämmelse om att äldre föreskrifter fortfarande gäller för överklagande av beslut som har meddelats med stöd av personuppgiftslagen. Regeringen anser i likhet med utredningen att en sådan övergångsbestämmelse behövs, vilket inte heller ifrågasätts av remissinstanserna. Som Förvaltningsrätten i påpekar bör dock uttrycket äldre föreskrifter inte användas, eftersom detta skulle kunna tolkas som att det tar sikte på föreskrifter i andra författningar än den som upphävs genom dataskyddslagen. I stället bör det av övergångsbestämmelsen framgå att den upphävda lagen, dvs. personuppgiftslagen, fortfarande gäller för överklagande av beslut som har meddelats med stöd av den lagen. Motsvarande övergångsbestäm- melse bör införas avseende anslutande författningar till personuppgifts- lagen, dvs. personuppgiftsförordningen och Datainspektionens före- skrifter. I 48 § PUL finns bestämmelser om skadeståndsskyldighet för person- uppgiftsansvariga och möjlighet att jämka sådan skadeståndsskyldighet i vissa fall. Genom dataskyddsförordningen utvidgas skadeståndsansvaret till att gälla även personuppgiftsbiträden. Vidare gäller rätten till skadestånd enligt dataskyddsförordningen även vid skada som uppstått på grund av överträdelser av dataskyddslagen och andra föreskrifter som kompletterar dataskyddsförordningen. Utredningen föreslår en övergångsbestämmelse som anger att äldre föreskrifter om skadestånd fortfarande ska gälla för skada som har orsakats före ikraftträdandet. Det följer emellertid redan av allmänna grundsatser att ny lagstiftning ska gälla i fråga om skadestånd med anledning av skadefall som inträffar efter ikraftträdandet, medan äldre lag ska tillämpas på skadefall som har inträffat (prop. 1972:5 s. 593). Någon särskild övergångsbestämmelse om detta behövs inte. Utredningens förslag i denna del bör därför inte genomföras. Eftersom förslaget innebär att den straffrättsliga regleringen upphävs och i praktiken ersätts med sanktionsavgifter, uppkommer frågan om vad som ska gälla för straffbelagda gärningar som har begåtts vid behandling som har upphört före men där överträdelsen inte har lagförts innan de nya reglerna ska börja tillämpas. Vid bedömningen av behovet att meddela övergångsbestämmelser för den nu nämnda situationen behöver bestämmelserna i såväl 2 kap. 10 § RF som 5 § andra stycket lagen (1964:163) om införande av beaktas. I 2 kap. 10 § RF finns ett förbud mot retroaktiv straff- och Prop. 2017/18:105 skattelagstiftning. Förbudet mot retroaktiv skattelag anses analogivis tillämpligt beträffande straffliknande administrativa påföljder. Att ta ut sanktionsavgifter för överträdelser som begåtts före skulle således kunna strida mot retroaktivitetsförbudet. Av 5 § andra stycket lagen om införande av framgår att straff ska bestämmas enligt den lag som gällde när gärningen företogs. Detta är dock inte fallet om annan lag gäller när dom meddelas, under förutsättning att den nya lagen leder till frihet från straff eller till lind- rigare straff. Denna bestämmelse har enligt förarbetena generell räckvidd, dvs. den gäller även utanför tillämpningsområde (prop. 1964:10 s. 99). Bestämmelsen ger uttryck för den lindrigaste lagens princip. Bestämmelserna i dataskyddsförordningen och dataskyddslagen innebär att överträdelser av den gällande dataskyddsregleringen överförs från det straffrättsliga området till ett system med enbart sanktions- avgifter. Formellt sett får sanktionsavgiften anses lindrigare och borde därmed få genomslag bakåt i tiden. Huvudsyftet med dataskyddsförord- ningens och dataskyddslagens system med kraftfulla sanktionsavgifter är emellertid framför allt att effektivisera sanktionssystemet. Att över- trädelser mot dataskyddsregleringen föreslås avkriminaliseras ska inte ses som ett uttryck för att överträdelserna ska bedömas lindrigare . Regeringen anser därför, i likhet med utredningen och till skillnad från Datainspektionen, att lindrigaste lagens princip inte gör sig särskilt starkt gällande i detta fall. Det finns därför inte skäl att låta systemet med sanktionsavgifter få retroaktiv effekt. För ett liknande resonemang rörande sanktionsväxling, se prop. 2007/08:107 och prop. 2012/13:143 s. 82. Personuppgiftslagens straffbestämmelse bör i stället tillämpas på överträdelser som skett före dataskyddslagens ikraft- trädande. Beslut om behandling av personuppgifter som rör lagöverträdelser Av 21 § fjärde stycket PUL och 9 § PUF följer att Datainspektionen får meddela beslut i enskilda fall om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. I avsnitt 11 föreslår regeringen att den myndighet som regeringen bestämmer på motsvarande sätt ska ges befogenhet att i enskilda fall besluta att andra än myndigheter får behandla sådana uppgifter som avses i artikel 10 i dataskyddsförord- ningen, dvs. personuppgifter som rör lagöverträdelser. Svensk Försäkring anser att en övergångsbestämmelse bör övervägas som klargör att nu gällande tillstånd att behandla sådana personuppgifter gäller även fort- sättningsvis. Regeringen är av samma uppfattning. Det bör således av tydlighetsskäl införas en övergångsbestämmelse till dataskyddslagen som anger att beslut i enskilda fall avseende behandling av personuppgifter som rör lagöverträdelser och som har meddelats med stöd av person- uppgiftslagen fortfarande ska gälla. 2017/18:105 19 Ekonomiska konsekvenser för det allmänna Regeringens bedömning: Förslagen innebär att tillsynsmyndigheten och de allmänna förvaltningsdomstolarna får något fler arbetsupp- gifter, men kostnadsökningarna kommer inte att bli större än att de ryms inom de befintliga anslagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser instämmer i utredningens bedömning eller kommenterar den inte. rätt anser att det är svårt att närmare se vilka konsekvenser förslaget kommer att få för domstolarna innan det står klart hur domstolarnas registerförfattningar kommer att anpassas. påpekar att förslagen troligtvis kommer att medföra en ökad måltill- Förvaltningsrätten i anser att arbetsuppgifterna kommer att öka för förvaltningsrätterna, även om måltillströmningens omfattning kan vara svår att uppskatta. att genomförandet av förslaget kommer att bli mer resurskrävande än vad genomförandet av ny lagstiftning normalt sett är och att det därför framstår som mycket tveksamt om genomförandet ryms inom de berörda vill framhålla det problematiska i att det inte i något sammanhang görs en samlad bedömning av de konsekvenser som reformen i sin helhet medför. instämmer i utredningens bedömning att dataskyddsförordningens direkt tillämpliga bestämmelser och tillhörande nationella regler kan förväntas öka kostnaderna för personuppgiftsansvariga myndigheter. myndigheten anser att det är rimligt, eftersom förordningen leder till ökad rättssäkerhet och förutsebarhet för enskilda. måste dock enligt beaktas när och regeringen beslutar om budget och medel för myndigheterna, eftersom annan verksamhet annars konkurreras ut. att förslaget om verkställighet av sanktionsavgifter sannolikt medför en viss ökning av Kronofogdens utsökningsärenden och kan därför medföra kostnadsökningar för myndigheten. att nämnden inte kommer att ha några direkta kostnader kopplade till utredningens förslag, vid sidan av den risk som gäller generellt för myndigheterna att påföras sanktionsavgift. Däremot menar nämnden att översynen och anpassningen av verksamhetens system och organisation efter dataskyddsförordningens krav kommer att medföra kostnader för bedömer att de nya reglerna kan komma att ha stora och svårförutsägbara konsekvenser för svensk offentlig anser att det hade varit värdefullt om reglernas innebörd och konsekvenser för svenska myndigheter hade utretts redan under arbetet med den nya regleringen. kommun anser att dataskyddsförordningen och de kompletterande nationella bestämmelserna kan medföra ökade kostnader, men att flesta kostnaderna är relaterade till genomförandet av dataskyddsförordningen. De anser dock att det finns viss risk för ökade kostnader när det gäller möjligheten att ta ut höga sanktionsavgifter av myndigheter. instämmer i bedömningen att det är dataskyddsförordningen och inte det aktuella lagförslaget som kommer att medföra ökad administra- tion och kostnader för kommunen. kommun anser att det är en brist att utredningen inte har haft i uppdrag att utreda vilka konsekvenser dataskyddsförordningen kommer att innebära för det allmänna. Skälen för regeringens bedömning: Som flera av remissinstanser påpekar, bl.a. , och , står det klart att dataskyddsförordningens direkt tillämpliga bestämmelser kommer att leda till vissa konsekvenser för det allmänna. Förordningens bestämmelser kan bl.a. komma att öka kostnaderna för myndigheter i form av ökad administration och ökade kostnader initialt för anpassning av befintliga it-system. Det kommer också att krävas ökade resurser till utbildningsinsatser och eventuellt nyrekryteringar till tjänster som dataskyddsombud. Konsekvenserna av dataskyddsförordningens direkt tillämpliga bestämmelser behandlas dock inte i detta lagstiftningsärende. anser att det är problematiskt att det inte i något sammanhang görs en samlad bedömning av de konsekvenser som reformen i sin helhet medför. Liknande synpunkter lämnas av bl.a. kommun. Regeringen kan dock konstatera att någon sådan samlad konsekvensanalys inte går att utföra i ett enskilt lagstiftnings- ärende. Flertalet nationella bestämmelser som kompletterar dataskydds- förordningen kommer att finnas i de sektorsspecifika författningarna om behandling av personuppgifter och det är först när samtliga förslag till anpassningar av dessa författningar har lagts fram som det skulle vara möjligt att göra en samlad bedömning. Värdet av en sådan bedömning skulle dessutom kunna ifrågasättas, eftersom det bara kommer att vara dataskyddslagen som, vid sidan av dataskyddsförordningen, gäller för samtliga myndigheter. Utredningen bedömer att förslagen medför nya arbetsuppgifter för tillsynsmyndigheten och de allmänna förvaltningsdomstolarna. Flera av dessa nya arbetsuppgifter är emellertid kopplade till utredningens förslag om åtgärder vid tillsynsmyndighetens dröjsmål. Eftersom regeringen inte föreslår att dessa förslag ska genomföras uppstår inga nya arbetsuppgifter för tillsynsmyndigheten och domstolarna i den delen. Däremot föreslår regeringen, i enlighet med utredningens förslag, att det genom lagen ska införas en möjlighet för tillsynsmyndigheten att påföra en myndighet sanktionsavgifter. I likhet med utredningen anser dock regeringen att sådana beslut får antas bli sällsynta. Det beror dels på att myndigheter i regel kan förväntas anpassa verksamheten efter tillsyns- myndighetens synpunkter utan att det krävs repressiva åtgärder, dels på att sanktionsavgift är den åtgärd som tillsynsmyndigheten bör välja som sista alternativ. Det bör därför inte påverka tillsynsmyndighetens arbets- börda i någon större utsträckning. Förslaget innebär även att sanktionsavgifter ska kunna påföras vid överträdelser av artikel 10 i dataskyddsförordningen, dvs. vid behandling av personuppgifter som rör lagöverträdelser. För tillsynsmyndighetens del utgör detta en ny arbetsuppgift i förhållande till vad som följer av dataskyddsförordningen. Regeringen vill dock betona att tillsyns- myndigheten också enligt personuppgiftslagen har möjlighet att vidta 2017/18:105 åtgärder mot den personuppgiftsansvarige vid behandling av personupp- gifter som rör lagöverträdelser. Det bör särskilt noteras att tillsyns- myndigheten enligt personuppgiftslagen har möjlighet att förena före- lägganden med vite, en möjlighet som försvinner och ersätts med systemet med sanktionsavgifter. Sammanfattningsvis anser regeringen att kostnaderna för tillsynsmyndigheten bör rymmas inom befintliga anslagsramar såvitt avser förslagen i detta lagstiftningsärende. I det sammanhanget kan nämnas att Datainspektionens anslag har ökats med anledning av dataskyddsförordningen (prop. 2017/18:1 utgiftsområde 1, del 9). Eftersom sanktionsavgifterna kan vara ekonomiskt kännbara är det rimligt att utgå från att inspektionens beslut kommer att överklagas till allmän förvaltningsdomstol i relativt stor utsträckning. Det faktum att sådana beslut mot myndigheter förväntas bli ovanliga innebär dock att även överklagandena bör bli sällsynta. Det är svårt att uppskatta hur vanligt det kommer att bli att tillsynsmyndigheten beslutar om sanktions- avgifter vid överträdelser av artikel 10, men sannolikt kommer det inte bli fråga om särskilt många beslut . Däremot kan det antas att dessa mer eller mindre regelmässigt kommer att överklagas till allmän förvalt- ningsdomstol. Som nämns ovan har tillsynsmyndigheten enligt personuppgiftslagen möjlighet att förena förelägganden med vite. Vid utdömande av sådana viten krävs domstolsprövning enligt viteslagen. Eftersom möjligheten att vitesförelägga försvinner enligt regeringens förslag, kommer mål om utdömande av sådana viten inte längre att förekomma i allmän förvalt- ningsdomstol. Med tanke på att tillsynsmyndigheten inte har utnyttjat sin möjlighet att vitesförelägga enligt personuppgiftslagen och det ännu är oklart i vilken mån sanktionsavgifter kommer att tillgripas i motsvarande situationer, kan det dock inte uteslutas att domstolarnas arbetsbelastning ändå kan komma att öka något. Kostnaderna för de allmänna förvalt- ningsdomstolarna bör emellertid rymmas inom befintliga anslagsramar såvitt avser förslagen i detta lagstiftningsärende. Ekonomiska konsekvenser för enskilda Regeringens bedömning: Förslagen medför inga nya kostnader eller någon ökad administrativ börda för enskilda. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser instämmer i utredningens bedömning eller kommenterar den inte. inte att det finns något som talar emot utredningens bedömning. Företagarna anser att införandet av dataskyddsförordningen kommer att få stora konsekvenser för företag, men att de förslag som utredningen föreslår är en försumbar del av dessa konsekvenser. det är viktigt att tillämpningen följs upp så att inte mindre företag slås ut från branscher där det är en omfattande behandling av personuppgifter på grund av kraven på konsekvensbedömningar m.m. vidare att många ideella föreningar kommer att drabbas av ökade krav vad gäller hanteringen av personuppgifter. anser att utredningen inte har följt kommittédirektiven beträffande konsekvensbeskrivningar där utredaren särskilt ska ange konsekvenserna för företagen i form av kostnader och administrativa bördor. Vidare menar förbundet att utredningen inte tydligt har redovisat hur förslagen utformats så att företagens administrativa börda inte ökar mer än nödvändigt. Införandet av en ny dataskyddslag är sammankopplat med dataskyddsförordningen och det finns enligt förbundet en stor oro bland landets små företag beträffande denna. För att små företag ska kunna säkerställa att göra rätt uppstår det kostnader för utbildning av personal, utbildning för personuppgiftsbiträde samt översyn och nya rutiner beträffande registerhantering, vilket enligt förbundet borde ha behandlats i konsekvensavsnittet. Några instanser, bl.a. Svenskt friluftsliv, Svenska och , anser att det är anmärkningsvärt att lagförslagens inverkan på föreningar och civil- samhället inte nämns av utredningen. anser att utredningens slutsats att förslagen inte medför några kostnader eller någon ökad administrativ börda för företagen är felaktig och att betänkandets konsekvensanalys behöver kompletteras. Nämnden menar bl.a. att negativa konsekvenser för företag som en följd av den befintliga sekretessregleringen hos tillsynsmyndigheten behöver utredas och att alternativet med absolut sekretess behöver övervägas och konsekvensutredas. Skälen för regeringens bedömning: Som flera av remissinstanser påpekar, bl.a. Företagarna, , Svenskt friluftsliv och , står det klart att dataskydds- förordningens direkt tillämpliga bestämmelser kommer att leda till vissa konsekvenser för företag, ideella föreningar och andra enskilda organ. Förordningens bestämmelser kan i vissa fall förväntas leda till ökade kostnader för administration och för anpassning av befintliga it-system.