prop · H503122 · 2018-03-06 00:00:00 — I personuppgiftslagen (1998:204), Bestämmelser om behandling av personuppgifter finns i Europa- parlamentets och rådets förordning (EU) 2016/679 av finns bestämmelser om behandling 2016 om skydd för fysiska personer av personuppgifter och integritets- med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om 95/46/EG lagen (2018:000) med komplette- rande bestämmelser till EU:s data- (2001:558) om vägtrafikregister. I lagen (2003:389) om elektronisk I lagen (2010:566) om vidareutnyttjande av handlingar från den offentliga förvaltningen finns bestämmelser om vidareutnyttjande av handlingar hos statliga och kommunala myndigheter. I produktansvarslagen (1992:18) finns bestämmelser om skadestånds- ansvar för produkter med säkerhetsbrister. Denna lag träder i kraft . Förslag till lag om ändring i lagen (2013:1164) Prop. Härigenom föreskrivs att 7, 25, 26 och 28 §§ lagen (2013:1164) om elektroniska vägtullssystem ska ha följande lydelse. 1. när ett avtal om förmedling av 1. när ett avtal om förmedling av vägtull träffas med en väganvän- vägtull träffas med en väganvän- dare informera denne om den be- dare informera denne om den avtalet medför och om väg- som avtalet medför och om väg- personuppgiftslagen (1998:204), förordning (EU) 2016/679 av den om skydd för fysiska personer med avseende på be- om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (allmän data- lagen (2018:000) med kom- pletterande bestämmelser till EU:s skrifter som har meddelats i anslutning till den lagen, 2.informera väganvändarna om sin täckning enligt 6 § och eventuella förändringar av den, 3.vid behov förse de väganvändare med vilka avtal om förmedling av vägtull har träffats med fordonsutrustning som uppfyller föreskrivna tekniska krav och visa att utrustningen uppfyller kraven, 4.tillhandahålla lämpliga tjänster och tekniskt stöd för anpassning av fordonsutrustning, 5.ansvara för de fasta parametrar för klassificering av ett fordon som är lagrade i fordonsutrustningen eller hos betalningsförmedlaren, 6.se till att variabla parametrar för klassificering av ett fordon kan ställas in manuellt genom fordonsutrustningen, 7.föra en förteckning över fordonsutrustning som är god- känd och som hänför sig till ett avtal mellan förmedlaren och en väg- 8.offentliggöra sina villkor för att träffa avtal med en väganvändare, 9.samarbeta med avgiftsupptagare vid indrivning av vägtullar. I fråga om behandling av per- Bestämmelser om behandling av sonuppgifter finns bestämmelser i personuppgifter finns i EU:s data- personuppgiftslagen (1998:204). bestämmelser till EU:s data- skyddsförordning samt i föreskrifter som har meddelats i anslutning till som för avgiftsupptagarens räkning som för avgiftsupptagarens räkning tar upp vägtullar, är person- tar upp vägtullar, är person- uppgiftsansvarig för den behandling uppgiftslagen för den behandling av av personuppgifter som en under- personuppgifter som en under- rättelse enligt 19 § innebär. rättelse enligt 19 § innebär. En betalningsförmedlare är per- En betalningsförmedlare är per- sonuppgiftsansvarig för den be- av personuppgifter som verksam- Den myndighet som regeringen bestämmer ska föra ett register över vägtullsområden och betalningsförmedlare (vägtullsregistret). Den myndighet som avses i Den myndighet som avses i första stycket är personuppgifts- första stycket är personuppgifts- ansvarig för registret enligt per- ansvarig för behandlingen av per- sonuppgiftslagen (1998:204). sonuppgifter i registret. Den myndighet som regeringen bestämmer utövar tillsyn över att av- giftsupptagare på enskild väg och betalningsförmedlare följer denna lag och föreskrifter som har meddelats i anslutning till lagen samt över att den tekniska utrustningen i ett vägtullssystem uppfyller föreskrivna krav. I personuppgiftslagen (1998:204) finns bestämmelser om tillsyn över behandlingen av personuppgifter. I EU:s dataskyddsförordning och i lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning samt i föreskrifter som har meddelats i anslutning till den lagen finns bestämmelser om tillsyn över behandlingen av personuppgifter. Denna lag träder i kraft . Förslag till lag om ändring i lagen (2014:52) om infrastrukturavgifter på väg Härigenom föreskrivs att 18 § lagen (2014:52) om infrastrukturavgifter på väg ska ha följande lydelse. Den som tar ut infrastruktur- Den som tar ut infrastruktur- avgifter på vägar som avses i 1 § avgifter på vägar som avses i 1 § första stycket 2 är personuppgifts- första stycket 2 är personuppgifts- ansvarig för den behandling av lagen (1998:204) för den behand- ling av personuppgifter som verk- I fråga om infrastrukturavgifter på vägar som avses i 1 § första stycket 1 finns bestämmelser om personuppgiftsansvar i lagen (2001:558) om vägtrafikregister. Denna lag träder i kraft . 1 Paragrafen fick sin nuvarande beteckning genom 2014:1561. 2017/18:122 3 Ärendet och dess beredning antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning), härefter EU:s dataskyddsförordning, se bilaga 1. Förordningen ska börja tilläm- I departementspromemorian En anpassning till dataskyddsförordningen av dataskyddsbestämmelser inom verksamhets- område (Ds 2017:28) lämnas förslag till författningsändringar med an- ledning av dataskyddsförordningen. En sammanfattning av promemorian finns i bilaga 2. Promemorians lagförslag finns i bilaga 3. har remissbehandlats och en förteckning över remissinstanserna finns i En sammanställning av remissyttrandena finns tillgänglig i (dnr N2017/04541/RS). I propositionen behandlar regeringen dels de lagförslag som lämnats i promemorian, dels några ytterligare frågor som tas upp i promemorian. Några remissinstanser föreslår därutöver författningsändringar som inte krävs med anledning av anpassningen till dataskyddsförordningen och där det saknas beredningsunderlag. Förslagen gäller främst behandling av personnummer i immaterialrättsliga ärenden och hur information får spridas i olika mediekanaler. Översynen som har föregått denna propo- sition har främst haft till syfte att klarlägga om befintliga dataskydds- bestämmelser är förenliga med dataskyddsförordningen och om det finns behov av att ändra bestämmelserna. Därför vidtar regeringen inga ytter- ligare lagstiftningsåtgärder än de som föreslås i detta lagstiftningsärende. Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 5. Lagrådets yttrande finns i Lagrådet lämnar förslagen utan erinran. lagrådsremissen har vissa språkliga och redaktionella ändringar gjorts. Allmänna regler om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter, härefter kallat dataskyddsdirektivet. Direktivet gäller inte behandling av personuppgifter på områden som faller utanför unionsrätten, t.ex. allmän säkerhet, försvar och statens verksamhet på straffrättens område. Dataskyddsdirektivet har huvudsakligen genomförts i svensk rätt ge- nom personuppgiftslagen (1998:204). Lagen gäller för både myndigheter och enskilda som behandlar personuppgifter och är tillämplig på person- uppgiftsbehandling även utanför dataskyddsdirektivets tillämpnings- område. Lagen är subsidiär, vilket innebär att bestämmelserna inte ska tillämpas om det finns avvikande bestämmelser i annan lag eller förordning. Personuppgiftslagen kompletteras i nationell rätt av ett stort antal registerförfattningar som bl.a. innehåller bestämmelser om hur statliga myndigheter får behandla personuppgifter. Bestämmelser om behandling av personuppgifter finns också i andra lagar som främst syftar till att reglera annat än sådan behandling t.ex. rennäringslagen (1971:437). Det finns även lagar som innehåller bestämmelser som kan medföra behandling av personuppgifter, och som i den meningen kan beröras av den nya dataskyddsförordningen. Ett exempel på en sådan bestämmelse är 23 a § mönstringslagen (1983:929) som reglerar uppgiftslämnande till andra länder. Nya förutsättningar med anledning av dataskyddsreformen Dataskyddsförordningen är en ny generell reglering av personuppgifts- behandling inom EU och ersätter det nuvarande dataskyddsdirektivet. Det huvudsakliga syftet med dataskyddsförordningen är att ytterligare harmonisera och effektivisera behandlingen av personuppgifter inom unionen för att förbättra den fria rörligheten av sådana uppgifter och öka skyddet för fysiska personer. Dataskyddsförordningen är tillämplig på sådan behandling av person- uppgifter som rör en fysisk person och som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av person- uppgifter som ingår i eller kommer att ingå i ett register. Förordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll, men är i flera avseenden mer detaljerad och innehåller en rad nyheter. Exempel- vis utökas skyldigheten att informera den registrerade om person- uppgiftsbehandlingen och det införs bestämmelser om administrativa sanktionsavgifter. Dataskyddsförordningen är direkt tillämplig och innebär begränsningar av medlemsstaternas möjligheter att införa eller behålla nationella regleringar om personuppgiftsbehandling. Förordningen förutsätter dock i vissa fall, och möjliggör i andra fall, att medlemsstater inför eller behåller kompletterande och specificerande nationella bestämmelser eller undantag från den unionsrättsliga regleringen. Eftersom dataskydds- förordningen behöver kompletteras med nationella regler föreslår regeringen en ny dataskyddslag, lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, härefter dataskyddslagen, som upphäver personuppgiftslagen och på ett generellt plan kompletterar och gör undantag från dataskyddsförordningen (prop. 2017/18:105). Lagen reglerar bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, skadestånd och överklagande. Dataskyddslagen föreslås bli subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser. Anpassningar av nationell rätt Inom ansvarsområden finns ett antal lagar som innehåller bestämmelser om personuppgiftsbehandling eller som hän- 2017/18:122 visar till personuppgiftslagen. Dessa författningar behöver anpassas till den nya dataskyddsförordningen. Anpassningen av bestämmelserna sker endast med anledning av att dataskyddsförordningen ska börja tillämpas och avser endast sådana ändringar som är nödvändiga till följd av förord- ningen. Det finns därför inte skäl att ompröva tidigare ställningstaganden eller göra en mer allmän översyn över de lagar som tillhör departemen- tets ansvarsområden och som innehåller bestämmelser om behand- ling av personuppgifter eller annan dataskyddsreglering. Vid anpassning- en av lagarna bör de begrepp och den terminologi som finns i dataskyddsförordningen följas. Rättslig grund för behandling av Regeringens bedömning: Bestämmelserna i dataskydds- förordning om att den rättsliga grunden för behandling av person- uppgifter i vissa fall ska vara fastställd i unionsrätten eller i medlems- staternas nationella rätt kräver inga ändringar i lagstiftningen inom Promemorians bedömning överensstämmer delvis med regeringens. promemorian görs bedömningen att domänadministratörens skyldighet enligt lagen (2006:24) om nationella toppdomäner för på Internet att tillgängliggöra vissa uppgifter på internet, vilket i fråga om person- uppgifter endast får ske med den registrerades samtycke, utgör rättslig grund för behandlingen. Remissinstanserna: De flesta remissinstanser lämnar promemorians bedömning utan invändningar. delar bedömningen som görs i promemorian men efterfrågar förtydligan- den av hur begreppen i artikel 6 i dataskyddsförordningen ska tillämpas. Datainspektionen efterfrågar ett tydligare utpekande av de rättsliga grun- derna och en analys som visar att lagstiftningen står i proportion till det legitima mål som eftersträvas. I fråga om elektroniska utlämnanden av personuppgifter efterfrågar ett utpekande av de rätts- liga grunderna och en redogörelse för hur bestämmelserna förhåller sig till principerna i artikel 5 i dataskyddsförordningen. åtkomst bör det vidare enligt Datainspektionen klargöras vad som avses med detta då det saknas en legaldefinition av begreppet. Datainspektionen att det behöver klargöras om samtycke utgör en rättslig grund för behandling och i så fall hur de övriga reglerna i den aktuella författningen förhåller sig till ett sådant samtycke. Skälen för regeringens bedömning För behandling av personuppgifter krävs rättslig grund För att behandling av personuppgifter ska vara laglig enligt dataskydds- förordningen krävs att behandlingen uppfyller minst en av de rättsliga grunderna i artikel 6.1 i dataskyddsförordningen. Villkoren i artikeln är uttömmande och till viss del överlappande. Flera grunder kan därför vara tillämpliga på samma behandling. Behandling av personuppgifter är enligt dataskyddsförordningen laglig om den registrerade har lämnat sitt samtycke till att dennes personupp- gifter behandlas för ett eller flera specifika ändamål, om behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås eller för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. Vidare är behandling laglig om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning. Den sista grunden i artikel 6 anger att behandling är laglig om den är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. I huvudsak är grunderna i artikel 6 samma som i dataskyddsdirektivet och personuppgiftslagen (jfr artikel 7 respektive 10 §). Sådan vägledning som PRV efterlyser avseende tolkningen av begreppen rättslig för- pliktelse, uppgift av allmänt intresse och myndighetsutövning bör där- med enligt regeringens mening till viss del kunna hämtas från hur begreppen har tillämpats i direktivet och i personuppgiftslagen. När det gäller begreppet uppgift av allmänt intresse gör regeringen i propositio- nen Ny dataskyddslag bedömningen att begreppet måste ges en vid bety- delse för att myndigheternas verksamhet ska kunna fungera även fortsättningsvis (prop. 2017/18:105 s. 56). En väsentlig skillnad i dataskyddsförordningens reglering om när behandling av personuppgifter är laglig jämfört med dataskydds- direktivets motsvarighet i artikel 7 är att behandling för ändamål som rör ett berättigat intresse inte gäller för behandling som utförs av myndig- heter när de fullgör sina uppgifter (artikel 6.1 andra stycket). Den möjligheten kvarstår dock för enskilda som behandlar personuppgifter. En annan skillnad är att dataskyddsförordningen ställer upp krav på att grunderna i artikel 6.1 c och e, dvs. behandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning, ska fastställas i unions- rätten eller i medlemsstaternas nationella rätt (artikel 6.3 första stycket). Det är den rättsliga förpliktelsen, uppgiften av allmänt intresse eller myndighetsutövningen som ska fastställas och inte själva behandlingen av personuppgifter. Förordningen förutsätter därmed ingen särskild reglering av behandlingen av personuppgifter. Däremot kan inte grunderna i artikel 6.1 c och e användas som stöd för personuppgifts- behandling om inte den rättsliga grunden är fastställd på det sätt som förordningen kräver. Den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen är enligt regeringens bedöm- ning i propositionen Ny dataskyddslag fastställd i enlighet med svensk rätt om den följer av författning eller beslut som har meddelats i enlighet 2017/18:122 med regeringsformens bestämmelser (prop. 2017/18:105 s. 48–52). Regeringen föreslår att dataskyddslagen ska innehålla förtydligande bestämmelser om hur de rättsliga grunder som avses i artikel 6.1 c och e fastställs i svensk rätt (2 kap. 1 och 2 §§). Vidare finns i dataskyddsförordningen ett krav på att syftet med behandlingen ska vara fastställt i den rättsliga grunden i fråga om en rättslig förpliktelse eller vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.3 andra stycket). Slutligen uppställer förordningen krav på att unionsrätten och medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. För att behandling av personuppgifter ska vara tillåten enligt dataskyddsförordningen är det emellertid inte tillräckligt att behand- lingen faller in under en av grunderna i artikel 6.1. Utöver det grundläggande kravet att all behandling måste vara laglig måste varje behandling också uppfylla de principer som anges i artikel 5. Enligt den artikeln ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Vidare anges och utvecklas vissa principer som gäller vid behandling av personuppgifter, nämligen principerna om ändamålsbegränsning, uppgiftsminimering, korrekthet, lagringsminimering samt integritet och konfidentialitet. Skyldigheterna i artikel 5 kan dock, under vissa förutsättningar, begränsas genom unions- rätten eller medlemsstaternas nationella rätt (artikel 23). När behandling sker med stöd av någon av grunderna i artikel 6.1 c eller e ger dataskyddsförordningen utrymme för att i nationell rätt behålla eller införa bestämmelser för att anpassa tillämpningen av förordningen (artikel 6.2 och 6.3 andra stycket). Detta får ske genom att medlems- staterna fastställer specifika krav för uppgiftsbehandlingen eller andra åtgärder för att säkerställa en laglig och rättvis behandling. Vilken rätts- lig grund en behandling vilar på har därmed avgörande betydelse för i vilken utsträckning nationella bestämmelser om behandling av person- uppgifter kan behållas eller införas. Närmare om rättslig grund inom departementets ansvarsområden Det finns inom ansvarsområdena ett antal lagar som ålägger såväl myndigheter som privata aktörer uppgifter och förpliktelser som kräver behandling av personuppgifter. Som exempel kan nämnas de register som ska föras enligt 4 kap. lagen (2011:725) om behörighet för lokförare och lagen (2009:619) om djurskyddskontrollregister. På ett övergripande plan bör det framhållas att de uppgifter som myndigheters och enskildas personuppgiftsbehandling avser till följd av författningsreglerad verksamhet har stöd i nationell rätt. Det är dock enligt regeringen inte möjligt att som Datainspektionen efterfrågar peka ut samtliga författningsbestämmelser som kan utgöra rättslig grund för den personuppgiftsbehandling som är tillåten inom ansvarsområdena. Det kan i stället generellt konstateras att myndighetsutövning i inte kan ske utan författningsstöd. Det kan därför enligt regeringens mening förutsättas att den rättsliga grunden för personuppgiftsbehandling som sker som ett led i myndighetsutövning är fastställd i nationell rätt på det sätt som dataskyddsförordningen kräver. Vidare är de uppgifter som statliga myndigheter utför generellt uppgifter av allmänt intresse. Myndigheternas verksamhet och uppdrag är enligt regeringen reglerade på ett sådant sätt att dataskydds- förordningens krav på att grunden för behandlingen ska vara fastställd i nationell rätt är uppfyllt. Även enskilda kan sägas ha uppgifter som är av allmänt intresse och som förutsätter personuppgiftsbehandling. Det kan vara fallet när en enskild aktör enligt lag är skyldig att utföra en viss uppgift. Detsamma gäller när den rättsliga grunden är en rättslig förpliktelse som en myndighet eller en enskild åläggs genom en för- fattning och som kräver personuppgiftsbehandling. Även förvaltnings- myndigheter kan, vid sidan av sina uppgifter och uppdrag, sägas ha rättsliga förpliktelser. En myndighets uppdrag enligt myndighets- instruktionen eller ett regleringsbrev kan i vissa fall vara en fastställd rättslig förpliktelse i dataskyddsförordningens mening t.ex. om myndig- heten ges i uppdrag att föra ett visst register (jfr prop. 2017/18:105 s. 53). Därutöver kan det, när det gäller sekretessbrytande uppgiftsskyldig- heter och Datainspektionens efterfrågande av hur sådana skyldigheter är fastställda, konstateras att dataskyddsregleringen inte innehåller några särskilda bestämmelser om möjligheterna att lämna personuppgifter mellan myndigheter. I vissa fall kan en skyldighet att lämna ut uppgifter medföra sådan behandling av personuppgifter som omfattas av data- skyddsförordningen. Det finns dock enligt regeringen inte skäl att närmare redogöra för varje enskild bestämmelse om uppgiftsskyldighet som kan utgöra rättslig grund för behandling av personuppgifter. Datainspektionen anser också att det finns ett behov av att peka ut de rättsliga grunderna i fråga om bestämmelser om elektroniskt utlämnande. I registerförfattningar finns ibland bestämmelser som syftar till att reglera formen för ett utlämnande av personuppgifter. I lagen om djurskydds- kontrollregister finns exempelvis en bestämmelse som anger under vilka förutsättningar personuppgifter får lämnas ut genom s.k. direktåtkomst (10 §). När det gäller elektroniska utlämnanden av personuppgifter inne- håller dataskyddsförordningen i likhet med nuvarande reglering inte några bestämmelser om sättet för att lämna ut personuppgifter. Utläm- nande av personuppgifter kan vara en form av behandling och då gäller dataskyddsförordningens krav. Det innebär bl.a. att principerna i artikel 5 ska följas. Det finns däremot inte anledning att, som Datainspektionen efterfrågar, särskilt redogöra för varje enskild bestämmelse som tillåter ett elektroniskt utlämnande av personuppgifter eller någon närmare redo- görelse för hur principerna i artikel 5 följs vid tillämpningen av bestämmelserna. Till skillnad från Datainspektionen ser regeringen inte heller att dataskyddsförordningen föranleder ett behov av att definiera vad som avses med direktåtkomst vid anpassning av de aktuella lagarna (jfr Högsta förvaltningsdomstolens dom, HFD 2015 ref. 61). Dataskyddsförordningens krav på att den rättsliga grunden för person- uppgiftsbehandlingen i vissa fall ska vara fastställd medför samman- fattningsvis inte något behov av ändringar i lagarna inom Närings- departementets ansvarsområden. Regeringen gör vidare bedömningen att lagstiftningen generellt är proportionerlig i förhållande till de legitima mål som eftersträvas. Kravet på proportionalitet i dataskydds- 2017/18:122 förordningens reglering återspeglar det krav som ställer på lagstiftaren i en rättsstat. Enligt 2 kap. 19 § regeringsformen får inte lagar och andra föreskrifter meddelas i strid med åtaganden enligt . Regeringen bedömer att det är mycket ovanligt att svensk rätt inte uppfyller krav (jfr prop. 2017/18:105 s. 50). Utgångspunkten bör därför vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndighets- utövning som fastställs i enlighet med svensk rätt.