prop · H503142 · 2018-03-13 00:00:00 — Paragrafen innebär en skyldighet för svenska värdepapperscentraler och kontoförande institut att tillhandahålla ändamålsenliga s.k. visselblåsar- Ändringen innebär att andra stycket, med erinran om att PUL gäller vid behandling av personuppgifter inom ramen för sådana rapporterings- system som avses i första stycket, tas bort. Övervägandena finns i avsnitt 9.1. Paragrafen behandlar hur avstämningsregister ska föras och syftet med registret, samt frågan om personuppgiftsansvar. I första stycket tas hänvisningen till PUL, avseende innebörden av personuppgiftsansvaret, bort. följer i stället av dataskyddsförordningen. Även andra stycket med en erinran om att PUL tillämpas vid behand- ling av personuppgifter om ägare och innehavare av särskild rätt till finansiella instrument, om inte annat anges, tas bort. Övervägandena finns i avsnitten 6.3 och 9.1. Paragrafen behandlar under vilka förutsättningar rättelse får ske av uppgifter i avstämningsregister. I paragrafen införs en ny tredje mening med en upplysning om att bestämmelsen gäller i stället för rätten till rättelse av personuppgifter enligt artikel 16 i dataskyddsförordningen. Övervägandena finns i avsnitt 7.3.3. Paragrafen behandlar frågor om skadeståndsansvar vid felaktiga registre- ringsåtgärder i ett avstämningsregister. Fjärde stycket, med hänvisning till bestämmelser i om skade- stånd, tas bort. Skadestånd vid felaktig behandling av personuppgifter regleras i stället i artikel 82 i dataskyddsförordningen. I 7 kap. 1 § i den 2017/18:142 nya dataskyddslagen finns en upplysning om att rätten till ersättning enligt dataskyddsförordningen gäller även vid överträdelser av bestäm- melser i den lagen och andra författningar som kompletterar den förord- ningen. Övervägandena finns i avsnitt 8.2.3. 12.3Förslaget till lag om ändring i lagen (1999:889) om registrering av krigsskada på egendom Paragrafen behandlar hur krigsskaderegistret ska föras och syftet med registret, samt personuppgiftsansvar. Ändringen i andra stycket innebär att hänvisningen till PUL, avseende innebörden av personuppgiftsansvaret, tas bort. Innebörden av person- uppgiftsansvaret regleras i stället i dataskyddsförordningen. Övervägandena finns i avsnitt 6.3. 12.4Förslaget till lag om ändring i lagen (2004:46) om värdepappersfonder Paragrafen innebär en skyldighet för fondbolag att tillhandahålla ända- målsenliga s.k. visselblåsarsystem. Ändringen innebär att andra stycket, med erinran om att PUL gäller vid behandling av personuppgifter inom ramen för sådana rapporterings- system som avses i första stycket, tas bort. Övervägandena finns i avsnitt 9.1. Paragrafen behandlar skyldighet för fondbolag att föra eller låta föra register över samtliga innehavare av andelar i fonden. Ändringen i första stycket innebär att erinran om att PUL gäller vid automatiserad och viss behandling av personuppgifter tas bort. Övervägandena finns i avsnitt 9.1. 12.5 Förslaget till lag om ändring i lagen (2004:297) om bank- och finansieringsrörelse Paragrafen innebär en skyldighet för kreditinstitut att tillhandahålla ända- målsenliga s.k. visselblåsarsystem. Ändringen innebär att andra stycket, med erinran om att PUL gäller vid Prop. 2017/18:142 behandling av personuppgifter inom ramen för sådana rapporterings- system som avses i första stycket, tas bort. Övervägandena finns i avsnitt 9.1. 12.6Förslaget till lag om ändring i lagen (2007:528) om värdepappersmarknaden Paragrafen innebär en skyldighet för företag hemmahörande utanför EES som har fått tillstånd att driva värdepappersrörelse från filial i att tillhandahålla ändamålsenliga s.k. visselblåsarsystem. Ändringen innebär att andra stycket, med erinran om att PUL gäller vid behandling av personuppgifter inom ramen för sådana rapporterings- system som avses i första stycket, tas bort. Övervägandena finns i avsnitt 9.1. Paragrafen innebär en skyldighet för värdepappersbolag att tillhandahålla ändamålsenliga s.k. visselblåsarsystem. Ändringen innebär att andra stycket, med erinran om att PUL gäller vid behandling av personuppgifter inom ramen för sådana rapporterings- system som avses i första stycket, tas bort. Övervägandena finns i avsnitt 9.1. Paragrafen innebär en skyldighet för den som tillhandahåller en data- rapporteringstjänst att ha ändamålsenliga s.k. visselblåsarsystem. Ändringen innebär att andra stycket, med erinran om att PUL gäller vid behandling av personuppgifter inom ramen för sådana rapporterings- system som avses i första stycket, tas bort. Övervägandena finns i avsnitt 9.1. Paragrafen innebär en skyldighet för en börs att tillhandahålla ändamåls- enliga s.k. visselblåsarsystem. Ändringen innebär att andra stycket, med erinran om att PUL gäller vid behandling av personuppgifter inom ramen för sådana rapporterings- system som avses i första stycket, tas bort. Övervägandena finns i avsnitt 9.1. 2017/18:142 12.7 Förslaget till lag om ändring i lagen (2010:751) Paragrafen behandlar rätten för en betaltjänstleverantör eller den som ansvarar för ett betalningssystem att behandla personuppgifter och föra register i samband med granskning för att upptäcka misstänkta transak- tioner. Ändringen innebär att erinran om att rätten att behandla person- uppgifter och föra register enligt 2–9 §§ gäller utöver PUL tas bort. Övervägandena finns i avsnitt 9.1. 12.8Förslaget till lag om ändring i försäkringsrörelselagen (2010:2043) Paragrafen stadgar om tystnadsplikt gentemot en förmånstagare avseende behandlad personuppgift som anger att försäkringstagaren har vidtagit dispositioner beträffande försäkringsbelopp som utfaller till förmånstagaren. Ändringen innebär att hänvisningen till PUL ersätts med en hänvisning till dataskyddsförordningen. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. avser den gällande lydelsen av förord- ningen. Övervägandena finns i avsnitt 7.2. 12.9Förslaget till lag om ändring i lagen (2016:1306) med kompletterande bestämmelser till EU:s marknadsmissbruksförordning Paragrafen behandlar skyldighet att föra register över anmälningar som har gjorts enligt artikel 19.1–19.10 i marknads- missbruksförordningen. Ändringen i tredje stycket innebär att hänvisningen till PUL avseende innebörden av personuppgiftsansvar tas bort. Inne- börden av personuppgiftsansvaret regleras i stället i dataskyddsförord- ningen. Övervägandena finns i avsnitt 6.3. Paragrafen innebär en skyldighet för finansiella företag att tillhandahålla ändamålsenliga s.k. visselblåsarsystem. Andra stycket första meningen om att PUL gäller vid behandling av personuppgifter inom ramen för sådana rapporteringssystem som avses i första stycket tas bort. I andra stycket andra meningen ersätts hänvisningen till 21 § PUL med en hänvisning till artikel 10 i dataskyddsförordningen. De uppgifter som avses i denna artikel är personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhets- åtgärder. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. avser den gällande lydelsen av förordningen. Övervägandena finns i avsnitten 5.3 och 9.1. Förslaget till ändring i lagen (2017:630) om åtgärder mot penningtvätt och finansiering av Paragrafen anger tillämpningsområdet för förevarande kapitel. Ändringen innebär att andra stycket, med erinran om att PUL gäller vid verksamhetsutövarens behandling av personuppgifter, om inte annat följer av kapitlet, tas bort. Övervägandena finns i avsnitt 9.1. Paragrafen behandlar under vilka förutsättningar en verksamhetsutövare får behandla känsliga personuppgifter. Ändringen i första stycket innebär att hänvisningen till 13 § PUL ersätts med en hänvisning till artikel 9.1 i dataskyddsförordningen. uppgifter som avses i denna artikel är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse eller medlemskap i fackförening och genetiska uppgifter, bio- metriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella Hänvisningen till dataskyddsförordningen är dynamisk, dvs. avser den gällande lydelsen av förordningen. Ändringen i andra stycket är endast språklig. Övervägandena finns i avsnitt 5.2. Paragrafen behandlar under vilka förutsättningar personuppgifter om lagöverträdelser får behandlas av en verksamhetsutövare. Ändringen i första stycket innebär att hänvisningen till 21 § PUL ersätts med en hänvisning till artikel 10 i dataskyddsförordningen. uppgifter som avses i denna artikel är personuppgifter som rör fällande 2017/18:142 domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. avser den gällande lydelsen av förordningen. Ändringen i andra stycket är endast språklig. Övervägandena finns i avsnitt 5.2. Paragrafen innebär en skyldighet för verksamhetsutövare att tillhanda- hålla ändamålsenliga s.k. visselblåsarsystem. Ändringen innebär att tredje stycket, med erinran om att PUL gäller vid behandling av personuppgifter inom ramen för sådana rapporterings- system, tas bort. Övervägandena finns avsnitt 9.1. 12.11Förslaget till lag om ändring i lagen (2017:631) om registrering av verkliga huvudmän Paragrafen innehåller undantag från skyldigheten att anmäla uppgifter om verkliga huvudmän om det medför att känsliga personuppgifter av- slöjas. Ändringen i andra stycket innebär att nuvarande hänvisning till uppgift om en fysisk persons medlemskap i fackförening, hälsotillstånd eller sexualliv ersätts med en hänvisning till sådana känsliga personuppgifter som avses i artikel 9.1 i dataskyddsförordningen. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. avser den gällande lydelsen av förordningen. Med hänvisning i andra stycket till sådana personuppgifter som annars avses i artikel 9.1, menas sådana uppgifter utöver de som redan nämnts i första stycket. På så vis omfattar paragrafen samtliga typer av uppgifter som anges i artikel 9.1, nämligen personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Övervägandena finns i avsnitt 5.2. Europeiska unionens officiella tidning L 119/1 OCH RÅDETS FÖRORDNING (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (Text av betydelse för EES) OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (1), med beaktande av yttrande (2), i enlighet med det ordinarie lagstiftningsförfarandet (3), och av följande skäl: (1)Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. (2)Principerna och reglerna för skyddet för fysiska personer vid behandling av deras personuppgifter bör, oavsett deras medborgarskap eller hemvist, respektera deras grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Avsikten med denna förordning är att bidra till att skapa ett område med frihet, säkerhet och rättvisa och en ekonomisk union, till ekonomiska och sociala framsteg, till förstärkning och konvergens av ekonomierna inom den inre marknaden samt till fysiska personers välbefinnande. (3)och rådets direktiv /46/EG (4) syftar till att harmonisera skyddet av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter och att säkerställa det fria flödet av personuppgifter mellan medlemsstaterna. (1) EUT C 229, 31.7.2012, s. 90. (2) EUT C 391, 18.12.2012, s. 127. (3) ståndpunkt av (ännu ej offentliggjord i EUT) och rådets ståndpunkt vid första behandlingen av (ännu ej offentliggjord i EUT). (4) och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31). L 119/2 Europeiska unionens officiella tidning (4)Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald. (5)Den ekonomiska och sociala integration som uppstått tack vare den inre marknaden har lett till en betydande ökning av de gränsöverskridande flödena av personuppgifter. Utbytet av personuppgifter mellan offentliga och privata aktörer, inbegripet fysiska personer, sammanslutningar och företag, över hela unionen har ökat. Nationella myndigheter i medlemsstaterna uppmanas i unionsrätten att samarbeta och utbyta personuppgifter för att vara i stånd att fullgöra sina uppdrag eller utföra arbetsuppgifter för en myndighet som finns i en annan medlemsstat. (6)Den snabba tekniska utvecklingen och globaliseringen har skapat nya utmaningar vad gäller skyddet av personuppgifter. Omfattningen av insamling och delning av personuppgifter har ökat avsevärt. Tekniken gör det möjligt för både privata företag och offentliga myndigheter att i sitt arbete använda sig av personuppgifter i en helt ny omfattning. Allt fler fysiska personer gör sina personliga uppgifter allmänt tillgängliga, världen över. Tekniken har omvandlat både ekonomin och det sociala livet, och bör ytterligare underlätta det fria flödet av personuppgifter inom unionen samt överföringar till tredjeländer och internationella organisationer, som en hög skyddsnivå säkerställs för personuppgifter. (7)Dessa förändringar kräver en stark och mer sammanhängande ram för dataskyddet inom unionen, uppbackad av kraftfullt tillsynsarbete, eftersom det är viktigt att skapa den tillit som behövs för att utveckla den digitala ekonomin över hela den inre marknaden. Fysiska personer bör ha kontroll över sina egna personuppgifter. Den rättsliga säkerheten och smidigheten för fysiska personer, ekonomiska operatörer och myndigheter bör stärkas. (8)Om denna förordning föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av denna förordning i nationell rätt. (9)Målen och principerna för direktiv /46/EG är fortfarande giltiga, men det har inte kunnat förhindra bristande enhetlighet i genomförandet av dataskyddet i olika delar av unionen, rättsosäkerhet eller allmänt spridda uppfattningar om att betydande risker kvarstår för fysiska personer, särskilt med avseende på användning av internet. Skillnader i nivån på skyddet av fysiska personers rättigheter och friheter, särskilt rätten till skydd av personuppgifter, vid behandling av personuppgifter i olika medlemsstater kan förhindra det fria flödet av personuppgifter över hela unionen. Dessa skillnader kan därför utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, de kan snedvrida konkurrensen och hindra myndigheterna att fullgöra sina skyldigheter enligt unionsrätten. De varierande skyddsnivåerna beror på skillnader i genomförandet och tillämpningen av direktiv /46/EG. (10)För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. Vad gäller behandlingen av personuppgifter för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgift sansvarige, bör medlemsstaterna tillåtas att behålla eller införa nationella bestämmelser för att närmare fastställa hur bestämmelserna i denna förordning ska tillämpas. Jämte den allmänna och övergripande lagstiftning om dataskydd varigenom direktiv /46/EG genomförs har medlemsstaterna flera sektorsspecifika lagar på områden som kräver mer specifika bestämmelser. Denna förordning ger dessutom medlemsstaterna handlingsutrymme att specificera sina bestämmelser, även för behandlingen av särskilda kategorier av personuppgifter (nedan kallade känsliga uppgifter). Denna förordning utesluter inte att det i medlemsstaternas nationella rätt fastställs närmare omständigheter för specifika situationer där uppgifter behandlas, inbegripet mer exakta villkor för laglig behandling av personuppgifter. Europeiska unionens officiella tidning L 119/3 (11)Ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras och att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter klargörs, samt att det finns likvärdiga befogenheter för övervakning och att det säkerställs att reglerna för skyddet av personuppgifter efterlevs och att sanktionerna för överträdelser är likvärdiga i medlemsstaterna. (12)I artikel 16.2 i EUF-fördraget bemyndigas och rådet att fastställa bestämmelser om skydd för fysiska personer när det gäller behandling av personuppgifter och bestämmelser om den fria rörligheten för personuppgifter. (13)För att säkerställa en enhetlig nivå för skyddet av fysiska personer över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden behövs en förordning som skapar rättslig säkerhet och öppenhet för ekonomiska aktörer, däribland mikroföretag samt små och medelstora företag, och som ger fysiska personer i alla medlemsstater samma rättsligt verkställbara rättigheter och skyldigheter samt ålägger personuppgiftsansvariga och personuppgiftsbiträden samma ansvar, så att övervakningen av behandling av personuppgifter blir enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyn digheterna i olika medlemsstater effektivt. För att den inre marknaden ska fungera väl krävs att det fria flödet av personuppgifter inom unionen inte begränsas eller förbjuds av skäl som har anknytning till skydd för fysiska personer med avseende på behandling av personuppgifter. För att ta hänsyn till mikroföretagens samt de små och medelstora företagens särskilda situation innehåller denna förordning ett undantag för organisationer som sysselsätter färre än 250 personer med avseende på registerföring. Dessutom uppmanas unionens institutioner och organ samt medlemsstaterna och deras tillsynsmyndigheter att vid tillämpningen av denna förordning ta hänsyn till mikroföretagens samt de små och medelstora företagens särskilda behov. samt små och medelstora företag bör bygga på artikel 2 i bilagan till kommissionens rekommendation 2003/361/EG (1). (14)Det skydd som ska tillhandahållas enligt denna förordning bör tillämpas på fysiska personer, oavsett medborgarskap eller hemvist, med avseende på behandling av deras personuppgifter. Denna förordning omfattar inte behandling av personuppgifter rörande juridiska personer, särskilt företag som bildats som juridiska personer, exempelvis uppgifter om namn på och typ av juridisk person samt kontaktuppgifter. (15)För att förhindra att det uppstår en allvarlig risk för att reglerna kringgås bör skyddet för fysiska personer vara teknikneutralt och inte vara beroende av den teknik som används. Skyddet för fysiska personer bör vara tillämpligt på både automatiserad och behandling av personuppgifter, om personuppgifterna ingår i eller är avsedda att ingå i ett register. Akter eller grupper av akter samt omslag till dessa, som inte är ordnade enligt särskilda kriterier, bör inte omfattas av denna förordning. (16)Denna förordning är inte tillämplig på frågor som rör skyddet av grundläggande rättigheter och friheter eller det fria flödet av personuppgifter på områden som inte omfattas av unionsrätten, såsom verksamhet rörande nationell säkerhet. Denna förordning är inte tillämplig på medlemsstaternas behandling av personuppgifter när de agerar inom ramen för unionens gemensamma utrikes- och säkerhetspolitik. (17)och rådets förordning (EG) nr 45/2001 (2) är tillämplig på den behandling av personuppgifter som sker i unionens institutioner, organ och byråer. Förordning (EG) nr 45/2001 och de av unionens övriga rättsakter som är tillämpliga på sådan behandling av personuppgifter bör anpassas till principerna och bestämmelserna i den här förordningen och tillämpas mot bakgrund av den här förordningen. För att tillhandahålla en stark och sammanhängande ram för dataskyddet inom unionen bör nödvändiga anpassningar av förordning (EG) nr 45/2001 göras när den här förordningen har antagits, så att de båda förordningarna kan tillämpas . (18)Denna förordning är inte tillämplig på fysiska personers behandling av personuppgifter som ett led i verksamhet som är helt och hållet privat eller har samband med personens hushåll och därmed saknar koppling till yrkes- eller affärsmässig verksamhet. Privat verksamhet eller verksamhet som har samband med hushållet kan omfatta (1) Kommissionens rekommendation av om definitionen av mikroföretag samt små och medelstora företag (K(2003) 1422) (EUT L 124, 20.5.2003, s. 36). (2) och rådets förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitu tionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, , s. 1). L 119/4 Europeiska unionens officiella tidning korrespondens och innehav av adresser, aktivitet i sociala nätverk och internetverksamhet i samband med sådan verksamhet. Denna förordning är dock tillämplig på personuppgiftsansvariga eller personuppgiftsbiträden som tillhandahåller utrustning för behandling av personuppgifter för sådan privat verksamhet eller hushålls verksamhet. (19)Skyddet för fysiska personer när det gäller behöriga myndigheters behandling av personuppgifter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten och det fria flödet av sådana uppgifter, säkerställs på unionsnivå av en särskild unionsrättsakt. Därför bör denna förordning inte vara tillämplig på behandling av personuppgifter för dessa ändamål. Personuppgifter som myndigheter behandlar enligt denna förordning och som används för de ändamålen bör emellertid regleras genom en mer specifik unionsrättsakt, nämligen och rådets direktiv (EU) 2016/680 (1).