prop · H503120 · 2018-03-06 00:00:00 — Dataskyddsförordningen ger dock ett förhållandevis stort utrymme att behålla eller införa särregleringar för sådan personuppgiftsbehandling som är nödvändig för att den som är personuppgiftsansvarig ska kunna uppfylla en rättslig skyldighet, utföra en uppgift av allmänt intresse eller behandla uppgifter i samband med myndighetsutövning. Hänvisningar i olika författningar till personupp- giftslagen behöver också tas bort. Kreditupplysningslagen (1973:1173) innehåller regler för kreditupplys- ningsverksamhet som bedrivs yrkesmässigt. Lagen syftar främst till att undanröja risker för att kreditupplysningar ska medföra otillbörligt in- trång i enskildas personliga integritet. är den avsedd att bidra till en effektivt fungerande kreditupplysningsverksamhet. Kreditupplysningslagen gäller för kreditupplysningar om både fysiska och juridiska personer. Lagen är inte en heltäckande reglering – även personuppgiftslagen kan vara tillämplig i kreditupplysningsverksamhet. Kreditupplysningar om fysiska personer utgör som regel personuppgifter. Personuppgiftslagens reglering av behandlingen av sådana uppgifter är därför tillämplig, om inte något annat följer av kreditupplysningslagen. I kreditupplysningslagen finns också ett antal bestämmelser som reglerar förhållandet mellan kreditupplysningslagen och personuppgiftslagen. Med kreditupplysningar avses enligt kreditupplysningslagen uppgifter, omdömen eller råd som lämnas till ledning för bedömning av någon annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hän- seende. En kreditupplysning består främst av ekonomisk information, såsom uppgifter om inkomster, fastighetsinnehav och betalningsför- summelser. Även andra uppgifter kan ingå, t.ex. uppgifter om civilstånd. Några beslut om kredit fattas inte i kreditupplysningsverksamhet. Även om en kreditgivares beslut grundas enbart på automatiserad behandling av uppgifter som är avsedda för att bedöma en persons kreditvärdighet, 2017/18:120 är det inte i kreditupplysningsverksamheten som beslutet fattas (jfr Ds 1998:44 s. 43). Kreditupplysningslagen ställer upp vissa grundläggande krav på hur verksamheten ska bedrivas. Särskilda och strängare regler gäller för känsliga uppgifter, t.ex. uppgifter om etniskt ursprung, hälsa och lagöver- trädelser som innefattar brott. För uppgifter om fysiska personer som inte är näringsidkare uppställs en frist för när gallring senast ska ske. När en kreditupplysning om en fysisk person lämnas, ska den omfrågade få en kreditupplysningskopia. Var och en har också rätt att få besked om vilka uppgifter som finns registrerade om honom eller henne och att få fel- aktiga eller missvisande uppgifter rättade. I kreditupplysningslagen finns även bestämmelser om skadestånd och straff för överträdelser av vissa bestämmelser. Sådan kreditupplysningsverksamhet som omfattas av lagen får som regel bedrivas endast efter tillstånd av Datainspektionen. Datainspektionen utövar också tillsyn över efterlevnaden av kredit- upplysningslagen. 6En anpassning till dataskyddsförordningen 6.1Förhållandet mellan nationell reglering och dataskyddsförordningen Regeringens förslag: Det ska föreskrivas i kreditupplysningslagen att lagen, i den del den avser behandling av personuppgifter, innehåller kompletterande bestämmelser till EU:s dataskyddsförordning och att, vid sådan behandling av personuppgifter som omfattas av dataskydds- förordningen, gäller även den föreslagna dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av kreditupplysningslagen eller föreskrifter som rege- ringen har meddelat i anslutning till lagen. Promemorian innehåller inte något förslag som motsvarar rege- Remissinstanserna: Datainspektionen anser att det är viktigt att det tydligt framgår av den nationella personuppgiftsregleringen – särskilt kreditupplysningslagen – att den kompletterar dataskyddsförordningen. Inspektionen efterfrågar också ytterligare analys av dataskyddsförordnin- gens förhållande till yttrande- och informationsfriheten, så som den kom- mer till uttryck i kreditupplysningslagen. Skälen för regeringens förslag: Dataskyddsförordningen blir bin- dande och direkt tillämplig i . Förordningen ska därför inte genomföras i svensk rätt. Det krävs dock att svenska författningar komp- letteras, ändras eller upphävs för att säkerställa både att förordningen får ett effektivt genomslag och att svensk rätt inte strider mot förordningen. Syftet med förslagen i propositionen är att i nyssnämnda avseenden anpassa lagar på familjerättens och den allmänna förmögenhetsrättens områden till den nya förordningen. Anpassningen ska mynna ut i att de nationella regleringarna uppfyller ett mål av allmänt intresse och är proportionella mot de legitima mål som eftersträvas (artikel 6.3 i förord- ningen). En utgångspunkt för anpassningen bör enligt regeringen vara att personuppgiftsbehandling som är laglig – om det är möjligt – ska vara det även . I de avseenden dataskyddsförordningens reg- lering inte innebär någon saklig ändring i förhållande till dataskydds- direktivet och det har bedömts att svenska regler är förenliga med direktivet bör utgångspunkten vara att gällande regelverk inte bör förändras i sak. Den generella dataskyddsregleringen kommer inte bara att finnas i dataskyddsförordningen utan även i kompletterande nationella författ- ningar. Regeringen föreslår i prop. 2017/18:105 kompletterande lag- bestämmelser till EU:s dataskyddsförordning, som även upphäver personuppgiftslagen. Hänvisningar till personuppgiftslagen behöver därför tas bort eller ersättas av hänvisningar till dataskyddsförordningen. I den ovan nämnda propositionen konstateras vidare att den EU-rättsliga dataskyddsregleringen inte inkräktar på området för tryckfrihetsförord- ningen och yttrandefrihetsgrundlagen (se s. 40–43 och 1 kap. 7 § första stycket i den föreslagna dataskyddslagen). Bedömningarna i förevarande proposition (se avsnitt 6.6 och 6.7) utgår från de överväganden som görs där. Synpunkten från Datainspektionen om behovet av ytterligare analys av förhållandet mellan dataskyddsförordningen och den grundlagsfästa yttrande- och informationsfriheten behandlas därför inte ytterligare här. Den författning på familjerättens och den allmänna förmögenhets- rättens områden som i störst utsträckning berörs av dataskyddsreformen och förslagen i denna proposition är kreditupplysningslagen. Lagen innehåller flera bestämmelser som genomför dataskyddsdirektivet i svensk rätt. Lagen reglerar inte personuppgiftsbehandling heltäckande – även personuppgiftslagen är tillämplig i kreditupplysningsverksamhet. När dataskyddsförordningen börjar tillämpas, kommer förordningens bestämmelser att gälla oberoende av om förhållandet till förordningen regleras i nationella författningar. Något behov av att i varje författning införa en upplysningsbestämmelse som klargör förhållandet till data- skyddsförordningen finns inte enligt regeringen. Som Datainspektionen framhåller ökar dock risken att en enskild tillämpare felaktigt uppfattar att den nationella författningen är det primära regelverket på området, om författningen – i likhet med kreditupplysningslagen – reglerar många frågor om personuppgiftsbehandling. För att tydliggöra kreditupplys- ningslagens förhållande till dataskyddsförordningen och undvika miss- förstånd bör det därför införas en bestämmelse i lagen som klargör att den innehåller kompletterande bestämmelser till dataskyddsförordningen. Det bör även föreskrivas att vid behandling av personuppgifter som omfattas av dataskyddsförordningen gäller även dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av kreditupplysningslagen eller föreskrifter som regeringen har meddelat i anslutning till denna lag (jfr 1 kap. 6 § i den föreslagna dataskyddslagen). I samband med att dataskyddsdirektivet genomfördes gjordes bedöm- ningen att även om kreditupplysningslagen inte innehåller en fullständig 2017/18:120 personuppgiftsreglering, bör det eftersträvas att lagen reglerar frågor som är av särskild betydelse för kreditupplysningsverksamhet (se prop. 2000/01:50 s. 14). Den föresats som då gällde bör – så långt det är möj- ligt – gälla även nu när lagen ska anpassas till dataskyddsförordningen. I den mån dataskyddsförordningen tillåter det bör därför kreditupplys- ningslagen innehålla regler av särskild betydelse för kreditupplysnings- verksamheten. Kreditupplysningslagen bör alltså i fortsättningen stå i en i många avseenden liknande relation till dataskyddsförordningen som lagen gjort till personuppgiftslagen. Förordningen har dock – som Datainspektionen uppmärksammar – givetvis företräde framför lagen vid en eventuell normkonflikt. Även i övrigt bör kreditupplysningslagens struktur så långt det är möjligt behållas. Det innebär att när lagen reglerar behandling av uppgifter om juridiska personer, bör det – antingen genom en direkt reglering eller genom en hänvisning till dataskyddsförordning- en – klargöras vad som gäller för behandling av uppgifter om fysiska personer. De hänvisningar till dataskyddsförordningen som föreslås i denna proposition bör, liksom den befintliga hänvisningen till en annan EU- förordning i 11 § andra stycket kreditupplysningslagen, vara dynamiska till sin karaktär, dvs. avse förordningarna i den gällan- de lydelsen. Hänvisningarna kommer alltså att omfatta eventuella ändringar i dataskyddsförordningen. Det hindrar dock inte att de hän- visande bestämmelserna ändå kan behöva ändras i samband med fram- tida ändringar i förordningarna, om förordningarnas innehåll då ändras i sak. En fastställd rättslig grund för behandling av Regeringens bedömning: Bestämmelserna i dataskyddsförord- ning om att vissa rättsliga grunder för behandling av personuppgifter ska vara fastställda i unionsrätten eller den nationella rätten kräver inga ändringar i kreditupplysningslagen eller andra lagar på familje- rättens och den allmänna förmögenhetsrättens områden. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser delar promemorians be- dömning eller lämnar den utan invändning. särskilt när det gäller behandling som sker inom ramen för statliga och kommunala myndigheters verksamhet, ett tydligare utpekande av vilka rättsliga grunder som behandlingen av personuppgifter grundar sig på. Inspektionen efterfrågar även en analys av att lagstiftningen är pro- portionell mot det legitima mål som eftersträvas. bl.a. , Svensk Inkasso och CreditSafe i – framför att det bör klargöras i kreditupplysningslagen och inkassolagen att bedrivandet av kreditupplysnings- respektive inkassoverksamhet är uppgifter av allmänt intresse. och – ifrågasätter dock om bedrivandet av kreditupp- lysningsverksamhet kan anses utgöra en uppgift av allmänt intresse. anser att det inte är helt klart vad som omfattas av det begreppet och att frågan skulle behöva utredas ytterligare. Skälen för regeringens bedömning: Dataskyddsförordningen utgår från att varje behandling av personuppgifter ska vila på en rättslig grund (artikel 6). Att den registrerade har samtyckt till personuppgiftsbehand- lingen är en sådan rättslig grund. Behandlingen är också rättsligt grundad om den är nödvändig för att fullgöra ett avtal som den registrerade är part i eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. Detsamma gäller om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som vilar på den som är person- uppgiftsansvarig, eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Det finns även rättslig grund om behandlingen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade eller en annan fysisk person eller för ändamål som rör ett berättigat intresse. Det sistnämnda gäller dock bara under förutsättning att inte den registrerades intressen eller grund- läggande rättigheter och friheter väger tyngre och kräver ett skydd av personuppgifterna. Dataskyddsförordningens artikel 6 motsvarar i många avseenden arti- kel 7 i dataskyddsdirektivet och 10 § personuppgiftslagen. En väsentlig skillnad är att den rättsliga grunden om behandling för ändamål som rör ett berättigat intresse enligt förordningen inte gäller för behandling som utförs av myndigheter (artikel 6.1 andra stycket). En annan betydelsefull skillnad är att det i förordningen ställs upp krav på att vissa rättsliga grunder för behandling ska vara fastställda i unionsrätten eller den nationella rätten (artikel 6.3 första stycket). Det nya kravet gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse som den som är personuppgiftsansvarig har (artikel 6.1 c). Det gäller även behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e). Kravet innebär alltså att de nyssnämnda rättsliga grunderna – rättslig för- pliktelse, allmänt intresse och myndighetsutövning – ska vara fastställda i unionsrätten eller den nationella rätten för att kunna läggas till grund för personuppgiftsbehandling. Det innebär däremot inte att det krävs en särskild reglering med anledning av att dataskyddsförordningen börjar tillämpas. Vilken rättslig grund en behandling vilar på har betydelse för hur en verksamhet får regleras. Om personuppgiftsbehandlingen är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning, ger dataskydds- förordningen medlemsstaterna visst utrymme att i nationell lagstiftning behålla eller införa specifika bestämmelser för att anpassa tillämpningen av förordningen (artikel 6.2 och 6.3 andra stycket). Det är alltså möjligt att i angivna situationer på nationell nivå föreskriva särskilda krav som ska gälla för behandlingen. Den rättsliga grund som en behandling vilar på får därmed avgörande betydelse för om nationella bestämmelser som reglerar personuppgiftsbehandling i en verksamhet kan behållas. Den för- fattning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter enligt dataskyddsförordningen måste uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3). Regeringen föreslår i prop. 2017/18:105 bestämmelser som anger hur de rättsliga grunderna i artikel 6.1 c och e i förordningen ska vara fast- ställda för att utgöra en rättslig grund för behandling av personuppgifter (2 kap. i den föreslagna dataskyddslagen). I propositionen utvecklas även regeringens bedömningar i fråga om statliga och kommunala myndig- heters verksamhet och uppgifter samt innebörden av förordningens krav Datainspektionen vill se ett tydligare utpekande av de rättsliga grun- derna för statliga och kommunala myndigheters verksamhet på familje- rättens och den allmänna förmögenhetsrättens områden. Det är inte möj- ligt att ange samtliga författningsbestämmelser som kan utgöra grund för en personuppgiftsbehandling i sådan verksamhet. dock att myndighetsutövning i inte kan ske utan författningsstöd. Det kan därför förutsättas att den rättsliga grunden för personuppgifts- behandling som sker som ett led i myndighetsutövning är fastställd på det sätt som dataskyddsförordningen kräver. Detsamma gäller när den rätts- liga grunden är en rättslig förpliktelse som en myndighet eller en enskild har och som kräver personuppgiftsbehandling. framgår redan av eller meddelas med stöd av författning. rättsliga förpliktelser på familjerättens och den allmänna förmögen- hetsrättens områden är kraven att ska föra ett äktenskaps- register (16 kap. 1 § ) och att ska föra ett konkursregister (15 kap. 5 § konkurslagen). De uppgifter som statliga och kommunala myndigheter getts i uppdrag att utföra får dessutom an- ses vara av allmänt intresse. Myndigheters verksamhet och uppdrag är vidare enligt regeringen reglerade på ett sådant sätt att dataskyddsför- ordningens krav på att grunden för behandlingen ska vara fastställd är uppfyllt (jfr skäl 41). Ett exempel på en lag på familjerättens område som ger statliga och kommunala myndigheter uppgifter som är av allmänt in- tresse och som förutsätter personuppgiftsbehandling är lagen (2012:318) om (se avsnitt 6.14). Även enskilda kan ha uppgifter som är av allmänt intresse och som begreppet allmänt intresse är oklart och behöver utredas ytterligare. Begreppet är inte nytt utan förekommer även i dataskyddsdirektivet. Däremot innebär dataskyddsförordningens regleringskrav att tillämp- Någon definition av begreppet finns inte i för- ordningen eller dataskyddsdirektivet och dess innebörd i det nu aktuella sammanhanget har inte utvecklats av . nivå vidta ytterligare åtgärder för att klargöra begreppets innebörd kan inte förväntas ge ytterligare ledning. bedömer att kreditupplysningsverksamhet och tillhandahållande av finansiella tjänster i princip skulle kunna anses vara verksamhet av allmänt intresse (se SOU 2017:39 s. 125 och 126). dömningen ligger i linje med de överväganden som gjordes i samband med att kreditupplysningslagen anpassades till dataskyddsdirektivet (se 2000/01:50 s. 20 och 21). I förarbetena till kreditupplysningslagen anges att kreditupplysningsverksamheten har betydelse för dels kredit- givarens möjligheter att skydda sig mot förlust (kreditskydd), dels kredit- sökandens möjligheter att få den sökta krediten. Men även från sam- hällelig synpunkt är det väsentligt att kreditgivningen fungerar så frik- Av särskild betydelse är att kreditgivningen inte upp enbart på grund av svårigheter att bedöma riskerna för kreditförlust och liknande olägenheter. Samhället har därför ett behov av kreditupplysningsverksamhet och ett starkt intresse av att denna på ett effektivt sätt fyller sin kreditskyddande funktion (se prop. 1973:155 s. 13). Mot den angivna bakgrunden bedömer regeringen att bedrivandet av kreditupplysningsverksamhet, som är noga lagreglerad, får anses vara en uppgift av allmänt intresse. Detsamma får anses vara fallet med inkasso- verksamhet, som är väsentlig för att flödet av betalningar i samhället ska fungera och att det effektivt ska gå att driva in fordringar som är förfallna till betalning. Någon anledning att, som efterfrågas av några remiss- instanser, lagfästa dessa bedömningar finns inte. De aktuella verksam- heterna regleras genom lag och förordning samt Datainspektionens föreskrifter och tillståndsbeslut. Härigenom är dataskyddsförordningens krav på att den rättsliga grunden ska vara fastställd uppfyllt. Dataskydds- förordningens krav på att den rättsliga grunden för personuppgifts- behandlingen i vissa fall ska vara fastställd medför alltså inte något behov av ändringar i kreditupplysningslagen eller andra lagar på familje- rättens och den allmänna förmögenhetsrättens områden. Det bör dock uppmärksammas att personuppgiftsbehandlingen även måste uppfylla förordningens övriga krav för att behandling ska få ske. Datainspektionen efterfrågar en analys av om lagstiftningen är propor- tionell mot det legitima mål som eftersträvas. Som framgår av avsnitt 6.1 är syftet med förslagen att anpassningen ska mynna ut i att de nationella regleringarna uppfyller ett mål av allmänt intresse och är proportionella mot de legitima mål som eftersträvas (artikel 6.3 i förordningen). Regeringens bedömning att lagarna på familjerättens och den allmänna förmögenhetsrättens områden med de föreslagna ändringarna är förenliga med dataskyddsförordningen innefattar alltså även ett ställningstagande i denna del. Överväganden i fråga om lagstiftningens proportionalitet finns även i avsnitt 6.6–6.8. Personuppgiftsbehandling på familjerättens och den allmänna för- mögenhetsrättens områden kan, utifrån omständigheterna, även vila på någon annan av dataskyddsförordningens rättsliga grunder. I flera fall, t.ex. när det gäller inkassoverksamhet, torde en behandling kunna vila på flera alternativa rättsliga grunder. Eftersom övriga rättsliga grunder inte behöver fastställas i unionsrätten eller den nationella rätten, behandlas de dock inte i propositionen. Det är den som är personuppgiftsansvarig som är skyldig att försäkra sig om att behandlingen i varje enskilt fall har stöd i en rättslig grund och att övriga krav på behandlingen efterlevs. Grundläggande krav för behandling av Regeringens förslag: Hänvisningen i kreditupplysningslagen till personuppgiftslagens grundläggande krav för personuppgiftsbehand- ling ska ersättas med en hänvisning till motsvarande artikel i 2017/18:120 Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller har ingen invändning mot det. Skälen för regeringens förslag: Utöver kravet på att all person- uppgiftsbehandling ska vila på en rättslig grund, som i vissa fall ska vara fastställd i unionsrätten eller den nationella rätten, omgärdas varje behandling av personuppgifter av ytterligare krav. Principerna för be- handling finns i artikel 5 i dataskyddsförordningen. Av denna framgår de grundläggande kraven för behandling av personuppgifter, dvs. att upp- gifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Vidare anges och utvecklas vissa principer som gäller vid personuppgiftsbehandling, nämligen principerna om ändamåls- begränsning, uppgiftsminimering, korrekthet, lagringsminimering, inte- gritet och konfidentialitet. Slutligen anges att det är den som är person- uppgiftsansvarig som ansvarar för – och ska kunna visa – att de grund- läggande principerna efterlevs. Artikel 5 i dataskyddsförordningen mot- svarar i stora drag dataskyddsdirektivets artikel 6, som har genomförts i svensk rätt genom 9 § personuppgiftslagen. En hänvisning till personuppgiftslagens grundläggande krav finns i 5 § första stycket andra meningen kreditupplysningslagen. I första meningen i det angivna stycket föreskrivs att kreditupplysningsverksamhet ska bedrivas så att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de uppgifter som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. I andra meningen finns en hänvisning som klargör att för behandling av person- uppgifter som omfattas av personuppgiftslagen gäller i stället 9 § första stycket a, b och d–h i den lagen. När dataskyddsförordningen börjar tillämpas, kommer personuppgiftslagen att upphävas och artikel 5 i förordningen i stället vara tillämplig. Hänvisningen till personuppgifts- lagen måste därför tas bort. När kreditupplysningslagen anpassades till dataskyddsdirektivet och personuppgiftslagen, konstaterades att tillämpningsområdena för den allmänna regleringen i 5 § första stycket första meningen kreditupplys- ningslagen och 9 § personuppgiftslagen inte var identiska (se prop. 2000/01:50 s. 17). Motsvarande gäller för förhållandet till artikel 5 i data- skyddsförordningen. Kraven i artikel 5 är inriktade på den som är person- uppgiftsansvarig och avser hur personuppgifter ska behandlas, medan kraven i 5 § avser hur kreditupplysningsverksamheten som sådan ska be- drivas. Kreditupplysningslagens regel kan vidare fylla en funktion vid behandling av uppgifter om juridiska personer och för sådan ostruktu- rerad behandling som inte omfattas av dataskyddsförordningen. Regeringen anser mot denna bakgrund att det finns anledning och ut- rymme att behålla regleringen i 5 § första stycket första meningen kredit- upplysningslagen. Hänvisningen till personuppgiftslagen i 5 § första stycket andra meningen kreditupplysningslagen bör då ersättas med en hänvisning till artikel 5 i dataskyddsförordningen. Det innebär att kraven i 5 § första stycket första meningen kreditupplysningslagen i fortsätt- ningen kommer att gälla i kreditupplysningsverksamhet i den mån inte dataskyddsförordningen i stället ska tillämpas. Krav på tillstånd för att bedriva verksamhet