prop · H50395 · 2018-02-27 00:00:00 — I fråga om den rättsliga grund som tar sikte på myndighetsutövning konstaterar regeringen vidare att myndighetsutövning aldrig kan utövas utan stöd i gällande rätt (s. 63). Vad sedan gäller behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse görs, som redan nämnts, bedömningen att begreppet uppgift av allmänt intresse måste ges en vid betydelse. Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra bedöms vara av allmänt intresse. Myndigheternas uppdrag och åligganden framgår av bl.a. författningar och regeringsbeslut antagna i enlighet med regerings- formens bestämmelser om normgivningskompetens. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har enligt regeringen därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler (s. 56 f.). Regeringen föreslår i dataskyddslagen en bestämmelse som tydliggör att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskydds- förordningen, om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektiv- avtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den personuppgiftsansvariges myndighets- utövning enligt lag eller annan författning (2 kap. 2 § förslaget till dataskyddslag). Behandlingen är tillåten enligt artikel 6.1 och 6.3 I de lagar som är aktuella i denna proposition finns ett flertal bestäm- melser som innebär att uppgifter får eller måste behandlas på ett sådant sätt att dataskyddsförordningens bestämmelser blir tillämpliga. Det rör sig både om bestämmelser i de särskilda registerförfattningarna och om bestämmelser i andra lagar. I huvudsak är det fråga om behandling som utförs av myndigheter, framför allt , och Krono- fogdemyndigheten. Det kan t.ex. vara fråga om att uppgifter ska samlas in för vissa angivna ändamål eller skyldigheter för de nämnda myndig- heterna att lämna uppgifter. Vidare finns även bestämmelser som kan innebära att enskilda behöver behandla personuppgifter på ett visst sätt, t.ex. vid fullgörande av skyldigheter att lämna uppgifter till de berörda myndigheterna. Sådant uppgiftslämnande regleras t.ex. i skatteförfarandelagen som innehåller bestämmelser om förfarandet vid uttag av skatter och avgifter. Bestäm- melserna kan innebära att uppgifter måste behandlas av enskilda aktörer på ett sådant sätt att dataskyddsförordningen blir tillämplig. Sådan behandling som avses i de aktuella författningarna sker regel- mässigt för att utföra en uppgift av allmänt intresse. I vissa fall, särskilt i fråga om behandling som utförs av enskilda, är det fråga om att fullgöra rättsliga förpliktelser. För myndigheternas del innefattar uppgifterna dessutom ofta myndighetsutövning. Därutöver har de angivna grunderna i artikel 6.1 sina motsvarigheter dataskyddsdirektiv. Regeringens bedömning är att dataskyddsförordningen i de nu aktuella fallen inte innebär att utrymmet för tillåten behandling har blivit mindre. Regeringen anser att den behandling av personuppgifter som får utföras enligt bestämmelser i de berörda lagarna eller som måste utföras med anledning av bestämmelser i dem har rättslig grund enligt artikel 6.1 i dataskyddsförordningen. väcker i detta sammanhang frågan om det i den fortsatta lagstiftningsprocessen bör tydliggöras att utlämnande av information för användning i kreditupplysningsverksamheten är en uppgift av allmänt Enligt regeringen måste myndigheters verksamhet av detta slag anses vara av allmänt intresse i dataskyddsförordningens mening. Som framgår ovan är det en nyhet i dataskyddsförordningen att den rättsliga grund som avses i artikel 6.1 c och e ska vara fastställd i unionsrätten eller nationell rätt (artikel 6.3 första stycket). De uppgifter som åligger de berörda myndigheterna är fastställda i författningar, såsom i myndighetsinstruktioner och författningar som närmare reglerar viss verksamhet, eller i beslut som har meddelats med stöd av författning. För , och finns t.ex. bestämmelser om myndigheternas uppgifter i de förordningar som utgör myndigheternas instruktioner, men även i författningar som på ofta detaljerad nivå reglerar myndigheternas uppgifter i olika avseenden. Centrala bestämmelser för myndigheternas verksamhet finns t.ex. i skatteförfarandelagen, tullagen, folkbokföringslagen (1991:481) och utsökningsbalken. När det gäller nämnda myndigheters personupp- giftsbehandling finns i de flesta fall dessutom i registerförfattningarna särskilda bestämmelser som anger att personuppgifter får behandlas för vissa ändamål i verksamheten. Sådan behandling av enskilda aktörer som kan sägas vara en följd av bestämmelser i de berörda lagarna sker för att uppfylla specifika förpliktelser som har ålagts enskilda. Förpliktelserna framgår ofta direkt av bestämmelser i lag. Datainspektionen vill se ett tydligare utpekande av de rättsliga grunderna. Inspektionen efterfrågar även en analys av om lagstiftningen är proportionell mot det legitima mål som eftersträvas. Det är inte möjligt att ange samtliga författningsbestämmelser som kan utgöra grund för personuppgiftsbehandling på nu aktuellt område. Regeringen konstaterar dock att myndighetsutövning, som enligt ovan är en rättslig grund som ofta är tillämplig vid de aktuella myndigheternas personuppgiftsbehand- ling i , inte kan ske utan författningsstöd. Det kan därför förut- sättas att den rättsliga grunden för personuppgiftsbehandling som sker som ett led i myndighetsutövning är fastställd på det sätt som data- skyddsförordningen kräver. Detsamma gäller när den rättsliga grunden är en rättslig förpliktelse som en myndighet eller enskild har och som kräver personuppgiftsbehandling. Rättsliga förpliktelser framgår redan av eller meddelas med stöd av författning. Exempel på rättsliga förpliktelser som kräver personuppgiftsbehandling finns i skatteförfarandelagen. Lagen innehåller bl.a. ett flertal bestämmelser som ålägger enskilda att lämna uppgifter till inom ramen för förfarandet vid uttag av skatter och avgifter. De uppgifter som statliga myndigheter utför får som redan nämnts dessutom anses vara av allmänt intresse. Myndigheters verksamhet och uppdrag är vidare enligt regeringen reglerade på ett sådant sätt att dataskyddsförordningens krav på att grunden för behand- lingen ska vara fastställd är uppfyllt (jfr skäl 41). I föregående stycke har angetts några exempel på sådan reglering som ger , Tull- verket och uppgifter som är av allmänt intresse och som förutsätter personuppgiftsbehandling. Enligt artikel 6.3 andra stycket krävs bl.a. att medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara propor- 2017/18:95 tionell mot det legitima mål som eftersträvas. Regeringen anger som framgår ovan i prop. 2017/18:105 i detta avseende att dataskydds- förordningens krav motsvarar det krav som ställer på lagstiftaren i en rättsstat och att det bör vara mycket ovanligt att svensk rätt inte uppfyller krav. Regeringen bedömer i propositionen vidare att utgångspunkten bör vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndig- hetsutövning som fastställs i enlighet med svensk rätt (s. 50). Det kan enligt regeringen mot denna bakgrund förutsättas att när de bestämmelser som utgör grund för behandling av personuppgifter på skatte- och tullavdelningens område infördes, bedömdes de uppfylla mål av allmänt intresse och vara proportionella mot det legitima mål som eftersträvas. Regeringen bedömer vidare att syftet med sådan behandling som är nödvändig för att fullgöra rättsliga förpliktelser regelmässigt framgår i de författningar eller beslut som ger stöd för förpliktelsen. Regeringen finner därför inte skäl att i detta sammanhang generellt ompröva tidigare ställningstaganden beträffande samtliga berörda lagar. Någon ytterligare analys av om lagstiftningen är proportionell mot det legitima mål som eftersträvas är enligt regeringens mening inte heller påkallad. – Behandlingen är tillåten Regeringens slutsats är att den rättsliga grunden för den personuppgifts- behandling som får utföras enligt bestämmelser i de berörda lagarna eller som måste utföras med anledning av bestämmelser i dem är fastställd i den nationella rätten på ett sådant sätt som krävs enligt dataskyddsförord- ningen. Behandlingen är således tillåten enligt artikel 6.1 och 6.3 i data- skyddsförordningen. menar att det har skett en sammanblandning mellan rättslig grund och ändamål. anser vidare att bestämmelsen i 3 § lagen om det statliga personadressregistret, om för vilka register- ändamål uppgifterna i SPAR får behandlas, bör flyttas till instruktion för att skapa en rättslig grund för registret. Regeringen konstaterar att det som diskuteras i detta avsnitt är de rättsliga grunder som anges i dataskyddsförordningens artikel 6. Av regeringens slutsats ovan framgår vidare att regeringen inte anser att det krävs någon flytt av bestämmelsen i 3 § lagen om det statliga personadressregistret för att kravet på rättslig grund ska vara uppfyllt. anser att det behöver klargöras att personuppgiftsbehandling i s.k. eget utrymme är rättsligt grundad i dataskyddsförordningens mening, för det fall att myndigheterna är personuppgiftsansvariga för sådan behandling. Regeringen noterar att dessa frågeställningar inte föranleds av data- skyddsförordningen och de omfattas därför inte av detta lagstiftnings- ärende. Det kan dock finnas skäl att betona att den behandling som myndigheter och andra utför inom nu aktuella områden måste förhålla sig till och följa det regelverk som är tillämpligt för den behandling som de utför. Till exempel måste bl.a. även de allmänna kraven i artikel 5 i dataskyddsförordningen vara uppfyllda när personuppgifter behandlas. Den personuppgiftsansvarige ansvarar alltid för att bl.a. kraven i artikel 5 Regeringens bedömning: Bestämmelser i berörda lagar som innebär att personuppgifter får behandlas för andra ändamål än det ändamål för vilket uppgifterna har samlats in är förenliga med EU:s data- skyddsförordning. Remissinstanserna: avstyrker delvis bedömningen. Enligt är den bedömning som görs i promemorian färgad av att fastställande av ändamål och fastställande av rättslig grund för behandling betraktas som i princip samma sak, vilket det inte är. myndigheter inom skatt, tull och exekution ska kunna behandla uppgifter för ändamål som inte är förenliga med ändamålet för vilket uppgifterna samlades in bör nya rättsliga grunder för behandlingar införas. rättslig grund inte skapas bör regeringen ge myndigheterna i uppdrag att göra de bedömningar av lämpligheten i vidarebehandling som anges i artikel 6.4 i EU:s dataskyddsförordning. I övrigt yttrar sig ingen remiss- instans särskilt över bedömningen. Skälen för regeringens bedömning: En allmän dataskyddsrättslig princip är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt den s.k. finalitetsprincipen får uppgifterna inte senare behandlas för något annat ändamål som är oförenligt med insamlingsändamålen. Detta kommer till uttryck bl.a. i 9 § första stycket c och d PUL som genomför artikel 6.1 b i 1995 års När dataskyddsförordningen börjar tillämpas kom- mer dessa principer att följa av artikel 5.1 b i förordningen. ringen i förordningen följer vidare att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. En motsvarighet till denna reglering finns i 9 § andra stycket PUL. Av artikel 13 dataskyddsdirektiv följer att det är möjligt att göra undantag från finalitetsprincipen i nationell rätt i vissa fall. sådant undantag får införas om det är en nödvändig åtgärd med hänsyn till bl.a. ett viktigt ekonomiskt eller finansiellt intresse hos en medlems- stat eller hos Europeiska unionen, inklusive bl.a. skattefrågor. Även enligt dataskyddsförordningen är det under vissa förutsättningar tillåtet med bestämmelser som medger att insamlade personuppgifter vidarebehandlas även om det nya ändamålet är oförenligt med insam- Detta kan utläsas av skäl 50 där bl.a. följande anges. den registrerade har gett sitt medgivande eller behandlingen grundar sig på unionsrätten eller på medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa i synnerhet viktiga mål av allmänt intresse, bör den personuppgiftsansvarige tillåtas att behandla personuppgifterna ytter- ligare, oavsett om detta är förenligt med ändamålen eller inte. får också stöd av en motsatstolkning av artikel 6.4. Där finns en särskild bestämmelse för det fall då en behandling för andra ändamål än det 2017/18:95 registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1. I artikel 6.4 ges exempel på vissa omständigheter som ska beaktas vid prövningen av om behandlingen är förenlig med det ursprungliga ändamålet. Bland de mål som anges i artikel 23.1 nämns säkerställandet av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse. Det är tydligt att artikel 6.4, liksom skäl 50, utgår från att en sådan ytterligare behandling som utgör en nödvändig och proportionell åtgärd under alla omständigheter skulle vara tillåten. Regeringen bedömer mot bakgrund av det ovan anförda att data- skyddsförordningen i vart fall inte ger ett mindre utrymme än dataskyddsdirektiv att föreskriva i nationell rätt att ytterligare behandling av personuppgifter får ske, även om den ytterligare behandlingen inte är förenlig med det ändamål för vilket uppgifterna samlades in. Lagbestäm- melser som innebär att uppgifter som har samlats in för ett ändamål får eller ska behandlas för ett annat ändamål kan i vissa fall utgöra en tillämpning av finalitetsprincipen, dvs. regeringen och har gjort bedömningen att behandlingen är förenlig med den principen. I andra fall kan befintliga lagbestämmelser anses utgöra undantag från finalitetsprincipen. Dessa måste i så fall förutsättas vara förenliga med dataskyddsdirektiv, och är då i enlighet med ovanstående resonemang även förenliga med dataskyddsförordningen. Någon närmare bedömning av om befintliga bestämmelser är förenliga med artikel 5.1 b i dataskyddsförordningen behöver därför inte göras. Befintliga lag- bestämmelser som innebär behandling av personuppgifter för andra ändamål än det ändamål för vilket uppgifterna har samlats in får alltså förutsättas vara förenliga med dataskyddsförordningen. gör gällande att det bör införas nya rättsliga grunder för att behandling för andra ändamål än det för vilket uppgifterna samlades in ska få ske med stöd av dataskyddsförordningen. Om en ny rättslig grund inte skapas anser vidare att regeringen bör ge myndigheterna i uppdrag att göra de bedömningar av lämpligheten i vidarebehandling som anges i artikel 6.4 i dataskyddsförordningen. Av det ovan anförda framgår enligt regeringen att några nya rättsliga grunder inte behövs. Inte heller finns det något behov för regeringen att ge myndigheterna i uppdrag att iaktta vad som anges i artikel 6.4 i data- skyddsförordningen, som är direkt tillämplig. Vissa författningsändringsändringar som rör finalitetsprincipen föreslås i avsnitt 9.3. Utrymmet för nationell reglering inom Regeringens bedömning: EU:s dataskyddsförordning ger utrymme för en sådan särskild reglering om personuppgiftsbehandling som finns i berörda registerlagar och andra lagar. Promemorians bedömning: Överensstämmer med regeringens Remissinstanserna: tillstyrker bedömningen. yttrar sig ingen remissinstans särskilt över bedömningen. Skälen för regeringens bedömning: Enligt artikel 6.2 i EU:s data- skyddsförordning får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förord- ningen genom att närmare fastställa specifika krav för uppgiftsbehand- lingen och andra åtgärder för att säkerställa en laglig och rättvis behand- Detta förutsätter emellertid att det är fråga om sådan personupp- giftsbehandling som är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 När myndigheter behandlar personuppgifter för att fullgöra sina uppgifter sker det normalt med stöd av de rättsliga grunderna i artikel 6.1 c och e i förordningen, se avsnitt 7.1. I enlighet med skäl 8 i dataskyddsförordningen kan medlemsstaterna dessutom under vissa förutsättningar och i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestäm- melserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt. Enligt artikel 6.3 första stycket i dataskyddsförordningen ska de rättsliga grunder för behandlingen som avses i artikel 6.1 c och e fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. andra stycket ska vidare syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges behandling. Den rättsliga grunden kan enligt artikel 6.3 andra stycket innehålla särskilda bestämmelser för att anpassa bestämmelserna i dataskyddsförordningen, bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges myndighets- utövning, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid, samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Den nationella rätten ska i detta avseende uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Enligt artikel 23 i dataskyddsförordningen får begränsningar ske av vissa av de rättigheter och skyldigheter som föreskrivs i förordningen. 2017/18:95 Detta förutsätter att begränsningarna sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Det förutsätter också att begränsningen sker för något av de ändamål som anges i artikel 23.1, bl.a. den nationella säkerheten, försvaret och den allmänna säkerheten samt andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse. Det anförda innebär enligt regeringens bedömning att det även fortsätt- ningsvis finns ett utrymme för sådan sektorsspecifik särreglering om behandling av personuppgifter som finns i de svenska registerförfatt- ningarna (se även prop. 2017/18:105 s. 22). De registerlagar som reglerar aktuella myndigheters personuppgifts- behandling innehåller en mängd bestämmelser om under vilka förutsätt- ningar som personuppgiftsbehandling får ske. Det finns t.ex. bestäm- melser om för vilka ändamål personuppgifter får behandlas, vilka slag av uppgifter som får behandlas, behandling i särskilda databaser, regler om när utlämnande får ske elektroniskt och regler om när uppgifter ska gallras. Bestämmelserna har sin grund i de särskilda behov som respektive myndighet har att behandla personuppgifter för sin verksamhet. Som exempel kan nämnas behandling av personuppgifter för att korrekta beskattningsbeslut ska kunna fattas. Avvägningar har gjorts mot andra intressen, huvudsakligen behovet av skydd för den enskildes personliga integritet. Regeringens bedömning är således att denna typ av kompletterande reglering av person- uppgiftsbehandling i särskilda registerlagar och andra lagar kan behållas även när dataskyddsförordningen ska börja tillämpas. 9Överväganden och förslag som rör bestämmelser i registerförfattningar I avsnitt 5.2 redogörs för berörda registerförfattningar. Det är fråga om författningar som reglerar , och behandling av personuppgifter i olika verksamheter vid myndigheterna. I de författningar som gäller i stället för personuppgiftslagen anges vissa bestämmelser i personuppgiftslagen som gäller när personuppgifter behandlas enligt författningen. De författningar som gäller i stället för personuppgiftslagen är lagen om behandling av uppgifter i beskattningsverksamhet och den tillhörande förordningen, lagen om behandling av personuppgifter i folkbokföringsverksamhet och den tillhörande förordningen, lagen om behandling av uppgifter i verksamhet och den tillhörande förordningen samt lagen om behandling av uppgifter i verksamhet och den tillhörande förordningen. Dessa författningar är uppbyggda på väsent- ligen samma sätt och tillkom i samma lagstiftningsärende, se proposi- tionen Behandling av personuppgifter inom skatt, tull och exekution Prop. 2017/18:95 (prop. 2000/01:33). Det kan nämnas att även lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröst- ningar tillkom genom samma proposition. Även den lagen är föremål för översyn med anledning av EU:s dataskyddsförordning, se propositionen Anpassning till EU:s dataskyddsförordning av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar (prop. 2017/18:115). Registerförfattningarna där personuppgiftslagen gäller om inte av- vikande bestämmelser finns har mer varierande utformning. Detta gäller lagen om det statliga personadressregistret med tillhörande förordning, lagen om behandling av personuppgifter i äktenskaps- register- och bouppteckningsverksamheter med tillhörande förordning samt lagen om identitetskort för folkbokförda i med tillhörande förordning. Detta kapitel innehåller överväganden och förslag avseende ovan nämnda lagar. I vissa fall görs överväganden för lagar som inte är registerförfattningar, vilket då anges särskilt. 9.2Förhållandet till dataskyddsförordningen och dataskyddslagen Regeringens förslag: Bestämmelser i berörda lagar som reglerar förhållandet till personuppgiftslagen och vilka bestämmelser i person- uppgiftslagen som gäller ska tas bort. Det ska i stället införas bestäm- melser som anger att lagarna innehåller bestämmelser som komplette- rar EU:s dataskyddsförordning. Det ska också införas bestämmelser om att vid personuppgiftsbehandling enligt lagarna gäller även data- skyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen, om inte annat följer av respektive lag eller före- skrifter som har meddelats i anslutning till dessa. Hänvisningar till dataskyddsförordningen ska vara dynamiska, dvs. avse förordningen i den gällande lydelsen. Promemorians förslag: Överensstämmer med regeringens förslag med det undantaget att i promemorian hänvisas inte till föreskrifter i anslutning till dataskyddslagen. Promemorians förslag är också något annorlunda utformat. Remissinstanserna: Ingen remissinstans invänder mot förslagen. och tillstyrker uttryckligen förslagen. Skälen för regeringens förslag Registerförfattningarnas förhållande till EU:s dataskyddsförordning och dataskyddslagen ska klargöras Ikraftträdandet av EU:s dataskyddsförordning innebär att personuppgifts- lagen ska upphävas. aktuella registerförfattningar har hänvisningar till personuppgiftslagen. I vissa av lagarna anges att lagen gäller i stället för personuppgiftslagen, och avseende andra anges att personuppgifts- 2017/18:95 lagen gäller om det inte finns avvikande bestämmelser i författningen. Eftersom personuppgiftslagen kommer att upphävas kan dessa bestäm- melser inte finnas kvar.