prop · H503107 · 2018-02-28 00:00:00 — Regeringens proposition 2017/18:107 Ändringar i vissa författningar inom anledning av EU:s dataskyddsreform Regeringen överlämnar denna proposition till . I propositionen föreslås lagändringar inom delar av ansvarsområde, bl.a. avseende den officiella statistiken, med anledning av och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Förordningen ersätter och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet), som i har genomförts genom personuppgiftslagen (1998:204) och ett stort antal specifika författningar med särskilda bestämmelser om behandling av personuppgifter inom särskilda områden. Lagändringarna föreslås träda i kraft , vilket är som dataskyddsförordningen ska börja tillämpas. 2017/18:107 Innehållsförteckning Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i kasinolagen (1999:355)......... 2.2Förslag till lag om ändring i lagen (2001:99) om den 2.3Förslag till lag om ändring i lagen (2006:378) om 2.4Förslag till lag om ändring i lagen (2014:484) om en databas för övervakning av och tillsyn över 2.5Förslag till lag om upphävande av lagen (1979:217) om allmän folk- och bostadsräkning ................... 2.6Förslag till lag om upphävande av lagen (1984:531) om folk- och bostadsräkning.............................. 2.7Förslag till lag om upphävande av lagen (1989:329) om en folk- och bostadsräkning .......................... Ärendet och dess beredning ............................................................ Särskilt om personuppgiftsbehandlingar för statistiska Vad är statistik och officiell statistik? 6.2Särskilda bestämmelser om registrerades rättigheter vid personuppgiftsbehandling för statistikändamål .......... Kravet på särskilt författningsstöd för behandling av personuppgifter i den offentliga sektorn........................... Hänvisningar till dataskyddsförordningen........................ Bestämmelser om rättelse och skadestånd........................ Statistikansvariga myndigheters framställning av statistik ............. 8.3Behandling av känsliga personuppgifter och uppgifter om lagöverträdelser........................................... Undantag från vissa av den registrerades rättigheter........ 8.6Skillnader mellan officiell statistik och annan statistik hos statistikansvariga myndigheter ..................... Utlämnande av uppgifter i vissa fall................ Skillnader mellan officiell statistik och annan statistik avseende behandling av Undantag från den registrerades rättigheter..................... Folk- och bostadsräkningar ............................................................ Databasen för övervakning av och tillsyn över Samtjänst vid medborgarkontor ..................................................... Ikraftträdande- och övergångsbestämmelser.................................. 16.1Förslaget till lag om ändring i kasinolagen (1999:355) ....................................................................... 16.2Förslaget till lag om ändring i lagen (2001:99) om den officiella statistiken................................................... 16.3Förslaget till lag om ändring i lagen (2006:378) om 16.4Förslaget till lag om ändring i lagen (2014:484) om en databas för övervakning av och tillsyn över Sammanfattning av promemorian Ändringar i vissa ansvarsområde med anledning av EU:s dataskyddsreform (Ds 2017:40) ...................................... Lagförslag i promemorian Ändringar i vissa ansvarsområde med anledning av EU:s Förteckning över remissinstanserna ................................ Utdrag ur protokoll vid regeringssammanträde 2017/18:107 1 Regeringen föreslår att antar regeringens förslag till 1.lag om ändring i kasinolagen (1999:355), 2.lag om ändring i lagen (2001:99) om den officiella statistiken, 3.lag om ändring i lagen (2006:378) om lägenhetsregister, 4.lag om ändring i lagen (2014:484) om en databas för övervakning av och tillsyn över finansmarknaderna, 5.lag om upphävande av lagen (1979:217) om allmän folk- och 6.lag om upphävande av lagen (1984:531) om 1985 års folk- och bostadsräkning, 7.lag om upphävande av lagen (1989:329) om en folk- och bostadsräkning . Regeringen har följande förslag till lagtext. 2.1Förslag till lag om ändring i kasinolagen (1999:355) Härigenom föreskrivs i fråga om kasinolagen (1999:355) dels att 7 § ska upphöra att gälla, dels att det ska införas en ny paragraf, 3 a §, av följande lydelse. Denna lag innehåller bestämmelser som kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Denna lag träder i kraft . 2017/18:107 2.2 Förslag till lag om ändring i lagen (2001:99) om den officiella statistiken Härigenom föreskrivs i fråga om lagen (2001:99) om den officiella statistiken dels att 18 och 23 §§ ska upphöra att gälla, dels att rubriken närmast före 23 § ska utgå, dels att 1, 2, 5, 14, 15 och 26 §§ ska ha följande lydelse, dels att det ska införas en ny paragraf, 15 a §, av följande lydelse. Denna lag innehåller bestämmelser om officiell statistik. Regeringen meddelar föreskrifter om vilka myndigheter som ansvarar för officiell statistik (statistikansvariga myndigheter). Bestämmelserna i 14, 15 och Bestämmelserna i 14–16 och 19 §§ gäller även vid framställning 19 §§ gäller även vid framställning av annan statistik hos en statistik- av annan statistik hos en statistik- Personuppgiftslagen (1998:204) gäller vid framställning av statistik i den mån det inte finns avvikande bestämmelser i denna lag. Denna lag innehåller bestämmelser som kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av 1 Senaste lydelse 2013:945. denna lag eller föreskrifter som har Prop. 2017/18:107 meddelats i anslutning till lagen. Den officiella statistiken ska framställas och offentliggöras med beaktande av behovet av skydd för fysiska och juridiska personers intressen. Bestämmelser om sekretess finns i offentlighets- och sekretesslagen (2009:400). Bestämmelser om skydd mot kränkning av enskilds personliga integritet genom behandling av personuppgifter finns i personuppgiftslagen (1998:204). får behandla personuppgifter för får behandla personuppgifter för framställning av statistik om inte framställning av statistik om inte annat följer av 15 §. annat följer av 15 §. handling är myndigheten person- handling är myndigheten person- giftslagen (1998:204). Behandling av personuppgifter får omfatta uppgift om personnummer. Trots vad som anges i första stycket kan en statistikansvarig myndighet vara personuppgiftsbiträde åt en annan statistikansvarig myndighet. Personuppgifter som avses i 13 § och 21 § första stycket personuppgiftslagen (1998:204) får behandlas om det följer av föreskrifter som regeringen meddelar. Personuppgifter som avses i artikel 9.1 (känsliga personuppgifter) och artikel 10 i EU:s dataskyddsförordning får behandlas om det följer av föreskrifter som regeringen meddelar. Vid framställning av annan statistik än officiell statistik får personuppgifter enligt första stycket också behandlas om behandlingen 1. är nödvändig för statistiska ändamål och samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den 2 Senaste lydelse 2009:490. Ändringen innebär att tredje stycket tas bort. enskildas personliga integritet som behandlingen kan innebära, eller enligt lagen (2003:460) om etik- prövning av forskning som avser människor. Artiklarna 16 och 18 i EU:s dataskyddsförordning om rätten till rättelse och rätten till begränsning av behandling av personuppgifter gäller inte vid behandling av personuppgifter som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till den. Den som bryter mot 6 § skall dömas för olovlig identifiering till böter eller fängelse i högst , om gärningen inte är belagd med straff i eller personuppgiftslagen (1998:204). I ringa fall döms inte till ansvar. Den som bryter mot 6 § ska dömas för olovlig identifiering till böter eller fängelse i högst , om gärningen inte är belagd med straff i . I ringa fall döms det inte till ansvar. Denna lag träder i kraft . Förslag till lag om ändring i lagen (2006:378) Härigenom föreskrivs i fråga om lagen (2006:378) om lägenhetsregister dels att 24 § ska upphöra att gälla, dels att rubriken närmast före 24 § ska utgå, dels att 2 och 4 §§ ska ha följande lydelse, dels att det ska införas en ny paragraf, 9 a §, och närmast före 9 a § en ny rubrik av följande lydelse. Den statliga lantmäterimyndigheten ska för de ändamål som anges i 5 § föra ett lägenhetsregister. Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter i lägenhetsregistret, om inte annat följer av denna lag eller föreskrifter som meddelats med stöd av denna lag eller annars av 2 § personuppgiftslagen. Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. 1 Senaste lydelse 2008:539. Den statliga lantmäterimyndigheten är personuppgiftsansvarigt enligt personuppgiftslagen (1998:204) för lägenhetsregistret. Den statliga lantmäterimyndigheten är personuppgiftsansvarig för lägenhetsregistret. Begränsning av behandling av personuppgifter Artikel 18 i EU:s dataskyddsförordning om rätten till begränsning av behandling av personuppgifter gäller inte vid behandling av personuppgifter som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till den. Denna lag träder i kraft . 2 Senaste lydelse 2008:539. Förslag till lag om ändring i lagen (2014:484) om en databas för övervakning av och tillsyn Härigenom föreskrivs att 5 § lagen (2014:484) om en databas för övervakning av och tillsyn över finansmarknaderna ska ha följande Personuppgifter får inte behand- Personuppgifter får inte behand- las i databasen. las i databasen. gifter avses detsamma som i per- gifter avses detsamma som i Euro- sonuppgiftslagen (1998:204). paparlamentets och rådets förord- ning (EU) 2016/679 av 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Denna lag träder i kraft . 2.5Förslag till lag om upphävande av lagen (1979:217) om allmän folk- och bostadsräkning Härigenom föreskrivs att lagen (1979:217) om allmän folk- och bostadsräkning ska upphöra att gälla . 2.6 Förslag till lag om upphävande av lagen Prop. 2017/18:107 (1984:531) om 1985 års folk- och Härigenom föreskrivs att lagen (1984:531) om 1985 års folk- och bostadsräkning ska upphöra att gälla . 2.7Förslag till lag om upphävande av lagen (1989:329) om en folk- och bostadsräkning Härigenom föreskrivs att lagen (1989:329) om en folk- och bostadsräkning ska upphöra att gälla . 3 Ärendet och dess beredning Den nuvarande allmänna regleringen om behandling av personuppgifter inom EU har sin grund i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204), förkortad PUL. Denna lag är subsidiär i förhållande till andra lagar och förordningar och kompletteras av ett stort antal s.k. registerförfattningar. kommer en ny EU-förordning om dataskydd att ersätta dataskyddsdirektivet – och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Förordningen antogs förhandlingar. Det huvudsakliga syftet med förordningen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Dataskyddsförordningen baseras till stor del på dataskyddsdirektivet, men innehåller också ett antal nyheter. Dataskyddsförordningen kommer att utgöra grunden för den generella personuppgiftsbehandlingen inom EU. Att det är en förordning innebär att reglerna kommer att vara direkt tillämpliga och gälla på samma sätt i alla EU:s medlemsstater. Detta innebär också att PUL och den tillhörande personuppgiftsförordningen (1998:1191), samt de föreskrifter som Datainspektionen meddelat i anslutning till denna reglering, måste upphävas. Dataskyddsförordningen lämnar dessutom utrymme för kompletterande nationella bestämmelser med ytterligare krav eller undantag. Regeringen tillsatte mot denna bakgrund , som gavs i uppdrag att föreslå anpassningar och kompletterande författningsbestämmelser på generell nivå. Syftet med utredningen var att säkerställa att det finns en ändamålsenlig och välbalanserad kompletterande nationell reglering om personuppgiftsbehandling på plats när förordningen börjar tillämpas (dir. 2016:15). Utredningen redovisade sitt uppdrag i betänkandet Ny dataskyddslag – Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). Regeringen har i propositionen Ny dataskyddslag (prop. 2017/18:105) lämnat lagförslag som huvudsakligen överensstämmer med utredningens förslag. Utöver den översyn av det generella regelverket som gjorts av behöver en översyn även göras av de sektorsspecifika författningarna. Bland det mest uppenbara är att hänvisningar som görs till PUL behöver ändras. Därutöver behöver en genomgång göras av författningarna för att säkerställa att regleringen är förenlig med den nya dataskyddsförordningen. () har till regeringen inkommit med en hemställan om ändringar i lagen (2001:99) om den officiella statistiken och förordningen (2001:100) om den officiella statistiken (Fi2017/02207/SFÖ). Även har inkommit med en skrivelse om behovet av att behandla känsliga personuppgifter vid vissa 2017/18:107 undersökningar (Ju2017/05725/). har vidare i sin granskningsrapport till SCB:s registerdata – en fråga om prioriteringar (RiR 2017:14) funnit att bristande tillgänglighet till SCB:s registerdata försvårar forskning och utveckling. Bland annat bedöms de komplexa regelverken som omger registerdata bidra till att utlämnandeprocessen tar och kan uppfattas som godtycklig. Mot denna bakgrund har promemorian Ändringar i vissa författningar inom ansvarsområde med anledning av EU:s dataskyddsreform (Ds 2017:40) tagits fram i . I promemorian görs en inventering av de författningar som reglerar personuppgiftsbehandlingar inom område, dock inte författningar på finansmarknads-, skatte-, tull-, eller exekutionsområdet. Vidare behandlas inte förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte. Behovet av ändringar i denna förordning kommer övervägas i samband med beredningen av förslagen i betänkandet digitalforvaltning.nu (SOU 2017:23). Utöver anpassningar till den nya EU-rättsliga regleringen lämnas förslag till vissa andra ändringar för att underlätta tillämpningen av regelverket. En sammanfattning av promemorian finns i bilaga 1. Promemorians lagförslag finns i bilaga 2. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissyttrandena finns tillgängliga i (Fi2017/03287/). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådets förslag behandlas i författningskommentaren. Regeringen följer Lagrådets förslag. Dataskyddsdirektivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet har, i enlighet med vad som ovan anförts, genomförts i svensk rätt huvudsakligen genom PUL. Grundläggande bestämmelser om den personliga integriteten, bl.a. avseende den enskildes privat- och familjeliv, finns vidare i regeringsformen (RF). Skyddet för den personliga integri- teten stärktes genom ikraftträdandet av ett nytt andra stycke i 2 kap. 6 § RF. Regleringen innebär att var och en och gentemot det allmänna är skyddad mot betydande intrång i den personliga integri- teten, om det sker utan samtycke och innebär övervakning eller kartlägg- ning av den enskildes personliga förhållanden. Skyddet får under vissa omständigheter enligt 2 kap. 20 och 21 §§ RF begränsas genom lag. PUL syftar till att skydda enskilda individer mot att deras personliga kränks genom helt eller delvis automatiserad behandling av Med personuppgifter avses all slags information som Prop. 2017/18:107 direkt eller indirekt kan hänföras till en fysisk person som är i livet. följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om bl.a. personuppgiftsansvar, grundläggande krav för behandling av personuppgifter, information till den registrerade, skadestånd och straff. Av de grundläggande kraven på behandling av personuppgifter följer bl.a. att personuppgifter bara får behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Om de grundläggande kraven är uppfyllda får personuppgifter enligt huvudregeln bara behandlas om den registrerade lämnar sitt samtycke till det. Det finns dock flera undantag från denna huvudregel, t.ex. om behandlingen är nödvändig vid myndighetsutövning, när en arbetsuppgift av allmänt intresse ska utföras, för att den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet, för att ett avtal med den registrerade ska kunna fullgöras eller efter en intresseavvägning. För behandling av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. gäller särskilda regler (13 och 21 §§ PUL). Känsliga personuppgifter är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Huvudregeln är att det är förbjudet att behandla uppgifter av detta slag. Från förbudet finns en rad undantag. Känsliga personuppgifter får behandlas om den registrerade har samtyckt till behandlingen eller på ett tydligt sätt själv offentliggjort uppgifterna, eller om det är nödvändigt för att den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, för att skydda den registrerades eller någon annans vitala intressen eller för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Undantag görs också för behandling inom ideella organisationer och hälso- och sjukvården samt för ändamål som rör forskning och statistik. Undantaget för forskning gäller om behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor och för statistik om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Som huvudregel är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Regeringen eller den myndighet regeringen bestämmer får dock meddela föreskrifter om undantag från huvudregeln och i enskilda fall även besluta om undantag från denna. PUL är subsidiär, vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning (2 §). Det finns en stor mängd sådana bestämmelser i särskilda registerförfattningar och i författningar som primärt inte reglerar behandling av personuppgifter. 2017/18:107 5 Även om EU:s dataskyddsförordning, i enlighet med vad som anförts i avsnitt 3, blir direkt tillämplig i medlemsstaterna både förutsätter och möjliggör förordningen kompletterande nationella bestämmelser av olika slag. Vidare klargör skäl 8 till förordningen att medlemsstaterna kan införliva delar av den i nationell rätt i den utsträckning som det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som bestämmelserna ska tillämpas på. Dataskyddsförordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll, men innehåller också nya bestämmelser. Med personuppgifter avses enligt artikel 4 i dataskyddsförordningen varje upplysning som avser en identifierad eller identifierbar fysisk person. En identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en s.k. identifierare, t.ex. ett namn, ett identifikationsnummer, en lokaliseringsuppgift, onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. För bolag, myndigheter och andra organisationer som samlar in personuppgifter medför förordningen vissa förändringar. Den innebär bl.a. strängare krav på att personuppgiftsansvariga ska informera om hur de hanterar enskildas personuppgifter, utförligare regler om rätten att få uppgifter raderade och att enskilda i vissa situationer ska kunna säga nej till att en myndighet eller ett bolag använder deras personuppgifter. För att behandling av personuppgifter ska vara laglig krävs att ett av villkoren i artikel 6.1 a–f i dataskyddsförordningen är uppfyllda: a)Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. f)Behandlingen är nödvändig för ändamål som rör den personuppgifts- ansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.