prop · H503107 · 2018-02-28 00:00:00 — En skillnad mot dataskyddsdirektivet är att offentliga myndigheter inte kommer att kunna behandla personuppgifter med stöd av en sådan intresseavvägning som avses i artikel 6.1 f (motsvarande artikel 7 f i dataskyddsdirektivet). Utöver kravet på rättslig grund i artikel 6 innehåller artikel 5 ett antal principer som ska gälla vid behandling av person- Prop. 2017/18:107 uppgifter. Bland annat uppställs krav på att uppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. I artikel 9.1 i dataskyddsförordningen anges att behandling som avslöjar vissa kategorier av personuppgifter är förbjuden. De personuppgifter som avses är sådana uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska uppgifter, biometriska uppgifter som specifikt behandlas för att unikt identifiera individer eller uppgifter som rör hälsa eller sexualliv eller sexuella läggning. Ett motsvarande förbud finns i PUL, men detta omfattar inte sexuell läggning och genetiska eller biometriska uppgifter (13 § PUL). Förbudet är förenat med ett antal direkt tillämpliga undantag (se artikel 9.2–9.4 i förordningen, jfr 15–19 §§ PUL). För att vissa av undantagen ska vara tillämpliga krävs dock att grunden för sådana behandlingar på olika sätt kommer till uttryck i unionsrätten eller i nationell rätt. Regeringen har i propositionen Ny dataskyddslag föreslagit att vissa generella bestämmelser ska införas i dataskyddslagen om bl.a. nödvändig behandling av känsliga personuppgifter. I artikel 9.2 j i dataskyddsförordningen anges att förbudet mot behandling av känsliga personuppgifter under vissa förutsättningar inte gäller om behandlingen är nödvändig för bl.a. statistiska ändamål i enlighet med artikel 89.1 Artikel 10 i dataskyddsförordningen reglerar personuppgiftsbehandling som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 (jfr 21 § PUL). Sådana uppgifter får endast behandlas under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller nationell rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter vidtagits. Formuleringen ”under kontroll av en myndighet” finns även i dataskyddsdirektivet och har i svensk rätt tolkats som att förbud ska gälla för 1997/98:44 s. 75). medger att det i nationell rätt föreskrivs att även andra ska få behandla sådana personuppgifter som avses i artikel 10, under förutsättning att lämpliga skyddsåtgärder vidtas. 6Särskilt om personuppgiftsbehandlingar för statistiska ändamål 6.1Vad är statistik och officiell statistik? Med statistik avses metoder för att samla in, bearbeta, utvärdera och analysera data eller information. Även resultatet av ett sådant arbete, ofta redovisat i numerisk form, benämns ofta statistik. I dataskyddsförordningen avses med statistiska ändamål varje åtgärd som vidtas för den 2017/18:107 insamling och behandling av personuppgifter som är nödvändig för statistiska undersökningar eller för framställning av statistiska resultat. Statistiska resultat kan i sin tur användas för olika ändamål, bl.a. vetenskapliga forskningsändamål. Statistiska resultat består inte av personuppgifter, utan av aggregerade personuppgifter, och ska inte resultera i att uppgifterna används till stöd för åtgärder eller beslut som avser en särskild fysisk person (se skäl 162 i dataskyddsförordningen). Behandling av personuppgifter för statistiska ändamål förekommer inom såväl den offentliga som den privata sektorn, både som en självständig verksamhet och som en uppföljande åtgärd till annan verksamhet. Om statistikverksamheten inte är reglerad särskilt gäller PUL för behandlingen av personuppgifter. Statistiska undersökningar kan också utgöra en integrerad del av ett forskningsprojekt. Regeringen har i propositionen Ny dataskyddslag gjort bedömningen att sådan behandling av personuppgifter som sker under forskarens ansvar bör prövas utifrån de bestämmelser som gäller vid behandling för forskningsändamål (prop. 2017/18:105 s. 124). Viss statistik har sådan grundläggande betydelse för allmän information, utredningsverksamhet och forskning att den i utgör s.k. officiell statistik, vilket innebär att den omfattas av en särskild reglering i lagen (2001:99) om den officiella statistiken och förordningen (2001:100) om den officiella statistiken. Den officiella statistiken ska enligt denna reglering vara objektiv och allmänt tillgänglig samt framställas utifrån vetenskapliga metoder. Statistikprodukterna ska innehålla en redogörelse för vilken kvalitet som statistiken uppfyller. Vad som är officiell statistik och vilken myndighet som ansvarar för den anges i bilagan till förordningen om den officiella statistiken. 6.2 Särskilda bestämmelser om registrerades rättigheter vid personuppgiftsbehandling för statistikändamål I PUL finns ett antal generella bestämmelser om rättigheter för den registrerade – dvs. den som personuppgifterna avser – som ska tillämpas vid framställning av statistik, i den mån det inte finns avvikande bestämmelser i annan lag eller författning. Det rör sig bl.a. om den registrerades rätt till information och rättelse av uppgifter. förordningen om den officiella statistiken finns ett fåtal särskilda rättigheter för den registrerade, och undantag från dessa, som således gäller i stället för den generella regleringen i PUL. Enligt 16 § lagen om den officiella statistiken, som endast avser upp- gifter som använts för officiell statistik, finns möjlighet att lämna ut upp- gifter av detta slag med löpnummer, under förutsättning att uppgifterna ska användas för forskning eller statistik. I dessa fall finns skyldigheter för den statistikansvariga myndigheten att vidta åtgärder för att bl.a. rätta felaktiga uppgifter, som mottagaren inte behöver uppfylla vissa skyldigheter som anges i PUL, nämligen skyldighet att lämna information till den registrerade eller att på begäran rätta, blockera eller utplåna I dataskyddsförordningen finns ett antal bestämmelser som särskilt rör personuppgiftsbehandling för statistiska ändamål. Enligt artikel 5.1 b gäller t.ex. att vidarebehandling av personuppgifter för sådana ändamål inte ska anses oförenlig med de ursprungliga ändamålen. Om uppgifterna enbart kommer att behandlas för statistiska ändamål får dessa enligt artikel 5.1 e vidare lagras än vad som normalt gäller. Bestämmelserna i artikel 5 är direkt tillämpliga, och kräver därmed inga nationella författningsåtgärder, och utgår från att lämpliga tekniska och organisatoriska åtgärder vidtas i enlighet med artikel 89.1. I artikel 14.1–4 i dataskyddsförordningen finns bestämmelser om den personuppgiftsansvariges informationsplikt när personuppgifter inte har erhållits från den registrerade. Dessa bestämmelser ska enligt artikel 14.5 b inte tillämpas i den mån tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt vid behandling för bl.a. statistiska ändamål i enlighet med artikel 89.1. I sådana fall ska den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet att göra uppgifterna tillgängliga för allmänheten. På motsvarande sätt anges i artikel 17.3 d att rätten att få uppgifter raderade inte gäller i den utsträckning som uppgifterna behövs för sådan behandling som är nödvändig för bl.a. statistiska ändamål enligt artikel 89.1, i den utsträckning som rätten att få uppgifter raderade sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med den behandlingen. Artikel 89 i dataskyddsförordningen ställer krav på skyddsåtgärder vid behandling för bl.a. statistikändamål, men ger också medlemsstaterna möjlighet till relativt omfattande undantag från flera av de rättigheter som annars tillkommer den registrerade. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering, dvs. att personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas, iakttas. Dessa åtgärder får inbegripa s.k. pseudonymisering, vilket innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att ändamålen kan uppfyllas på det sättet. Enligt artikel 89.2 i dataskyddsförordningen får vid behandling för bl.a. statistiska ändamål undantag göras från de registrerades rätt att få bekräftelse på om personuppgifter rörande honom eller henne behandlas och rätten till bl.a. registerutdrag, att få felaktiga personuppgifter rättade, att under vissa förutsättningar kräva att behandlingen begränsas samt att göra invändningar (se artikel 15, 16, 18 och 21), under förutsättning att vissa villkor uppfylls och skyddsåtgärder vidtas. Detta får dock bara göras i den utsträckning som rättigheterna sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de aktuella ändamålen och att undantagen krävs för att uppnå dessa ändamål. Utöver den särskilda regleringen för vissa ändamål i artikel 89 finns också en generell möjlighet enligt artikel 23 att under vissa förutsättningar begränsa tillämpningsområdet för ett stort antal av förordningens stadgade skyldigheter och rättigheter. En sådan begränsning ska dock bl.a. ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna samt utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. 2017/18:107 7 Kravet på särskilt författningsstöd för behandling av personuppgifter i den offentliga Regeringens bedömning: Kravet på rättsligt stöd i EU:s dataskyddsförordning innebär inga ytterligare begränsningar för svenska myndigheters generella rätt att behandla personuppgifter jämfört med gällande rätt. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser, utom Datainspektionen, instämmer i eller har inte något att invända mot bedömningen. Datainspektionen anser att utgångspunkten i promemorian inte ger ett korrekt resultat eftersom denna inte utgår från förordningen som primär rättskälla och mot bakgrund av den bedömer vilken lagstiftning som både kan införas för att precisera tillämpningen av dataskyddsförordningen, alternativt krävs för att ge stöd för den behandling som pågår . Detta innebär en risk för att sådan behandling av personuppgifter som genomförs inte kommer kunna utföras när förordningen börjar tillämpas samt för att vissa normkonflikter inte fångas upp. Myndigheten anför vidare att när frågan om rättslig grund utifrån artikel 6 behandlas i promemorian görs inte några analyser av hur nu gällande bestämmelser uppfyller de krav på tydlighet, precisering, förutsägbarhet och proportionalitet som följer av artikel 5 och skäl 41 i förordningen. Det finns därför enligt myndigheten inte tillräckligt stöd för bedömningen att det i nationell rätt finns en fastställd rättslig grund som uppfyller dataskyddsförordningens krav. Skälen för regeringens bedömning: I artikel 6 i dataskyddsförordningen anges grunderna för när behandling av personuppgifter är laglig. Till skillnad från regleringen i det tidigare dataskyddsdirektivet och PUL tillåter, i enlighet med vad som anförts i avsnitt 5, förordningen inte att myndigheter behandlar personuppgifter med stöd av en intresseavvägning till förmån för den personuppgiftsansvariges eller tredje parts berättigade intresse när de fullgör sina uppgifter (artikel 6.1 andra stycket). Myndigheter behöver således kunna stödja sin behandling på någon av de grunder som anges i artikel 6.1 a–e. För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 b–f måste den också vara nödvändig för att fullgöra, skydda eller utföra den rättsliga grunden. Som regeringen har konstaterat i propositionen Ny dataskyddslag har nödvändighetskravet inte ansetts utgöra ett krav på att det utan behandlingen skulle vara omöjligt att fullgöra en förpliktelse eller utföra en uppgift; effektivitetsvinster kan vara tillräckliga för att behandlingen ska anses nödvändig (prop. De statliga och kommunala myndigheternas personuppgiftsbehandling kan till stor del antas ske med stöd av den rättsliga grund som anges i artikel 6.1 e i dataskyddsförordningen, dvs. behandling av personuppgifter som är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Även de övriga grunderna i artikel 6.1 kan dock aktualiseras i en inte obetydlig utsträckning, t.ex. grunden i artikel 6.1 c, som möjliggör sådana behandlingar som är nödvändiga för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Det bör också framhållas att en och samma behandling kan vara tillåten enligt flera grunder. Enligt artikel 6.3 måste grunden för behandling av personuppgifter som bygger på någon av de rättsliga grunderna i artikel 6.1 c och e fastställas i unionsrätten eller den nationella rätten. Regeringen har i propositionen Ny dataskyddslag bedömt att med grunden för behandlingen avses den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen (prop. 2017/18:105 s. 49). Detta innebär att varje enskild behandling inte behöver regleras särskilt för att vara tillåten. sker myndigheternas behandling av personuppgifter till viss del med stöd av bestämmelser i särskilda registerförfattningar, men även i stor utsträckning enbart med stöd av den generella regleringen i PUL, t.ex. 10 § b, c och d PUL. Enligt de sistnämnda bestämmelserna får personuppgifter behandlas utan att samtycke från den registrerade föreligger, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet, vitala intressen för den registrerade ska kunna skyddas eller för att en arbetsuppgift av allmänt intresse ska kunna utföras. När det gäller dataskyddsförordningens krav på rättsligt stöd för behandling som enbart stödjer sig på artikel 6.1 c eller e kan för svensk del konstateras att myndigheter är förhindrade att agera utanför sitt uppdrag, vilket ytterst regleras genom legalitetsprincipen i 1 kap. 1 § tredje stycket RF. All verksamhet hos statliga myndigheter ska således ha stöd i rättsordningen, oavsett om en uppgift regleras genom lag, förordning eller ett beslut. Motsvarande gäller även för kommuner och landsting (se t.ex. 2 kap. 1 § kommunallagen [2017:725]). Syftet med regeringens förslag har varit att göra de ändringar i författningarna som är nödvändiga för att den nationella regleringen inte ska komma i konflikt med regleringen på EU-nivå. Regeringen bedömer att den översyn som gjorts och de ändringar som föreslås är tillräckliga för att undvika sådana konflikter som Datainspektionen påtalar. När det gäller Datainspektionens önskemål om ytterligare analys kan konstateras att artikel 5 i förordningen i stora drag motsvarar artikel 6 i dataskyddsdirektivet, som har genomförts i svensk rätt genom 9 § PUL. Kraven i skäl 41 till förordningen att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsebar är ett uttryck för legalitetsprincipen och utgör inte heller någon nyhet inom svensk lagstiftning. Kravet på proportionalitet finns i den Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna () som inkorporerats i svensk rätt. Enligt 2 kap. 19 § RF får lagar och andra föreskrifter inte meddelas i strid med åtaganden enligt . Regeringen bedömer sammanfattningsvis att de överväganden som Datainspektionen efterlyser redan har gjorts avseende de aktuella regleringarna. De bedömningar som då gjordes kvarstår alltjämt . Mot denna bakgrund bedöms kravet på rättsligt stöd i dataskyddsförordningen i praktiken inte innebära några begränsningar för myndigheters 2017/18:107 generella rätt att behandla personuppgifter utöver vad som redan gäller . Regeringens förslag: Bestämmelser om personuppgiftslagens tillämplighet i lagen om den officiella statistiken och lagen om lägen- hetsregister ska ersättas med upplysningsbestämmelser om EU:s data- Av lagarna ska det framgå att de kompletterar data- skyddsförordningen samt att även den föreslagna dataskyddslagen gäller vid behandling av personuppgifter om inte annat följer av de Andra hänvisningar som görs till person- uppgiftslagen i de båda lagarna ska ändras till att avse motsvarande bestämmelser i dataskyddsförordningen eller tas bort om de inte fyller Regeringens bedömning: Behovet av hänvisningar till dataskydds- förordningen i författningar som inte uttryckligen hänvisar till person- uppgiftslagen bör prövas från fall till fall. Promemorians förslag och bedömning överensstämmer med Remissinstanserna: Remissinstanserna tillstyrker eller har inte något att invända mot regeringens förslag och bedömning. Skälen för regeringens förslag och bedömning: Förhållandet mellan PUL och särskilda författningar kan se olika ut. I lagen om den officiella statistiken och lagen (2006:378) om lägenhetsregister anges att PUL gäller vid personuppgiftsbehandlingar, såvitt annat inte följer av den särskilda Dessa bestämmelser behöver nu ändras. I stället för att ange att PUL gäller vid behandling av personuppgifter i den mån annat inte följer av den aktuella författningen, bör i stället en upplysnings- bestämmelse om dataskyddsförordningens tillämplighet införas. vidare tydliggöras att de nationella bestämmelser som införs med stöd av dataskyddsförordningen inte innebär att regleringen i förordningen är att betrakta som subsidiär i förhållande till den nationella rätten. genom att det i de berörda författningarna tas in en upplysnings- bestämmelse om att deras bestämmelser kompletterar dataskydds- Även andra hänvisningar som görs till PUL i de båda lagarna bör ändras till att avse motsvarande bestämmelser i dataskydds- förordningen (se vidare avsnitt 8.3). Eftersom dessa hänvisningar ger lagen ett materiellt innehåll ska de göras dynamiska, dvs. varje tidpunkt gällande lydelsen av förordningen. förändringar som görs i förordningen får genomslag. Hänvisningar som inte längre fyller någon funktion bör tas bort. Den personuppgiftsbehandling som regleras i de särskilda lagar som behandlas i denna proposition kommer även i viss utsträckning omfattas av den generella dataskyddslagen. En upplysningsbestämmelse om data- skyddslagens tillämplighet bör därför införas i anslutning till respektive upplysningsbestämmelse om dataskyddsförordningen. dataskyddsförordningen kommer emellertid dataskyddslagen att vara subsidiär till de särskilda författningarna, vilket bör framgå av regleringen. Vidare finns författningar som innehåller bestämmelser om person- Prop. 2017/18:107 uppgiftsbehandlingar, men som inte uttryckligen hänvisar till PUL. är kasinolagen (1999:355) och lagen (2004:543) om samtjänst vid medborgarkontor. Hur dessa lagar ska hanteras bör dock avgöras från fall till fall (se avsnitt 12 och 13). 7.3Bestämmelser om rättelse och skadestånd Regeringens förslag: De bestämmelser i lagen om den officiella statistiken, lagen om lägenhetsregister och kasinolagen som gör personuppgiftslagens bestämmelser om rättelse och skadestånd tillämpliga vid överträdelser av de angivna lagarna ska upphävas. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller har inte något att invända mot detta. Skälen för regeringens förslag: Som anges i avsnitt 7.2 kan förhållandet mellan PUL och särskilda författningar se olika ut. om rättelse (28 §) och skadestånd (48 §) reglerar förfaranden i strid med PUL. Mot denna bakgrund har det ansetts behöva särskilt anges att dessa bestämmelser ska tillämpas vid förfaranden som strider mot andra författningar för att de ska bli tillämpliga. Efter införandet av dataskyddsförordningen, och de bestämmelser om skadestånd och rättsmedel som regeringen föreslagit i propositionen Ny dataskyddslag, bedöms det inte finnas något behov av de hänvisningar som finns i 23 § lagen om den officiella statistiken, 24 § lagen om lägenhetsregister och 7 § kasinolagen. Det föreslås därför att denna reglering ska utgå. 8Statistikansvariga myndigheters framställning av statistik Den officiella statistiken och annan reglerad statistik framställs av särskilt utpekade myndigheter, som genom författning har tilldelats en uppgift av allmänt intresse (se avsnitt 6.1). Nedan redovisas bedömningar och förslag på ändringar i statistikförfattningarna som föranleds av dataskyddsförordningens ikraftträdande, men även vissa förslag som syftar till att öka möjligheterna att framställa statistik. 2017/18:107 8.1 Regeringens bedömning: Det bedöms inte finnas behov av någon ny reglering för att uppfylla dataskyddsförordningens krav på rättslig grund när statistikansvariga myndigheter utan samtycke samlar in och i övrigt behandlar personuppgifter vid framställning av statistik. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Alla remissinstanser utom Datainspektionen in- stämmer i bedömningen eller har inte något att invända mot denna. Datainspektionen saknar en analys av om nu gällande bestämmelser rörande annan statistik än officiell statistik är förenliga med dataskyddsförordningen och efterfrågar en större tydlighet beträffande vilken statistik som en statistikansvarig myndighet kan framställa med eget rättsligt stöd, samt hur kraven i 2 kap. 6 § andra stycket och 2 kap. 20–22 §§ RF samt i dataskyddsförordningen uppfylls. Datainspektionen bedömer att de statistikansvariga myndigheterna inte har något rättsligt stöd att behandla personuppgifter utanför de statistikområden som framgår av bilagan till förordningen om den officiella statistiken. Skälen för regeringens bedömning: Den grundläggande regleringen av statistikansvariga myndigheters rätt att behandla personuppgifter för framställning av statistik finns i 14 och 15 §§ lagen om den officiella statistiken. I 14 § första stycket ges en generell rätt att, utan samtycke av den registrerade, behandla personuppgifter för framställning av statistik. För sådan behandling är den statistikansvariga myndigheten personuppgiftsansvarig. Bestämmelsen gäller enligt 1 § tredje stycket även vid framställning av annan statistik hos en statistikansvarig myndighet än officiell statistik. Den officiella statistiken och annan reglerad statistik framställs av särskilt utpekade myndigheter, som genom författning har tilldelats en uppgift av allmänt intresse. Statistikansvariga myndigheter har således en generell rätt att utan samtycke behandla personuppgifter för framställning av statistik. Genom regleringen i lagen och förordningen om den officiella statistiken bedöms statistikansvariga myndigheter ha en rättslig grund att i enlighet med artikel 6.1 e i dataskyddsförordningen behandla personuppgifter för statistikändamål. Statliga myndigheter kan enligt svensk rätt tilldelas rättsliga förpliktelser och uppgifter av allmänt intresse även genom regeringsbeslut (se prop. 2017/18:105 s. 50 och 56). Den rättsliga grunden för behandling av personuppgifter kan således preciseras i de statistikansvariga myndigheternas instruktioner och regleringsbrev. Som exempel kan nämnas förordningen (2016:822) med instruktion för . Av denna framgår att SCB ansvarar för att utveckla, framställa och sprida officiell statistik och annan statlig statistik, samt att myndigheten inom ramen för sin statistikverksamhet ska utföra uppdrag åt andra myndigheter, i den utsträckning som den har tillgängliga resurser för det. SCB har därmed, enligt artikel 6.1 e i dataskyddsförordningen, rättslig grund för att också utanför de statistikområden inom vilka myndigheten ska producera officiell statistik, samla in och i övrigt behandla personuppgifter för statistiska ändamål utan samtycke från de registrerade.