prop · H50395 · 2018-02-27 00:00:00 — Av 12 § första stycket PUL följer att den registrerade har rätt att när som helst återkalla sitt samtycke i vissa fall då behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke. Av andra stycket följer att en registrerad, utöver vad som följer av första stycket och 11 §, inte har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt personuppgiftslagen. Möjligheterna för den registrerade att mot- sätta sig behandling är alltså begränsade enligt personuppgiftslagen. I 1 kap. 2 § andra stycket lagen om behandling av uppgifter i Skatte- verkets beskattningsverksamhet, men också i lagen om behandling av personuppgifter i folkbokföringsverksamhet, lagen om behandling av uppgifter i verksamhet, lagen om behandling av uppgifter i verksamhet, lagen om identi- tetskort för folkbokförda i och lagen om behandling av person- uppgifter i äktenskapsregister- och bouppteckningsverk- samheter finns uttryckliga bestämmelser som innebär att behandling av personuppgifter som är tillåten enligt respektive lag får utföras även om den registrerade motsätter sig behandlingen. I lagen och förordningen om det statliga personadressregistret saknas sådana uttryckliga bestämmelser. Som framgår ovan finns ingen generell rätt enligt personuppgiftslagen för en enskild att motsätta sig behandling av personuppgifter. Det gäller dock med undantag för bl.a. behandling som sker för direkt marknadsföring. Även utan uttryckliga bestämmelser i lagen om det statliga personadressregistret gäller således att behandling i SPAR får ske trots att en enskild motsätter sig behandling. Undantag gäller enligt denna lag för behandling som sker vid urvalsdragning för direktreklam. I 4 § lagen om det statliga personadressregistret, som reglerar innehållet i SPAR, finns nämligen en bestämmelse om att det på begäran av den registrerade ska anges i SPAR att uppgifter om denne inte får behandlas vid urvalsdragning för direktreklam. Dataskyddsförordningens bestämmelser om rätten att göra invändningar Rätten att göra invändningar regleras i artikel 21 i dataskyddsförord- ningen. Vid behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse, som ett led i myndighetsutövning eller efter en intresseavvägning (dvs. behandling enligt artikel 6.1 e eller f i dataskyddsförordningen) ska den registrerade enligt artikel 21.1 ha rätt att när som helst, av skäl som hänför sig till hans eller hennes specifika situation, göra invändningar mot behandlingen. Den personuppgifts- ansvarige får inte längre behandla personuppgifterna, såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Av artikel 21.2 framgår också att den registrerade ska ha rätt att när som helst invända mot behandling av personuppgifter som avser honom eller henne som sker för direkt marknadsföring. Enligt artikel 21.3 ska person- uppgifterna inte längre behandlas för direkt marknadsföring, om den registrerade invänder mot det. Av artikel 21.4 framgår att rätten att invända mot behandling uttryckligen ska meddelas den registrerade senast vid den första kommunikationen med denne. Begränsningar i rätten att göra invändningar får enligt dataskydds- förordningen endast göras under de förutsättningar som anges i artikel 23, eller i vissa situationer med stöd av artikel 89.2–3 (jfr avsnitt 9.5.1). Befintliga bestämmelser kan behållas, men bör justeras Som framgår av avsnitt 7.1 sker den behandling som regleras i lagarna regelmässigt för att utföra en uppgift av allmänt intresse och ofta som ett led i myndighetsutövning. Sådan behandling kommer att omfattas av artikel 6.1 e i dataskyddsförordningen. Rätten att göra invändningar enligt artikel 21.1 gäller vid behandling som endast grundar sig på artikel 6.1 e. En del av den personuppgiftsbehandling som omfattas av de berörda lagarna sker för att myndigheterna ska kunna uppfylla en rättslig förpliktelse. I dessa fall kan behandlingen ske med stöd av artikel 6.1 c, dvs. den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. I de fall behandling av personuppgifter sker för att en rättslig förpliktelse ska kunna fullgöras gäller inte rätten i artikel 21.1 i dataskyddsförordningen att göra invändningar. Dataskydds- utredningen gör bedömningen att det är den rättsliga grund som avses i artikel 6.1 e, dvs. utförande av en uppgift av allmänt intresse, som vanligen bör tillämpas av myndigheter, även utanför området för myndighetsutövning (SOU 2017:39 s. 128). bedömning i prop. 2017/18:105 (s. 57). Regeringen anser att det kan vara fråga om att fullgöra en rättslig förpliktelse i de situationer då myndigheterna ges i uppdrag att föra ett visst register (s. 53). Det finns också t.ex. bestämmelser som ger myndigheterna skyldighet att lämna ut uppgifter. Även bestämmelser som anger att en myndighet får t.ex. föra ett visst register borde enligt regeringens bedömning i vissa fall kunna anses innefatta en skyldighet för myndigheten att göra detta. Rätten att göra invändningar kan mot den bakgrunden sannolikt bli tillämplig för den största delen av den behandling som regleras i de berörda författningarna. dataskyddsdirektiv ställer inte upp några särskilda villkor för att införa begränsningar i rätten att motsätta sig behandling i nationell rätt. I personuppgiftslagen finns, som nämnts, endast möjlighet att motsätta sig behandling i vissa särskilda situationer. Som framgår ovan är det möjligt att med stöd av artikel 23.1 i dataskyddsförordningen införa nationella undantag från rätten att invända mot behandling. Möjligheten att begränsa rätten att göra invändningar med stöd av artikel 89.2–3 är däremot inte aktuell här. Den behandling som utförs av myndigheterna enligt de berörda lagarna får antas regelmässigt vara av sådan karaktär att behandlingen får fortsätta enligt artikel 21.1 även om den registrerade invänder mot behandlingen. En rätt för den registrerade att invända mot behandling av personuppgifter kan dock ändå tänkas påverka effektiviteten i myndig- heternas verksamhet. Begränsningar i rätten att göra invändningar får göras enligt artikel 23.1 i syfte att säkerställa bl.a. ett viktigt mål av generellt allmänt intresse för medlemsstaten. Det krävs också att begränsningen uppfyller krav på nödvändighet och proportionalitet. har anfört att det finns skäl att särskilt överväga om dataskyddsförordningens rätt att göra invändningar bör inskränkas när det gäller sådan behandling som sker med stöd av artikel 6.1 e, dvs. med en fastställd uppgift av allmänt intresse som rättslig grund. Utredningen har dock gjort bedömningen att rätten att göra invändningar mot myndigheters behandling av personuppgifter inte bör inskränkas på ett generellt plan genom ett undantag i den föreslagna dataskyddslagen. Enligt utredningen bör sådana undantag i stället övervägas på sektors- specifik nivå (SOU 2017:39 s. 207 f.). Regeringen instämmer i dessa bedömningar i prop. 2017/18:105 (s. 105 f.). Det är av stor betydelse att personuppgifter får behandlas oberoende av den registrerades inställning i sådan verksamhet hos , och som avses i berörda lagar. Den behandling som är tillåten enligt lagarna är en förutsättning för att myndigheterna ska kunna utföra sina uppgifter på ett korrekt, rättssäkert och effektivt sätt. Den personuppgiftsansvariga myndigheten får närmast undantagslöst anses kunna påvisa skäl för fortsatt behandling som väger tyngre än den registrerades intressen i det enskilda fallet. Under sådana förhållanden och för att fullt ut säkerställa förutsättningarna för de aktuella myndigheterna att behandla relevanta personuppgifter bör den registrerade inte heller fortsättningsvis ha någon rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen. En sådan begränsning måste anses utgöra en nödvändig och proportionell åtgärd i syfte att säkerställa ett viktigt mål av generellt allmänt intresse. De aktuella lagarna innehåller dessutom ett flertal olika integritetsskyddande 2017/18:95 bestämmelser såsom ändamål med behandlingen och kategorier av uppgifter som får behandlas. Regleringen innebär en förhållandevis snäv ram för personuppgiftsbehandlingen och minimerar risken för kränkning av den registrerades rättigheter och friheter. Den får därför anses uppfylla de krav på bl.a. skyddsåtgärder som uppställs i artikel 23.2 i data- skyddsförordningen. Enligt regeringen är de bestämmelser som innebär att behandling av personuppgifter får utföras även om den registrerade motsätter sig behandlingen mot den bakgrunden förenliga med data- skyddsförordningen och kan därför vara kvar även i fortsättningen. Regeringen anser att det saknas behov av ytterligare förtydliganden av bakgrunden till begränsningen av rätten att göra invändningar, vilket Förvaltningsrätten i efterfrågar. ifrågasätter om det finns tillräckligt starka skäl för att införa dessa bestämmelser och anger att invändningarna kommer oftast att kunna avslås då det ofta kommer att finnas starka skäl till personuppgifts- behandlingen. Enligt bör rättigheten ändå få finnas kvar till skydd för individens personliga integritet, oaktat att det kan påverka myndigheternas effektivitet. Regeringen gör dock som framgår ovan, vilket gäller även dataskydd.nets invändning, en annan bedömning i denna fråga. Bestämmelserna i de aktuella lagarna bör enligt regeringen formuleras så att det är tydligt hur de förhåller sig till regleringen i dataskydds- förordningen. I bestämmelserna bör anges att artikel 21.1 i dataskydds- förordningen om rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har medde- lats i anslutning till lagen. Bestämmelserna bör i vissa fall, i likhet med promemorians förslag, ges en annan placering än den nuvarande i syfte att nå bättre överens- stämmelse med lagarnas systematik. De föreslagna bestämmelserna har fått en något annorlunda utformning och delvis också annan placering jämfört med promemorians förslag, utan att det innebär någon ändring i sak. Förslagen genomförs genom ändringar i 1 kap. 2 § och 3 kap. 3 § lagen om behandling av uppgifter i beskattningsverksamhet, 1 kap. 2 § och 3 kap. 1 § lagen om behandling av personuppgifter i folkbokföringsverksamhet, 1 kap. 2 § och 3 kap. 1 § lagen om behandling av uppgifter i verksamhet, 3 och 10 §§ lagen om behandling av personuppgifter i äktenskapsregister- och bouppteckningsverksamheter, 9 och 18 §§ lagen om identitetskort för folkbokförda i samt genom ändringar i 1 kap. 2 § och 3 kap. 3 § i lagen om behandling av uppgifter i verksamhet. Bestämmelsen i den sistnämnda paragrafen var i promemo- rian placerad i en ny 3 kap. 3 a §. Bestämmelsens placering har dock ändrats på förslag av Förvaltningsrätten i (se också avsnitt 9.5.3). Det införs också vissa nya rubriker, med en något ändrad lydelse i förhållande till promemorians förslag. Ny bestämmelse bör införas i lagen om det statliga personadressregistret Prop. Som nämnts saknas uttryckliga bestämmelser i lagen om det statliga personadressregistret som anger att den enskilde inte kan mot- sätta sig behandling av personuppgifter. Det bör i och för sig kunna hävdas att det är en rättslig förpliktelse för att föra SPAR och att den behandling som utför i verksamheten med SPAR därför sker med stöd av artikel 6.1 c i dataskyddsförordningen. Rätten att invända mot behandlingen gäller då inte. Eftersom regleringen i lagen och förordningen om det statliga personadressregistret inte fullt ut är utformad så att det tydligt framgår att har ålagts en sådan förpliktelse, och eftersom rätten att invända mot behandling i artikel 21 i dataskyddsförordningen blir direkt tillämplig, finns skäl att ha ett uttryckligt undantag från den rätten även när det gäller SPAR. Ett av ändamålen med SPAR är att ta ut uppgifter om namn och adress för urvalsdragning genom direktreklam. I likhet med vad som gäller bör undantaget från rätten att göra invändningar inte gälla vid behandling som sker vid urvalsdragning för direktreklam. I fråga om sådan behandling ska det således fortsatt vara möjligt att göra invändningar. Sådan behandling som myndigheten utför vid urvalsdragning i SPAR för direkt marknadsföring sker för att utföra en arbetsuppgift av allmänt intresse, dvs. den kan utföras med stöd av artikel 6.1 e, se propositionen Statlig förvaltning i medborgarnas tjänst (prop. 1997/98:136 s. 72). En rätt att invända vid sådan behandling kan således följa både av artikel 21.1 och 21.2. Eftersom den särskilda bestämmelsen vid behandling för direkt marknadsföring i artikel 21.2 ger den enskilde större rättigheter räcker det med att den bestämmelsen tillämpas vid behandling enligt SPAR-författningarna. I lagen bör därför anges att artikel 21.1 i data- skyddsförordningen om rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har med- delats i anslutning till lagen. Det bör upplysas om att bestäm- melser om rätten att göra invändningar mot behandling för direkt marknadsföring finns i artikel 21.2 i dataskyddsförordningen. Det införs också en rubrik till bestämmelsen. Den aktuella bestämmelsen har liksom rubriken fått en något annorlunda utformning jämfört med promemorians förslag, utan att det innebär någon ändring i sak. Förslaget genomförs genom en ny 3 a § i lagen om det statliga personadressregistret. Regeringens bedömning: Dataskyddsförordningens och dataskydds- lagens bestämmelser om skadestånd är tillämpliga vid behandling av personuppgifter som sker i strid med berörda registerlagar utom i fråga om juridiska personer och avlidna. Några särskilda bestämmel- ser om skadestånd behövs inte i lagarna. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: avstyrker delvis bedömningen, utan att lämna någon närmare motivering. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen. Skälen för regeringens bedömning Enligt 48 § PUL gäller att den personuppgiftsansvarige ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Samtliga berörda registerlagar innehåller bestämmelser som innebär att personuppgiftslagens bestämmelser om skadestånd gäller när behandling sker i strid med författningarna, ibland även i strid med anslutande författningar. Sådana bestämmelser finns i 3 kap. 3 § lagen om behandling av uppgifter i beskattningsverksamhet men också i lagen om behandling av personuppgifter i folkbok- föringsverksamhet, lagen om behandling av uppgifter i Kronofogde- myndighetens verksamhet, lagen om behandling av uppgifter i Tull- verkets verksamhet, lagen om det statliga personadressregistret, lagen om identitetskort för folkbokförda i och lagen om behandling av personuppgifter i äktenskapsregister- och boupptecknings- verksamheter. Dataskyddsförordningens bestämmelser om skadestånd I EU:s dataskyddsförordning finns en direkt tillämplig bestämmelse om rätt till ersättning i artikel 82. Varje person som lidit materiell eller immateriell skada till följd av en överträdelse av dataskyddsförordningen ska ha rätt till ersättning från den personuppgiftsansvarige eller person- uppgiftsbiträdet för den uppkomna skadan (artikel 82.1). Av skäl 146 i dataskyddsförordningen följer att med behandling som strider mot data- skyddsförordningen avses även behandling som strider mot medlems- staternas nationella rätt med närmare specifikation av förordningens bestämmelser. 2017/18:105 föreslås en bestämmelse om att rätten till ersättning enligt artikel 82 i dataskyddsförordningen ska gälla vid överträdelser av bestämmelser i dataskyddslagen och andra föreskrifter som kompletterar dataskyddsförordningen (7 kap. 1 § förslaget till dataskyddslag). Regeringen konstaterar i propositionen att bestämmelsen innebär en viss utvidgning av rätten till ersättning jämfört med vad som gäller enligt dataskyddsförordningen (s. 150). Det behövs ingen särskild lagreglering De hänvisningar till personuppgiftslagens bestämmelser om bl.a. skade- stånd som finns i berörda lagar behöver tas bort. Detta förslag behandlas i avsnitt 9.2. Frågan är därefter om nuvarande hänvisning till personuppgiftslagens bestämmelser om skadestånd bör ersättas med en hänvisning till dataskyddsförordningens bestämmelser om skadestånd. bestämmelsen i dataskyddslagen tydliggörs att rätten till ersättning enligt dataskyddsförordningen gäller även vid överträdelse av föreskrifter i de aktuella registerförfattningarna. Mot denna bakgrund behövs det inte någon hänvisning till dataskyddsförordningens bestämmelser om skadestånd i dessa lagar. I vissa fall kan det i registerförfattningarna finnas bestämmelser som reglerar sådana företeelser som omfattas av dataskyddsförordningen, men som ger ett mer långtgående skydd för den enskilde vars person- uppgifter behandlas än vad som följer av dataskyddsförordningen. Så som bestämmelserna om skadestånd är utformade gäller rätten till skadestånd även vid behandling som sker i strid med bestämmelser i registerförfattningarna som ger ett starkare skydd än personuppgifts- lagen. Den rätten bör enligt regeringens bedömning finnas kvar även i fortsättningen. Av skäl 146 i dataskyddsförordningen och den föreslagna bestämmelsen i 7 kap. 1 § dataskyddslagen får anses framgå att rätten till skadestånd enligt artikel 82 i dataskyddsförordningen gäller även vid behandling som strider mot bestämmelser i registerförfattningar som ger enskilda ett starkare skydd när personuppgifter om dem behandlas än vad som följer av dataskyddsförordningen. Det kan då nämligen anses vara fråga om bestämmelser som kompletterar dataskyddsförordningen på ett sådant sätt att artikel 82 i förordningen blir tillämplig. I vissa fall har registerlagarna ett vidare tillämpningsområde än dataskyddsförordningen och dataskyddslagen. Detta gäller i de fall vissa bestämmelser i registerlagarna tillämpas även vid behandling av upp- gifter om juridiska personer och avlidna. Någon rätt till skadestånd i dessa fall finns inte enligt de berörda registerförfattningarna. Regeringen gör bedömningen att det inte har framkommit några skäl att ändra på detta. Rätt till skadestånd enligt registerlagarna i dessa fall bör således inte heller finnas i fortsättningen. Någon sådan rätt kommer enligt regeringens bedömning inte heller att finnas med stöd av vare sig artikel 82 i dataskyddsförordningen eller 7 kap. 1 § dataskyddslagen. Detta beror på att registerförfattningarna i dessa delar inte kan anses komplettera dataskyddsförordningen på ett sådant sätt som avses i skäl 146 och 7 kap. 1 § förslaget till dataskyddslag. När det handlar om behandling av personuppgifter som är undantagen från dataskyddsförordningens tillämpningsområde på grund av att den utgör ett led i en verksamhet som inte omfattas av unionsrätten (artikel 2.2 a i dataskyddsförordningen) innebär 1 kap. 2 § förslaget till data- skyddslag att rätten till skadestånd ändå blir tillämplig. Sammantaget är det regeringens bedömning att det saknas skäl att särskilt reglera i registerlagarna vad som gäller i fråga om skadestånd. Regeringen har således en annan syn än , som delvis avstyrker denna bedömning. Regeringens bedömning: Dataskyddsförordningens bestämmelser om sanktioner föranleder inga ändringar i berörda lagar. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: tillstyrker bedömningen. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen. Skälen för regeringens bedömning dataskyddsdirektiv överlåter enligt artikel 24 till medlems- staterna att besluta om de sanktioner som ska användas vid överträdelse av de bestämmelser som antagits för att genomföra direktivet, vilket har skett genom 49 § PUL. Enligt 49 § PUL döms till böter eller fängelse eller, om brottet är grovt, till fängelse i högst den som uppsåtligen eller av grov oaktsamhet a) lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndig- heten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, b) behandlar personuppgifter i strid med 13– 21 §§, c) för över personuppgifter till tredje land i strid med 33–35 §§, d) låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §, e) behandlar sådana personuppgifter som avses i 13 och 21 §§ i strid med 5 a § andra stycket, eller f) i strid med 5 a § andra stycket för över personuppgifter till tredje land som inte har en sådan adekvat nivå för skyddet av personuppgifterna som avses i 33 §. I ringa fall döms inte till ansvar. Vidare anges i paragrafen att den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vitesföreläggandet. De registerlagar som gäller i stället för personuppgiftslagen hänvisar till personuppgiftslagens bestämmelse om straff i 49 §, se t.ex. 1 kap. 3 § första stycket 9 lagen om behandling av uppgifter i beskatt- ningsverksamhet. För de registerförfattningar där personuppgiftslagen gäller om inte annat följer av författningen, gäller bestämmelsen direkt, då de saknar särregler om straff. Vid sidan av straffbestämmelsen i personuppgiftslagen finns andra straffbestämmelser som också kan innebära att vissa gärningar som inne- fattar personuppgiftsbehandling omfattas av straffansvar, se mer nedan. Genom EU:s dataskyddsförordning införs en möjlighet för tillsynsmyn- digheten att ta ut en administrativ sanktionsavgift av företag eller andra som bryter mot dataskyddsregleringen. Administrativa sanktionsavgifter är således en nyhet som inte har någon motsvarighet data- skyddsdirektiv eller den nuvarande svenska personuppgiftsregleringen. Sanktionsavgifterna införs enligt skäl 148 för att stärka verkställigheten av förordningen. Bestämmelserna om administrativa sanktionsavgifter finns i artikel 83 i förordningen och förtydligas i skäl 148–150. Av artikel 83.1 framgår att varje tillsynsmyndighet ska säkerställa att påförande av administrativa sanktionsavgifter i enlighet med artikeln i varje enskilt fall är effektivt, proportionellt och avskräckande. I artikel 83.2 finns en detaljerad reglering av vilka faktorer som ska beaktas vid beslut om sanktionsavgifter och bestämmande av avgiftens storlek. Det stora flertalet bestämmelser i förordningen som innehåller rättigheter eller skyldigheter för bl.a. personuppgiftsansvariga och personuppgifts- biträden omfattas av regleringen om sanktionsavgifter, vilket framgår av hänvisningar i artikel 83.4–6. För samtliga de artiklar som artikel 83 hänvisar till ska en överträdelse föranleda att sanktionsavgift påförs, om förutsättningarna i övrigt är uppfyllda enligt artikel 83.2. Av särskild betydelse är artikel 83.7 i dataskyddsförordningen. Enligt den artikeln får varje medlemsstat fastställa regler för huruvida och i vilken utsträckning administrativa sanktionsavgifter kan påföras offent- liga myndigheter och organ i medlemsstaten. Enligt artikel 84 ska medlemsstaterna fastställa regler om andra sanktioner för överträdelser av förordningen, särskilt för sådana som inte är föremål för administra- tiva sanktionsavgifter, på i artikeln närmare angivna villkor. och propositionen Ny dataskyddslag Regeringen föreslår i prop. 2017/18:105 att sanktionsavgifter ska kunna tas ut även av myndigheter, med högst 5 000 000 respektive (6 kap. 2 § förslaget till dataskyddslag). I bestämmel- sen anges för vilka överträdelser av dataskyddsförordningen som sanktionsavgift för myndigheter får tas ut. Förslaget motsvarar delvis förslag, som bl.a. föreslog högre sanktions- belopp.