prop · H503133 · 2018-03-01 00:00:00 — Även detta får, liksom regeringen anför i prop. 2017/18:105, anses vara ett uttryck för legalitetsprincipen. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig får bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. Utöver kravet på att personuppgiftsbehandlingen måste vara laglig, dvs. utföras med stöd av en rättslig grund i artikel 6.1, omges varje personuppgiftsbehandling även av andra krav. I artikel 5 i dataskyddsförordningen uppställs principer för behandling av personuppgifter. Principerna anger vilka allmänna krav som gäller vid personuppgiftsbehandlingen. Enligt artikel 5.1 a ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Den allmänna dataskyddsrättsliga principen att personuppgifter bara får samlas in för 2017/18:133 särskilda, uttryckligt angivna och berättigade ändamål framgår av artikel 5.1 b. Personuppgifter får inte senare behandlas på ett sätt som är oförenligt med de ändamål för vilka de har samlats in. Detta är ett uttryck för den s.k. finalitetsprincipen (jfr 9 § personuppgiftslagen). Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 anses inte vara oförenlig med de ursprungliga ändamålen. Sådan behandling är tillåten under förutsättning att lämpliga skyddsåtgärder vidtas för att säkerställa den registrerades rättigheter och friheter (se bl.a. principerna om lagringsminimering, integritet och konfidentialitet, artiklarna 5.1 e och f i dataskyddsförordningen). Finalitetsprincipen i artikel 5.1 b innebär att personuppgifter, som med stöd av en rättslig grund, har samlats in för ett visst ändamål inte senare får behandlas på ett sätt som är oförenligt med det ursprungliga insamlingsändamålet. Behandling av personuppgifter för andra ändamål än det ursprungliga insamlingsändamålet är därmed tillåten endast om behandlingen är förenlig med insamlingsändamålet. Enligt skäl 50 till dataskyddsförordningen krävs det i sådant fall inte någon annan separat rättslig grund än den med stöd av vilken personuppgifterna samlades in. Dataskyddsförordningen ställer inga krav på att de särskilda ändamålen ska vara fastställda i författning, men det finns inget hinder mot att göra det, så länge bestämmelserna uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas (artikel 6.3 andra stycket). Oavsett om ändamålen fastställs i författning eller inte är det alltid den personuppgiftsansvarige som ansvarar för att kunna visa att principerna i artikel 5 efterlevs (artikel 5.2). Enligt artikel 5.1 c, d och e ska personuppgifterna även vara adekvata, relevanta, korrekta och inte förvaras än vad som är nödvändigt. Uppgifterna måste också behandlas på ett sätt som säkerställer lämplig säkerhet (artikel 5.1 f). Av artikel 35 i dataskyddsförordningen följer också en skyldighet för den personuppgiftsansvarige att i vissa fall göra en konsekvensbedömning innan behandling av personuppgifter sker som sannolikt medför hög risk för fysiska personers rättigheter och friheter. Artiklarna 5 och 6 anger tillsammans de principer och grundläggande krav för när en behandling av personuppgifter är tillåten enligt dataskyddsförordningen. Rättslig grund för behandling av personuppgifter inom Miljö- och verksamhetsområde Inom Miljö- och verksamhetsområde finns författningar som innehåller bestämmelser som innebär att personuppgifter får eller ska behandlas på ett sådant sätt att dataskyddsförordningens bestämmelser blir tillämpliga. Det handlar främst om behandling av personuppgifter i samband med att författningsreglerade uppgifter utförs av myndigheter. Behandlingen avser i många fall myndighetsutövning. Ett fåtal författningar reglerar enskilda organs behandling av personuppgifter i samband med att de utför författningsreglerade uppgifter. Exempel på detta är lagen (1976:997) om vattenförbund, som reglerar förutsättningar för bildande av vattenförbund med uppgift att främja ett ändamålsenligt utnyttjande av vattnet i ett vattenområde. Ett annat exempel är lagen (2010:1539) om överlämnande av vissa förvaltningsuppgifter till den ideella föreningen , enligt vilken regeringen delegerar åt en enskild förening att pröva frågor om fördelning av statsbidrag till friluftsorganisationer. Det är knappast möjligt att, som Datainspektionen efterfrågar, peka ut samtliga författningsbestämmelser inom Miljö- och verksamhetsområde som kan utgöra rättslig grund för behandling av personuppgifter. På ett övergripande plan kan det dock konstateras att de uppgifter inom Miljö- och verksamhetsområde som myndigheter och även enskilda har ålagts inte kan utföras utan författningsstöd. I den mån den behandling av personuppgifter som myndigheter och enskilda utför har stöd i en i författning eller ett beslut som antagits i enlighet med regeringsformens bestämmelser kan det därmed förutsättas att den rättsliga förpliktelsen, uppgiften av allmänt intresse och myndighetsutövningen är fastställd i nationell rätt och har stöd i rättsordningen på det sätt som dataskyddsförordningen kräver. När det gäller dataskyddsförordningens krav om att lagstiftningen ska vara proportionell i förhållande till de legitima mål som eftersträvas (artikel 6.3 andra stycket) kan det, som ovan nämnts, konstateras att kravet återspeglar det krav som ställer på lagstiftaren i en rättsstat. Enligt regeringsformens bestämmelser får lagar och andra föreskrifter inte meddelas i strid med åtaganden enligt . Regeringen bedömer att det är mycket ovanligt att svensk rätt inte uppfyller krav. Utgångspunkten bör därför vara att dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndighetsutövning som har fastställts i enlighet med svensk rätt. De författningsreglerade uppgifter som myndigheter och enskilda utför inom departementets verksamhetsområde, har fastställts i enlighet med den svenska rättsordningen. Det kan därför förutsättas att dessa uppgifter, som myndigheter eller enskilda getts i uppdrag att utföra, även uppfyller regeringsformens legalitetsprincip och därmed också de krav som kommer till uttryck i skäl 41 i dataskyddsförordningen om att den rättsliga grunden eller en lagstiftningsåtgärd bör vara tydlig och precis och dess tillämpning bör vara förutsebar för personer som omfattas av den. Regeringen bedömer därmed att den aktuella lagstiftningen inom departementets verksamhetsområde generellt är proportionerlig i förhållande till de legitima mål som eftersträvas, att den är tydlig och precis och att dess tillämpning är förutsebar på det sätt som dataskyddsförordningen kräver. Regeringen bedömer, till skillnad från , att de författningsreglerade uppgifter, inom Miljö- och verksamhetsområde, som myndigheters och enskildas behandling av personuppgifter avser under alla förhållanden får anses utgöra uppgifter av allmänt intresse (artikel 6.1 e). En uppgift av allmänt intresse får rent språkligt antas avse något som är av intresse för eller berör många människor på ett bredare plan och begreppet bör ges en vid betydelse, vilket regeringen anför i prop. 2017/18:105. De uppgifter som eller regeringen gett i uppdrag åt statliga myndigheter att utföra får anses vara av allmänt intresse. Om uppgifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem. På motsvarande sätt bör de 2017/18:133 obligatoriska uppgifter som ålagts kommuner att utföra anses vara av Även författningsreglerade uppgifter som enskilda, pri- vata aktörer, utför på uppdrag av regeringen eller riksdag kan utgöra upp- gifter av allmänt intresse. Den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e bör därmed vanligen tillämpas när myndigheter och enskilda utför författningsreglerade uppdrag inom Miljö- och Eftersom de rättsliga grunderna är överlappande utesluter detta inte att även andra rättsliga grunder kan vara tillämpliga, t.ex. fullgörande av en rättslig förpliktelse (artikel 6.1 c) eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Detta kan t.ex. bli aktuellt när en myndighet eller en enskild aktör enligt lag är skyldig att utföra en uppgift av allmänt intresse som kräver behandling av personuppgifter och är ålagd att utföra en rättslig förpliktelse som kräver personuppgiftsbehandling. heter kan, vid sidan av sina uppgifter och uppdrag, sägas ha rättsliga för- En myndighets uppdrag enligt en förordning med myndighets- instruktion eller ett regleringsbrev kan i vissa fall utgöra en i enlighet med nationell rätt fastställd rättslig förpliktelse i dataskyddsförordningens mening, t.ex. om myndigheten ges i uppdrag att föra ett visst register. är möjligt att även andra rättsliga grunder kan vara tillämpliga, dock inte artikel 6.1 f såvitt avser myndigheters behandling. överlappning bedöms dock få en begränsad praktisk betydelse. myndigheter och enskilda behandlar personuppgifter i samband med att de verksamhetsområde bör det normalt kunna ske med stöd av den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e. Inom Miljö- och verksamhetsområde finns det lagstiftning som innehåller bestämmelser som uttryckligen anger för vilka ändamål personuppgifter får behandlas. Vidare finns det bestämmelser som anger vilka författningsreglerade uppgifter som en myndighet eller ett enskilt organ har att utföra, men som inte uttryckligen specificerar för vilka ändamål uppgifter får behandlas. Den sistnämnda kategorin av bestämmelser finns t.ex. i ellagen (1997:857) och i lagen om vatten- Uttryckliga ändamålsbestämmelser, som närmare specificerar för vilka ändamål behandling av personuppgifter är tillåten, finns i lagen om energideklaration för byggnader. Av 16 § lagen om energideklaration för byggnader följer att ska föra ett register över de energideklarationer som har lämnats till verket. I 18 § samma lag framgår ändamålet med registret. Enligt 18 § får uppgifterna i energidekla- 1) framtagande av statistik, 2) forskning, 3) uppföljning och utvärdering av energianvändningen och inomhusmiljön i bebyggelsen, 4) tillsyn och 5) annan allmän och enskild verksamhet där information om byggnader och deras energiprestanda och inomhusmiljö utgör underlag för bedömningar och beslut. föreskrifter om vilka uppgifter som får registreras i registret, urval och bearbetningar av personuppgifter, utlämnande och direktåtkomst till registret (se vidare 19 § samma lag och förordningen (2006:1592) om energideklaration för byggnader). En annan lag som uttryckligen reglerar för vilka ändamål uppgifter får behandlas är lagen om elcertifikat. 3 kap. 1 § lagen om elcertifikat ska kontoföringsmyndigheten föra ett certifikatkonton som kontoföringsmyndigheten ska lägga upp för elcertifikatberättigade innehavare av anläggningar samt för kvotpliktiga och deklarationsskyldiga. I fråga om personuppgifter ska registret ha till ändamål att tillhandahålla uppgifter för 1) verksamhet för vilken stat eller kommun ansvarar enligt lag eller annan författning och som a) avser elcertifikat som registreras i elcertifikatsregistret, b) för att kunna fullgöras förutsätter tillgång till information om elcertifikat, eller c) avser fullgörande av underrättelseskyldighet, 2) omsättning av elcertifikat, och 3) affärsverksamhet, kreditgivning eller annan allmän eller enskild verksamhet där information om elcertifikat utgör underlag för prövningar eller beslut (3 kap. 18 § samma lag). En liknande reglering finns också i 4 kap. 16 § lagen om handel med utsläppsrätter, som närmare reglerar för vilka ändamål personuppgifter som kontoföringsmyndigheten administrerar i unionsregistret kan behandlas. Ingen av de sektorsspecifika lagarna innehåller någon reglering om finalitetsprincipen. Av artikel 6.3 dataskyddsförordningen följer att medlemsstater får införa särskilda ändamålsbestämmelser när personuppgiftsbehandlingen sker med stöd av någon av de rättsliga grunderna, rättslig förpliktelse, uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 c eller e) i förordningen. De uttryckliga ändamålsbestämmelserna i lagen om energideklaration för byggnader, lagen om elcertifikat och lagen om handel med utsläppsrätter är enligt regeringens bedömning sådana bestämmelser som anpassar tillämpningen av dataskyddsförordningen och säkerställer kraven på laglig och rättvis behandling enligt artiklarna 6.2 och 6.3 i dataskyddsförordningen. Ändamålsbestämmelserna utgör därmed en tillåten specificering i nationell rätt och kan behållas. Artikel 5.1 b i dataskyddsförordningen är direkt tillämplig, vilket innebär att finalitetsprincipen gäller vid behandling av personuppgifter. Enligt regeringens bedömning finns det därmed inte heller något behov av att i lagen om energideklaration för byggnader, lagen om elcertifikat eller lagen om handel med utsläppsrätter införa nya bestämmelser som reglerar finalitetsprincipen. Ändamålsbestämmelserna ger tillsammans med den enligt dataskyddsförordningen direkt tillämpliga finalitetsprincipen myndigheterna ändamålsenliga möjligheter att behandla personuppgifter och minskar risken för obefogade intrång i den personliga integriteten. Ändamålsbestämmelserna kan därmed, till skillnad från vad är inne på, behållas oförändrade. När det gäller bestämmelser om myndigheters utlämnanden av uppgifter, kan det angående Datainspektionens efterfrågan av de rättsliga grunderna och hur bestämmelserna förhåller sig till principerna i artikel 5, konstateras att dataskyddsförordningen saknar särskilda bestämmelser om elektroniskt utlämnande och om uppgiftslämnande mellan myndigheter. I författningar som reglerar registerföring finns ibland bestämmelser som syftar till att reglera formen för ett utlämnande av uppgifter. Sådana bestämmelser finns exempelvis i lagen om energideklaration för byggnader, som innehåller bestämmelser om elektronisk överföring av energideklarationer till och om krav på behörighet för att utföra sådan överföring (se 12 och 15 §§). Enligt 19 § den lagen får regeringen meddela föreskrifter om bl.a. urval och bearbetningar av personuppgifter, 2017/18:133 utlämnande på medium för automatiserad behandling och om direktåtkomst till registret. En författningsreglerad skyldighet att lämna ut uppgifter, t.ex. elektroniskt via e-post, kan i vissa fall medföra en sådan behandling av personuppgifter som innebär att dataskyddsförordningen blir tillämplig. I sådana fall ska de grundläggande kraven för laglig behandling i artikel 6 och principerna i artikel 5 i dataskyddsförordningen följas. Det finns däremot inte anledning att, som Datainspektionen efterfrågar, särskilt redogöra för varje enskild bestämmelse som föreskriver uppgiftsskyldighet för myndigheter eller enskilda eller som tillåter ett elektroniskt utlämnande av personuppgifter eller någon närmare redogörelse för hur principerna i artikel 5 följs vid tillämpningen av bestämmelserna. Det är inte heller behövligt med en allmän konsekvensbedömning enligt artikel 35 för de anpassningar av lagstiftning som görs i detta lagstiftningsärende. Den personuppgiftsansvarige är dock skyldig att i vissa fall göra en konsekvensbedömning innan behandling sker av personuppgifter som sannolikt medför hög risk för fysiska personers rättigheter och friheter. Vid anpassningen av de nu aktuella lagarna ser regeringen, till skillnad från Datainspektionen, inte heller något behov av att definiera vad som avses med direktåtkomst (jfr Högsta förvaltningsdomstolens dom, HFD 2015 ref. 61). Sammanfattningsvis medför dataskyddsförordningens krav om att den rättsliga grunden för behandling av personuppgifter ska vara fastställd i unionsrätten eller nationell rätt inga lagändringar inom Miljö- och verksamhetsområde. Regeringen bedömer att de aktuella lagarna genom de ändringar som föreslås i denna proposition är förenliga med dataskyddsförordningen. Värt att betona är dock att det är den personuppgiftsansvarige som har ansvaret att för varje behandling av personuppgifter försäkra sig om att den är laglig och nödvändig, i fråga om de rättsliga grunderna i artikel 6.1 b–f, och följer dataskyddsförordningens principer i artikel 5. 6Bestämmelser om behandling av personuppgifter Regeringens förslag: Tillämpningsbestämmelser som anger att bestämmelser i personuppgiftslagen ska gälla tas bort. En upplysningsbestämmelse i lagen om geografisk miljöinformation ändras genom att hänvisningen till personuppgiftslagen ersätts med en upplysning om att bestämmelser om behandling av personuppgifter finns i EU:s dataskyddsförordning, dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen. Promemorians förslag överensstämmer i huvudsak med regeringens förslag. I fråga om upplysningsbestämmelsen i lagen om geografisk miljöinformation föreslår promemorian ingen hänvisning till föreskrifter som har meddelats i anslutning till dataskyddslagen. Remissinstanserna: Flertalet av remissinstanserna har inga särskilda synpunkter på förslagen. I fråga om lagen om geografisk miljöinformation, anser att den föreslagna regleringen kan skapa viss otydlighet eftersom dataskyddslagen gäller i den mån inte annat följer av sektorsspecifika författningar. Havs- och vattenmyndigheten framhåller däremot att det är positivt att upplysningsbestämmelsen i lagen om geografisk miljöinformation finns kvar och att det kan vara positivt att införa fler sådana upplysningsbestämmelser även i andra författningar. Skälen för regeringens förslag Inom Miljö- och verksamhetsområde finns tillämpningsbestämmelser som innebär att personuppgiftslagens bestämmelser ska gälla, generellt eller i vissa frågor. Sådana bestämmelser finns i lagen om handel med utsläppsrätter, lagen om geografisk miljöinformation och lagen om elcertifikat. innehåller, förutom regleringen i 15 § andra stycket, även en upplysning som anger att bestämmelser om behandling av personuppgifter finns i personuppgiftslagen (se 15 § första stycket 1). Upplysningsbestämmelsen innehåller en uppräkning av i vilka lagar det finns bestämmelser som myndigheter, kommuner och enskilda organ, som omfattas av lagen om geografisk miljöinformation, kan komma att behöva tillämpa (se vidare prop. 2009/10:224 s. 103). I denna uppräkning ingår en upplysning om att bestämmelser om behandling av personuppgifter i fastighetsregistret finns i lagen (2000:224) om fastighetsregister (se 15 § första stycket 2). Dataskyddsförordningen är direkt tillämplig. Det innebär att kommer den allmänna regleringen om behandling av personuppgifter att finnas i förordningens direkt tillämpliga bestämmelser. Även om dataskyddsförordningen är direkt tillämplig förutsätter den och ger i vissa avseenden utrymme för medlemsstaterna att införa kompletterande bestämmelser i form av preciseringar och begränsningar (se skäl 8 till dataskyddsförordningen). Sådana nationella bestämmelser kan bl.a. avse begränsningar av en registrerads rättigheter enligt förordningen eller preciseringar av för vilka ändamål personuppgifter får behandlas. Personuppgiftslagen kommer att upphävas när dataskyddsförordningen börjar tillämpas (se övergångsbestämmelserna i dataskyddslagen, prop. 2017/18:105). Kompletterande bestämmelser av generell karaktär kommer även att finnas i den nya lagen med kompletterande bestämmelser till dataskyddsförordningen som regeringen föreslår i prop. 2017/18:105. Dataskyddslagen föreslås vara subsidiär i förhållande till avvikande bestämmelser om behandling av personuppgifter i annan lag eller förordning (se 1 kap. 6 § dataskyddslagen, prop. 2017/18:105). Om det finns avvikande bestämmelser i en annan lag eller förordning ska den avvikande bestämmelsen tillämpas, om bestämmelsen är förenlig med dataskyddsförordningen och avser en fråga som enligt förordningen får särregleras eller specificeras genom nationell rätt (se även avsnitt 4.2.2). Detta innebär att avvikande bestämmelser om personuppgiftsbehandling i sektorsspecifik lagstiftning 2017/18:133 inom Miljö- och verksamhetsområde, eller annan lagstiftning som dessa bestämmelser hänvisar till (se särskilt 15 § lagen om geografisk miljöinformation) kommer att gälla, om bestämmelserna är förenliga med dataskyddsförordningen och får regleras särskilt i nationell rätt. Tillämpningsbestämmelserna ska tas bort Tillämpningsbestämmelser, som anger att personuppgiftslagens bestämmelser ska gälla, måste tas bort i och med att den lagen upphävs. Eftersom dataskyddsförordningen är direkt tillämplig och kompletterande bestämmelser i dataskyddslagen gäller, i den mån inte annat följer av sektorsspecifika författningar, bedömer regeringen att det inte finns något särskilt behov av att införa nya hänvisningar i befintliga bestämmelser eller nya bestämmelser om dataskyddslagens förhållande till dataskyddsförordningen och de sektorsspecifika lagarna inom Miljö- och verksamhetsområde. De generella tillämpningsbestämmelserna i lagen om handel med utsläppsrätter, lagen om geografisk miljöinformation och lagen om elcertifikat kan därmed upphävas utan att någon hänvisning till dataskyddsförordningen eller dataskyddslagen behöver införas. När det gäller bestämmelser om rättelse behöver dock i vissa fall kompletterande upplysningar införas. I bestämmelser om skadestånd behöver lydelsen av vissa rubrikers ändras, se övervägandena i avsnitt 7 och 8. Upplysningsbestämmelsen kan vara kvar Det saknas skäl att ta bort upplysningsbestämmelsen i lagen om geografisk miljöinformation. Bestämmelsen kan enligt regeringens bedömning vara kvar, men bör ändras så att 15 § första stycket 1 i stället upplyser om att bestämmelser om behandling av personuppgifter finns i dataskyddsförordningen, dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen. Den nuvarande upplysningen, i 15 § första stycket 2, om att bestämmelser om behandling av personuppgifter i fastighetsregistret finns i lagen om fastighetsregister kan vara kvar oförändrad. Eftersom bestämmelsen i 15 § endast lämnar upplysning om i vilken EU-förordning och i vilka författningar som det finns bestämmelser om behandling av personuppgifter finns det enligt regerings mening inte, såsom anser, något behov av att välja en annan lagteknisk utformning eller skäl att i lagen om geografisk miljöinformation närmare förtydliga dataskyddsförordningens och de respektive lagarnas förhållanden till varandra. Dataskyddslagens förhållande till dataskyddsförordningen och annan lag eller förordning behandlas i prop. 2017/18:105. Regeringens förslag: Hänvisningar till personuppgiftslagen i bestämmelser som pekar ut en personuppgiftsansvarig tas bort. Regeringens bedömning: Bestämmelser som pekar ut en registerförande myndighet behöver inte kompletteras med en reglering om vem som är personuppgiftsansvarig. Promemorians förslag och bedömning överensstämmer med regeringens. Remissinstanser: Flertalet av remissinstanserna har inga särskilda synpunkter på förslaget eller bedömningen. Skälen för regeringens förslag: Vad som ingår i personuppgiftsansvaret framgår av artikel 24 i dataskyddsförordningen. I definitionen i artikel 4.7 i dataskyddsförordningen anges att en personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur den personuppgiftsansvarige ska utses föreskrivas i unionsrätten eller medlemsstaternas nationella rätt. En liknande formulering finns i dataskyddsdirektivet (artikel 2 d).