prop · H503120 · 2018-03-06 00:00:00 — Kravet bidrar också till att skydda den registrerades berättigade intressen (artikel 14.5 c). kan alltså behållas i svensk rätt. Slutligen finns det i kreditupplysningslagens bestämmelser om kredit- upplysningskopior ett undantag för vissa grundlagsskyddade offentlig- göranden (11 § fjärde stycket). Även detta undantag bedöms vara fören- ligt med dataskyddsförordningen, eftersom den EU-rättsliga dataskydds- regleringen inte inkräktar på området för tryckfrihetsförordningen och yttrandefrihetsgrundlagen (se 1 kap. 7 § första stycket i den föreslagna En anpassning till dataskyddsförordningen bör dock göras när det gäller vilka uppgifter som ska framgå av en kreditupplysningskopia. nuvarande regleringen i kreditupplysningslagen motsvarar i huvudsak rätten till information enligt dataskyddsdirektivet (jfr prop. s. 29). Dataskyddsförordningen ger en registrerad rätt till mer informa- tion än dataskyddsdirektivet. Någon anledning att inte ge registrerade rätt till de tillkommande uppgiftskategorier som dataskyddsförordningen föreskriver finns inte. Informationsskyldighetens omfattning bör därför anpassas så att den information som ska lämnas i tillämpliga delar mot- svarar den som föreskrivs i artikel 14.1 och 14.2 i förordningen. registrerade bör alltså även ges information om kontaktupp- gifter till dataskyddsombudet, den rättsliga grunden för behandlingen, vilka kategorier av personuppgifter som behandlas, varifrån uppgifterna hämtats och hur länge de kommer att lagras, möjligheten att få tillgång till uppgifter som rör den registrerade, vilka kategorier av mottagare som kan ta del av personuppgifterna samt möjligheten att framställa klagomål Det är, som bl.a. och UC AB påtalar, inte fråga om att dataskyddsombudet ska namnges, utan om att ange hur ombudet kan kontaktas. bör skyldigheten att informera om dataskyddsombudets kontaktuppgifter Prop. 2017/18:120 bara gälla om det enligt förordningen krävs att ett sådant utses. fall ett dataskyddsombud behöver utses framgår av artikel 37 i förord- ningen. De andra uppgiftskategorier som anges i förordningen bedöms inte vara relevanta inom ramen för en kreditupplysning (artikel 14.1 f och artikel 14.2 b, del av c, d och g). Det finns därför inte anledning att inkludera dessa. När en kreditupplysning lämnas ut enligt 11 § andra stycket första meningen kreditupplysningslagen för beräkning av kapitalkravet för kreditrisker med en internmetod, bör information även lämnas om kontaktuppgifter till dataskyddsombudet, när ett sådant krävs enligt artikel 37 i dataskyddsförordningen, vilka kategorier av mottagare som kan ta del av personuppgifterna och den rättsliga grunden för behand- lingen. Övriga tillkommande uppgifter behöver skickas endast om den som upplysningen avser begär det (se 11 § andra stycket andra meningen). Några remissinstanser vill att kravet på kreditupplysningskopior till handelsbolag och kommanditbolag tas bort och att bestämmelserna om kreditupplysningar för beräkning av kapitalkravet för kreditrisker ska kunna tillämpas i förhållande till fler kreditinstitut. Synpunkterna har inte samband med anpassningen till dataskyddsförordningen och kräver andra typer av överväganden än de som aktualiseras här. Det finns därför inte anledning att gå närmare in på synpunkterna. Rättelse och begränsning av behandling Regeringens förslag: I kreditupplysningslagen ska det föreskrivas att skyldigheten att vidta skäliga utredningsåtgärder även ska gälla om det finns anledning att misstänka att en uppgift som behandlas i kredit- upplysningsverksamhet eller som har lämnats i en kreditupplysning har behandlats i strid med Skyldigheten att rätta, komplettera eller radera en uppgift ska även gälla om det visar sig att uppgiften har behandlats i strid med EU:s dataskyddsförordning. En fysisk person ska på begäran få information om vem som har tillställts en rättelse eller en komplettering. I kreditupplysningslagen ska det anges att det i dataskyddsförord- ningen finns bestämmelser om fysiska personers rätt att begära att behandlingen av personuppgifter begränsas. Promemorians förslag överensstämmer delvis med regeringens. Promemorian innehåller inget förslag om skyldighet att vidta utrednings- åtgärder och att rätta, komplettera eller radera uppgifter som misstänks respektive visar sig ha behandlats i strid med dataskyddsförordningen. Remissinstanserna: De flesta remissinstanser tillstyrker eller har in- gen invändning mot förslagen. analys dels av om det är nödvändigt att begränsa rätten till rättelse, dels av vilken effekt rätten till radering enligt artikel 17 i förordningen får i 2017/18:120 kreditupplysningsverksamhet. Om rätten till rättelse och radering begrän- sas, anser inspektionen att det bör framgå av lagen att rätten är begrän- Företagarna anser att även juridiska personer bör ges rätt att få veta vilka mottagare av en kreditupplysning som har underrättats om en rättel- se eller komplettering av uppgifter. Flera remissinstanser – bl.a. advokatsamfund och – ställer sig med delvis olika utgångspunk- ter frågande till hur förordningens regler om begränsning av behandling ska tillämpas i kreditupplysningsverksamhet och hur de förhåller sig till t.ex. kreditupplysningslagens bestämmelser om gallring. Om en rätt till begränsning av behandling införs i kreditupplysningsverksamhet, menar att det bör ske genom att en för verksamheten särskilt anpassad bestämmelse tas in i kreditupplysningslagen. Skälen för regeringens förslag: Enligt artiklarna 16–19 i dataskydds- förordningen har den registrerade rätt till rättelse, radering och begräns- ning av behandling. I artikel 12 i förordningen finns också bestämmelser om hur och när information ska lämnas samt om möjligheten att begära ytterligare information för att bekräfta den registrerades identitet. Rätten till rättelse innefattar en rätt till komplettering som är ny i förhållande till dataskyddsdirektivet (jfr artikel 12 b i direktivet). till radering motsvarar begreppet utplåning, som används i dataskydds- Rätten till radering är dock mer detaljerat reglerad än rätten enligt dataskyddsdirektivet till utplåning. Den registrerade ges vidare rätt att i vissa fall kräva att behandlingen av personuppgifter begränsas. Denna begränsningsmöjlighet har ersatt den åtgärd som i dataskydds- direktivet benämns blockering. Rätten att begära att behandlingen begränsas innebär i förhållande till dataskyddsdirektivet en ny skyldighet att på begäran bevara personuppgifter och att begränsa behandlingen medan det utreds om det är korrekt att behandla uppgifterna. dataskyddsdirektivet föreskriver förordningen att personuppgiftsansva- riga ska informera mottagare av uppgifter om senare rättelser, raderingar eller begränsningar, om det inte är omöjligt eller medför en opropor- En nyhet är dock att den som är personupp- giftsansvarig på begäran även ska informera den registrerade om dessa Den registrerades rättigheter är under vissa omständigheter begränsade. Rätten till radering gäller t.ex. inte i den utsträckning behandlingen av personuppgifter är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller en medlemsstats nationella rätt, eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 17.3 b). Rättigheterna kan i övrigt begränsas med stöd av artikel 23 i förordningen. Rätten till rättelse, komplettering, radering och begränsning – former som ofta ges samlingsbeteckningen rättelse – är enligt dataskyddsförord- ningen parallella och självständiga, medan de enligt dataskyddsdirektivet Svensk sektorspecifik dataskyddsreglering innehåller säl- lan några särskilt utformade bestämmelser om rättelse, utan hänvisar i stället till personuppgiftslagens bestämmelser om rättelse som finns i 28 § i den lagen. I 12 § kreditupplysningslagen finns det dock särskilda rättelsebestämmelser, i form av en rätt till rättelse, komplettering eller uteslutning (utplåning med dataskyddsdirektivets terminologi), som gäl- ler i stället för 28 § personuppgiftslagen i kreditupplysningsverksamhet. Bestämmelserna ger alltså den registrerade rätt att få uppgifter rättade, kompletterade eller raderade, men ger till skillnad från personuppgifts- lagen inte den registrerade någon rätt till blockering. Frågan är om kreditupplysningslagens rättelsebestämmelser är förenliga med data- skyddsförordningen och kan behållas. Behovet av särskilda rättelsebestämmelser för kreditupplysningsverk- samheten är stort. Många av de uppgifter som behandlas i verksamheten utgör personuppgifter, och behandlingen av uppgifterna är vanligtvis sådan att dataskyddsförordningen kommer att vara tillämplig. Om de uppgifter som behandlas om en fysisk person är felaktiga, ger data- skyddsförordningens rättelsebestämmelser ett gott skydd. Skyddet enligt kreditupplysningslagen omfattar dock uttryckligen även missvisande uppgifter. Rättelsebestämmelserna i kreditupplysningslagen är därutöver även tillämpliga i andra fall, t.ex. när behandling sker av oriktiga eller missvisande uppgifter om juridiska personer och uppgifterna inte utgör personuppgifter. Med särskilt anpassade och enhetliga rättelsebestäm- melser för både juridiska och fysiska personer kan effektiviteten i verk- samheten upprätthållas som det säkerställs att den information som tillhandahålls är tillförlitlig och korrekt och att uppgifterna är rele- vanta för kreditbedömningen. Det är därför önskvärt att den nuvarande rättelseregleringen kan behållas. Datainspektionen efterfrågar ytterligare analys av dels om det är nöd- vändigt att begränsa rätten till rättelse på det sätt som föreslås i prome- , dels effekten av rätten till radering i kreditupplysningsverksam- het. Regeringen anser att frågan om huruvida det är nödvändigt att begränsa rätten till rättelse måste ses i det större perspektivet – nämligen vikten av en väl fungerande kreditupplysningsverksamhet. Som redo- visas i avsnitt 6.2 bedöms bedrivandet av kreditupplysningsverksamhet utgöra en uppgift av allmänt intresse i dataskyddsförordningens mening. En väl fungerande kreditupplysningsverksamhet bedöms vara av sådan betydelse för ekonomiska och finansiella intressen att begräns- ningar med stöd av artikel 23.1 e i förordningen är möjliga. I fråga om rätten till radering innebär denna bedömning att förordningen medger undantag för nödvändig behandling enligt artikel 17.3 b. Rättelsebestämmelserna i kreditupplysningslagen ger den enskilde rätt till rättelse, komplettering eller radering. Bestämmelserna innebär dock inskränkningar för den enskilde i förhållande till förordningens före- skrifter genom att rätten enligt kreditupplysningslagen förutsätter att en uppgift behandlas i verksamheten eller har lämnats i en kreditupplysning och att uppgiften inte uppen- barligen saknar betydelse för bedömningen av den registrerades veder- häftighet i ekonomiskt hänseende. Det finns även inskränkningar som tar sikte på att en uppgift offentliggjorts på ett sådant sätt som avses i tryck- frihetsförordningen eller yttrandefrihetsgrundlagen. Regeringen bedömer att dessa inskränkningar är såväl nödvändiga för att säkerställa effektiviteten i kreditupplysningsverksamheten som pro- portionella genom att de balanserar de olika intressen som gör sig gäl- lande i verksamheten. Verksamheten är väl reglerad även i övrigt och regleringen bedöms uppfylla de krav som i dataskyddsförordningen ställs på en begränsande lagstiftningsåtgärd (artikel 23.1 e och 23.2). I de delar som rättelsebestämmelserna i sak återger dataskyddsförordningens före- 2017/18:120 skrifter bidrar de till förståelsen av denna (skäl 8 till förordningen). Rättelsereglerna i kreditupplysningslagen bedöms därför vara förenliga med dataskyddsförordningen och kan behållas. I några avseenden bör rättelsereglerna i kreditupplysningslagen dock ändras. Eftersom väsentliga delar av den generella dataskyddsregleringen kommer att finnas i dataskyddsförordningen bör skyldig- heten, enligt 12 § första stycket, att vidta utredningsåtgärder gälla även när det finns anledning att misstänka att en uppgift har behandlats i strid med dataskyddsförordningen. På motsvarande sätt bör skyldigheten, enligt 12 § andra stycket, att rätta, komplettera eller radera felaktiga eller missvisande uppgifter även gälla om det visar sig att en uppgift har behandlats i strid med förordningen. En rätt för en fysisk person att på begäran få information om vilka som har tillställts en rättelse – vilket kan innefatta information om att en uppgift har raderats – eller en komplette- ring bör också införas i kreditupplysningslagen. En sådan rätt ger ett stärkt skydd för den enskilde som informationsplikten inte är alltför betungande för den som bedriver kreditupplysningsverksamheten. Det saknas dock anledning att som en del i arbetet med att anpassa kreditupplysningslagen till dataskyddsförordningen, som Företagarna vill, utsträcka denna rätt även till juridiska personer. För att tydliggöra kopplingen till rätten till radering enligt dataskyddsförordningen bör kreditupplysningslagens bestämmelse om rätt till uteslutning anpassas till dataskyddsförordningens terminologi. Det innebär att förordningens rätt till rättelse, komplettering eller radering vid felaktig behandling av personuppgifter i kreditupplysnings- verksamhet ska tillämpas med de inskränkningar som framgår av kredit- upplysningslagen. Skyldigheten att rätta, komplettera eller radera oriktiga eller missvisande uppgifter kommer därmed även i fortsättningen bara att omfatta uppgifter som har betydelse för bedömningen av någons veder- häftighet i ekonomiskt hänseende. Om det är fråga om t.ex. identifie- ringsuppgifter, finns det alltså inte någon rättelse- eller underrättelse- skyldighet. Det bör dock framhållas att det i många fall torde finnas skäl för ett kreditupplysningsföretag att ändå rätta sådana uppgifter (se prop. 1973:155 s. 115 och 153). En allmän skyldighet att hålla uppgifter som behandlas korrekta och uppdaterade följer även av artikel 5.1 d i data- skyddsförordningen. De uppgifter som behandlas i kreditupplysnings- verksamhet härrör också vanligen från offentliga register som förs av myndigheter. Eventuella felaktigheter torde därmed oftast ha sin grund i en felaktig registrering i ett annat register. En registrerad kan då åstad- komma en ändring genom att vända sig till den registerförande myndig- heten, varefter ändringen får genomslag även hos kreditupplysnings- företagen. Att, som Datainspektionen förespråkar, ange direkt i 12 § kreditupp- lysningslagen att paragrafen begränsar den registrerades rättigheter enligt artiklarna 16 och 17 i dataskyddsförordningen bedöms inte vara behöv- ligt eller lämpligt. En sådan konstruktion skulle leda till en otymplig reglering, bl.a. eftersom paragrafen är tillämplig även vid behandling av andra uppgifter än personuppgifter. Hur 12 § kreditupplysningslagen förhåller sig till dataskyddsförordningen utvecklas dock i författnings- kommentaren. Någon rätt till en begränsning av behandlingen finns inte i Prop. 2017/18:120 kreditupplysningsverksamhet. Artikel 18 i dataskyddsförordningen, som reglerar rätten till begränsning, är direkt tillämplig. Det saknas anledning att genom nationell normgivning inskränka denna rätt. Det bedöms vidare inte vara förenligt med dataskyddsförordningen att – som efterfrågar – i stället införa en för verksamheten särskilt anpassad bestämmelse i kreditupplysningslagen. För att det tydligt ska framgå av kreditupplysningslagen att fysiska personer även har rätt att kräva att behandlingen begränsas bör dock en upplysningsbestämmelse om detta införas. Flera remissinstanser efterlyser vägledande uttalanden i förarbetena om innebörden av dataskyddsförordningens bestämmelser om begränsning av behandling i kreditupplysningsverksamhet. Det är ytterst EU-dom- stolen som är behörig att fastställa innebörden av unionsrätten. Det är alltså inte möjligt att i lagstiftningsärendet göra några auktoritativa utta- landen om hur förordningen ska tolkas. Den närmare tillämpningen av bestämmelserna, t.ex. i fråga om vad som vid tillämpning av artikel 18.2 utgör skäl som rör ett sådant viktigt allmänintresse som kan göra fortsatt behandling av begränsade uppgifter möjlig, får bli en fråga för rätts- tillämpningen. I motsats till vad några remissinstanser menar torde det dock inte vara möjligt att tolka bestämmelsen som att all behandling inom kreditupplysningsverksamhet kan fortgå, trots att uppgifterna har begränsats. Det bör vidare – mot bakgrund av vad som förts fram under remissbehandlingen – framhållas att kreditupplysningslagens bestämmel- ser om rättelse och gallring, trots att de bedöms vara förenliga med data- skyddsförordningen, inte har företräde framför förordningens bestämmel- ser om begränsning av behandling. Om en registrerad motsätter sig att uppgifter gallras eller raderas och i stället begär en begränsning av deras användning, har en sådan begäran alltså företräde framför kreditupplys- ningslagens föreskrifter och ska prövas enligt artikel 18. 6.8Invändning mot behandling av personuppgifter Regeringens bedömning: Kreditupplysningslagens bestämmelse som innebär att en registrerad inte har rätt att invända mot behandling av personuppgifter i kreditupplysningsverksamhet är förenlig med EU:s dataskyddsförordning och kan behållas. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser delar promemorians bedömning eller har inte någon invändning mot den. och ifrågasätter om en begränsning av den registrerades rätt att göra invändningar utgör en nödvändig och proportionell åtgärd för att säkerställa ett viktigt mål av generellt allmänt intresse. remissinstanser – liksom – pekar på att en möjlighet att in- vända inte innebär att den registrerade måste välja mellan att antingen vara registrerad i alla kreditupplysningsregister eller inte förekomma i Den registrerade måste rikta en invändning mot vart och ett av de kreditupplysningsföretag som behandlar den registrerades uppgifter och 2017/18:120 får därigenom makt att själv bestämma vilka aktörer som ska få behandla personuppgifterna. Datainspektionen framhåller vidare att den omstän- digheten att behandling i vissa fall kan behöva fortsätta trots invändning från den registrerade har beaktats i dataskyddsförordningen, eftersom en personuppgiftsansvarig som kan påvisa tvingande berättigade skäl som väger tyngre än den registrerades intressen får fortsätta att behandla Skälen för regeringens bedömning: Enligt artikel 21.1 i dataskydds- förordningen har den registrerade – av skäl som hänför sig till hans eller hennes specifika situation – rätt att när som helst göra invändningar mot personuppgiftsbehandling som sker med artikel 6.1 e eller f som rättslig grund – dvs. när personuppgiftsbehandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning eller för ändamål som rör ett berättigat intresse. personuppgiftsansvarig får då inte längre behandla personuppgifterna så- vida inte han eller hon kan visa tvingande berättigade skäl för behand- lingen som väger tyngre än den registrerades intressen, rättigheter och Den som är personuppgiftsansvarig får även fortsätta att be- handla personuppgifterna om behandlingen sker för fastställande, utövande eller försvar av rättsliga anspråk. Regleringen i dataskyddsförordningen skiljer sig från den i dataskydds- direktivet på så sätt att det är den registrerade som ska ha be- rättigade skäl (artikel 14 a i dataskyddsdirektivet). I stället är det den som är personuppgiftsansvarig som ska påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter En annan skillnad i jämförelse med direktivet är möjlig- heten att i nationell rätt göra undantag från rätten att invända mot Undantag kan enligt dataskyddsförordningen göras under de förutsättningar som anges i artikel 23.1. måste vara nödvändiga och proportionella och grunda sig på något av de särskilda skäl som artikeln ställer upp. Av 5 § fjärde stycket kreditupplysningslagen framgår att en registrerad inte kan motsätta sig behandling av personuppgifter om honom eller henne i kreditupplysningsverksamhet. versitet ifrågasätter om en begränsning av den registrerades rätt att göra invändningar är nödvändig för att säkerställa ett viktigt mål av generellt allmänt intresse och då särskilt ett viktigt ekonomiskt eller finansiellt De ifrågasätter också om en sådan åtgärd utgör en nödvändig och proportionell åtgärd för att säkerställa ett sådant intresse. anser att frågan måste ses i det större perspektivet – nämligen vikten av en väl fungerande kreditupplysningsverksamhet. Sådan verksamhet får, som redovisas i avsnitt 6.1 och 6.7, anses vara av ett sådant allmänt intresse som möjliggör att begränsningar får ske med stöd av artikel 23.1 e i dataskyddsförordningen. Kreditupplysningsverksamhet fungerar på olika sätt i olika medlems- I är verksamheten väl reglerad. som förs tillåts innehålla bl.a. ekonomisk information som i huvudsak kommer från olika offentliga register om stora delar av befolkningen. rätt för den registrerade att invända mot behandling skulle i grunden förändra förutsättningarna för att bedriva kreditupplysningsverksamhet i och kräva stora anpassningar av verksamheten. dring riskerar därmed att få konsekvenser för kreditgivningen och kre- ditskyddet i samhället (se avsnitt 6.2). Frågan om den registrerades rätt att motsätta sig behandling i kredit- upplysningsverksamhet har övervägts (se bl.a. prop. 2000/01:50 s. 19–21 och SOU 1993:110 s. 135 och 136). De argument som då fördes fram mot att den registrerade ska ha en sådan rätt har fortfarande goda skäl för sig. Det finns ett allmänt intresse av att kredit- upplysningsverksamhet kan bedrivas effektivt. Om möjligheten att be- handla uppgifter förändras, påverkas effektiviteten och fördyringar upp- kommer. Det får vidare som regel förutsättas att en enskild som söker en kredit går med på att uppgifter om honom eller henne lämnas ut. Det finns också en risk för att enskilda som väljer att motsätta sig ett ut- lämnande inte alltid inser nackdelarna med det. De flesta människor kan visserligen normalt planera sin ekonomi med god framförhållning och själva bedöma om de kommer att vara i behov av en kredit inom över- skådlig framtid. i livet har dock de flesta människor behov av att snabbt kunna vidta åtgärder som kräver en kreditupplysning. Det kan handla om att ordna med ny bostad i samband med en separation eller betala en resa i samband med sjukdom eller dödsfall. Få människor skulle på förhand beakta konsekvenserna i en sådan situation av att de har invänt mot registrering, nämligen att de riskerar att nekas att t.ex. hyra en lägenhet eller få kredit för att betala resan. Några remissinstanser invänder att den registrerade bör ha möjlighet att bestämma vilka aktörer som ska få behandla den registrerades person- uppgifter. Det kan dock konstateras att det inte torde finnas någon möj- lighet för en registrerad att påverka vilket kreditupplysningsföretag en kreditgivare anlitar. En invändning som skulle göras till ett kreditupplys- ningsföretag skulle i praktiken hindra den registrerade från att söka krediter hos vissa kreditgivare, utan att han eller hon skulle veta vilka dessa kreditgivare är. Regeringen anser att det förhållandet att en rätt att invända mot behandling skulle kunna få långtgående och svårförutsebara konsekvenser inte bara för effektiviteten i kreditgivningen i samhället utan även för den enskilde måste kunna beaktas i den proportionalitets- bedömning som ska göras. En möjlighet att invända mot behandling av personuppgifter skulle också kunna få konsekvenser på .