prop · H503120 · 2018-03-06 00:00:00 — Skadeståndsansvaret enligt artikel 82 i dataskyddsförordningen omfattar däremot – utöver behandling som strider mot förordningen – även behandling som strider mot en medlemsstats nationella rätt med närmare specifikation av förordningens bestämmelser (skäl 146 till för- ordningen). Artikel 82 i förordningen kan alltså komma att reglera skadeståndsansvaret i kreditupplysningsverksamhet i situationer när behandlingen görs med stöd av bestämmelser i kreditupplysningslagen, under förutsättning att det är fråga om en behandling som omfattas av dataskyddsförordningen. I motsats till och anser regeringen att det bör klargöras i lagen. Några remissinstanser – bl.a. Justitiekanslern och Datainspektionen – menar att det är osäkert hur skadeståndsregleringarna i kreditupp- lysningslagen och dataskyddsförordningen förhåller sig till varandra. Avsikten är inte att de två regleringarna ska vara tillämpliga parallellt. Ett anspråk på ersättning för en personuppgiftsbehandling som omfattas av dataskyddsförordningen prövas enligt artikel 82 i dataskyddsförord- ningen. I andra fall prövas anspråket enligt 21 § första stycket kredit- upplysningslagen. Regeringens bedömning: Bestämmelserna om automatiserat besluts- fattande i EU:s dataskyddsförordning kräver inte några lagändringar på familjerättens och den allmänna förmögenhetsrättens områden. Promemorians bedömning: Promemorian innehåller inte någon ut- trycklig bedömning av behovet av lagändringar med anledning av data- skyddsförordningens bestämmelser om automatiserat beslutsfattande. promemorian görs dock den övergripande bedömningen att de förslag som lämnas är tillräckliga för att anpassa regleringarna på familjerättens och den allmänna förmögenhetsrättens områden till dataskyddsförord- Remissinstanserna: Några remissinstanser, däribland advo- katsamfund och , väcker frågan om huruvida dataskyddsförord- 2017/18:120 ningens regler om automatiserat beslutsfattande (artikel 22) är tillämpliga i kreditupplysningsverksamhet. Svensk Inkasso menar att några automati- serade beslut som påverkar gäldenärens rättsliga ställning inte fattas i in- kassoverksamhet, men uttrycker en oro för att de automatiserade pro- cesser som används i verksamheten ska uppfattas som ett automatiskt beslutsfattande i dataskyddsförordningens mening och vill därför att det klargörs i lag att automatiserat beslutsfattande, inbegripet profilering, får förekomma i inkassoverksamhet. Enligt kan det finnas anledning att utreda hur bestämmelserna om automatiserat besluts- fattande ska hanteras vid kreditprövning. Skälen för regeringens förslag: Av artikel 22 i dataskyddsförord- ningen framgår att den registrerade ska ha rätt att inte bli föremål för beslut som grundas enbart på automatiserad behandling, inbegripet profilering, om beslutet har rättsliga följder för den registrerade eller på liknande sätt i betydande grad påverkar honom eller henne. Det sagda gäller dock inte om beslutet –är nödvändigt för ingående eller fullgörande av ett avtal mellan den registrerade och den som är personuppgiftsansvarig (a), –tillåts enligt unionsrätten eller enligt en medlemsstats nationella rätt och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen (b), eller –grundar sig på den registrerades uttryckliga samtycke (c). I fall som avses i a och c ska den som är personuppgiftsansvarig genomföra lämpliga åtgärder för att säkerställa den registrerades rättig- heter, friheter och rättsliga intressen – åtminstone rätten till personlig kontakt med den som är personuppgiftsansvarig för att kunna uttrycka sin åsikt och bestrida beslutet. I skäl 71 anges som exempel på sådana automatiserade beslut som omfattas av artikel 22 automatiserade avslag på kreditansökningar online eller e-rekrytering utan personlig kontakt. Rätten att motsätta sig automatiskt individuellt beslutsfattande finns även i artikel 15 i dataskyddsdirektivet, som i svensk rätt har genomförts genom 29 § personuppgiftslagen. Det finns inte några bestämmelser om automatiserat beslutsfattande vare sig i kreditupplysningslagen eller inkassolagen. Några automatise- rade beslut med rättsliga följder eller som i betydande grad påverkar den registrerade torde inte heller fattas i kreditupplysnings- eller inkasso- verksamhet. I kreditupplysningsverksamhet förekommer visserligen att ett profilerat kreditbetyg räknas fram och lämnas ut som en del av en kreditupplysning. Det är dock kreditgivaren som fattar beslut om att be- vilja eller avslå krediten (se även Ds 1998:44 s. 43). Även i inkassoverk- samhet används automatiserade processer med inslag av profilering. De automatiserade processerna påverkar dock inte gäldenärens rättsliga ställning och det automatiska förfarandet syftar till att skilja ut de ärenden där en för den enskilde mindre ingripande indrivningsåtgärd kan vidtas. Vid kreditgivning torde automatiserade avslagsbeslut i många fall vara möjliga med stöd av ett uttryckligt samtycke från den registrerade i kombination med åtgärder som ger den registrerade en rätt till personlig kontakt med den som är personuppgiftsansvarig (artikel 22.1 c och 22.3). Någon anledning att utreda den frågan, vilket är inne på, finns enligt regeringens mening inte. Mot denna bakgrund bedöms dataskyddsförordningens bestämmelser Prop. 2017/18:120 om automatiserat beslutsfattande inte kräva några lagändringar på familjerättens och den allmänna förmögenhetsrättens områden. Överföring av personuppgifter till tredjeland Regeringens förslag: I lagen om 1996 års finns en bestämmelse om tillstånd att överföra personuppgifter till tredjeland. Hänvisningen i den bestämmelsen till personuppgiftslagen ska tas Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Endast Datainspektionen yttrar sig särskilt över Inspektionen avstyrker förslaget i dess nuvarande utformning med hänvisning till att artikel 49.1 d i dataskyddsförordningen inte ger möjlighet att i nationell rätt generellt tillåta överföring till tredjeland. Skälen för regeringens förslag: I 10 § lagen (2012:318) om 1996 års finns en bestämmelse som anger att en svensk myndig- het, trots förbudet mot överföring i 33 § personuppgiftslagen, får föra över personuppgifter till en myndighet i ett land utanför Europeiska eko- nomiska samarbetsområdet, om det behövs för att den myndigheten ska kunna överväga en nödvändig åtgärd enligt . Konventionen reglerar frågor om föräldraansvar och åtgärder till skydd för barn och syftar till att förbättra skyddet för barn i internationella Samtliga EU:s medlemsstater är anslutna till konventionen. Grunden för undantaget i 10 § lagen om 1996 års är att undantaget behövs med hänsyn till ett viktigt allmänt intresse (35 § andra stycket personuppgiftslagen jämförd med artikel 26.1 d i dataskydds- Samarbetet enligt konventionen har alltså bedömts vara ett sådant viktigt allmänt intresse som motiverar ett undantag från huvud- regeln i 33 § personuppgiftslagen om förbud mot överföring av person- uppgifter till tredjeland (se prop. 2011/12:85 s. 49). Överföring av personuppgifter till tredjeländer och internationella organisationer kommer framöver att regleras av kapitel V i dataskydds- Det innebär att en överföring av personuppgifter till ett tredjeland kommer att kunna ske under de förutsättningar som anges där. Om det inte finns något beslut om adekvat skyddsnivå (artikel 45) eller vidtagna lämpliga skyddsåtgärder (artikel 46), kommer en överföring till ett tredjeland att vara möjlig om den är nödvändig av viktiga skäl som rör allmänintresset (artikel 49.1 d). endast under förutsättning att allmänintresset är erkänt i unionsrätten eller i den nationella rätt som den som är personuppgiftsansvarig om- fattas av (artikel 49.4). När dataskyddsförordningen börjar tillämpas, är 10 § i lagen om 1996 års inte längre nödvändig. Överföringen kan ske direkt med stöd av dataskyddsförordningen. Lagens bestämmelse fyller dock fortfarande en funktion genom att den klargör för myndigheterna när förutsättningarna för en överföring av uppgifter till ett tredjeland är upp- Regeringen bedömer att en sådan klargörande bestämmelse är 2017/18:120 tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen och att den bör behållas. Eftersom personuppgiftslagen kommer att upphävas, bör dock hänvisningen till den lagen tas bort. Innehållet i en kreditupplysning om ett Regeringens bedömning: Det bör inte införas något förbud i kredit- upplysningslagen mot att en kreditupplysning om en näringsidkare innehåller uppgifter om betalningsförsummelser som inte har blivit fastställda av en domstol eller . Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser, bl.a. Lantbrukarnas , och Kommuner och Landsting, de- lar utredningens bedömning eller lämnar den utan invändning. framhåller att det är angeläget för seriösa företagare att en kreditupp- lysning i ett tidigt skede indikerar att det företag som man avser att göra affärer med har betalningsproblem. Organisationen pekar dock på vikten av att en ansökan om betalningsföreläggande som görs av ett företag på Svensk Handels varningslista inte registreras som en betalningsanmärk- ning i kreditupplysningsregistren. Srf konsulternas förbund delar inte utredningens bedömning och anser att kreditupplysningslagen bör änd- Förbundet menar att informationsvärdet av uppgiften om att en an- sökan om betalningsföreläggande har gjorts är begränsat, eftersom en an- sökan om betalningsföreläggande som avser en verklig fordran inom därefter fastställs genom ett utslag. Skälen för regeringens bedömning: Ett krav mot en näringsidkare (ett företag) som framställs i en ansökan om betalningsföreläggande till får enligt kreditupplysningslagen ingå i en kre- ditupplysning och registreras som en betalningsanmärkning. svarande ansökan mot en privatperson måste däremot ha lett till ett utslag för att få ingå i en kreditupplysning (7 § kreditupplysningslagen). Skillnaden mellan vad som gäller för företag och privatpersoner har sin grund i den avvägning mellan olika intressen som gjordes vid införandet av kreditupplysningslagen (prop. 94–98). – och kreditsökandens – intresse av att bilden av kreditsökandens situation är fullständig och rättvisande ställdes skyddet för den kredit- Det framhölls att behovet av skydd gör sig mindre starkt gällande när kreditupplysningen avser ett företag. I de fallen bedömdes det vara av största vikt att kreditupplysningarna är så uttömmande som möjligt för att en potentiell kreditgivare ska kunna undvika kreditför- Om en uppgift skulle vara felaktig, har också ett företag i prak- tiken större möjlighet än en privatperson att åstadkomma rättelse. undersökning hade dessutom visat att ansökningar om betalningsföre- läggande mot företag i de flesta fall motsvarade en verklig skuld, medan ansökningar som riktades mot en privatperson och som inte ledde till utslag ofta hade sin grund i tvistiga förhållanden och därför inte var av samma intresse för bedömningen av hans eller hennes kreditvärdighet. Mot den bakgrunden gjordes bedömningen att betalningsförsummelser som inte blivit prövade rättsligt skulle få ingå i kreditupplysningar om företag, men inte om privatpersoner. har frågan om vad som ska få ingå i en kreditupplysning om ett företag uppmärksammats med anledning av den ökade före- komsten av fakturabedrägerier i samhället. Fakturabedrägerier är ett allvarligt problem för dem som drabbas och samhället i stort. Utöver obehag och skada för de drabbade riskerar tilltron till betalnings- och faktureringsrutiner att påverkas negativt. Det är därför angeläget att vidta åtgärder för att bekämpa denna form av bedrägerier och att underlätta för drabbade att hävda sin rätt. Utredningen om åtgärder mot fakturabedrägerier överväger i betänkan- det Fakturabedrägerier (SOU 2015:77) om regleringen av frågor om uppgifter i register och om kreditupplysning bör ändras för att minska effekten av ett otillbörligt hot om att ge in en ansökan om betalningsföreläggande. I betänkandet kartläggs också om- fattningen och karaktären av problemen med fakturabedrägerier. Rädslan för en betalningsanmärkning kan få ett företag att betala i stället för att bestrida ett oriktigt krav. Utredningens kartläggning visar emellertid att de flesta som har blivit utsatta för fakturabedrägeri i någon form har vägrat att betala. Den visar också att de företag som drabbas inte löper någon större risk att få betalningsanmärkningar, eftersom det är sällsynt att en ansökan om betalningsföreläggande görs till Kronofogde- myndigheten i dessa fall. I det fåtal fall en ansökan om betalningsföre- läggande görs kan det dock få konsekvenser – i vart fall för de mindre företagen. Av utredningens kartläggning framgår även att endast en mindre del av det totala antalet ansökningar om betalningsföreläggande görs som ett led i ett fakturabedrägeri. Det stora flertalet ansökningar om betalnings- föreläggande motsvarar en verklig skuld och endast en mindre andel av ansökningarna bestrids. Generellt sett måste därför en uppgift om att en ansökan om betalningsföreläggande har gjorts betraktas som en viktig indikation på att den som ansökan riktas mot inte har betalat sina skulder, särskilt när det förekommer flera ansökningar mot samma företag. De betalningsanmärkningar som ansökningar om betalningsföreläggande ger upphov till ger således i många fall en korrekt bild av hur ett företag hanterar sina skulder. Regeringen kan konstatera, vilket Visita också pekar på, att möjlig- heten att upptäcka om ett företag har likviditetsproblem skulle försämras om reglerna ändrades. Som Srf konsulternas förbund framhåller kan visserligen ett utslag i många fall meddelas kort efter det att en ansökan om betalningsföreläggande har gjorts. Det förutsätter dock att motparten kan delges och inte bestrider ansökan. En ändring av reglerna skulle öka risken för att företag som ligger efter med sina betalningar under en inte oansenlig tid kan förlänga sina krediter och få nya krediter, trots att företaget inte är kreditvärdigt. Det skulle kunna ske genom att företaget bestrider ansökningar om betalningsföreläggande eller undanhåller sig delgivning. Ett förbud mot att det i en kreditupplysning om ett företag får ingå uppgifter om ansökningar om betalningsförelägganden bedöms 2017/18:120 kunna leda till ökade kreditförluster för näringslivet. Den som har lånat ut pengar eller sålt varor fram till dess att ett krav har slagits fast i ett utslag eller i en dom riskerar att inte få betalt. Det slår särskilt hårt mot mindre företag. Det finns också en risk att en sådan ordning utnyttjas i brottslig verksamhet. I förlängningen kan även kostnaderna för krediter öka, eftersom kreditgivarna måste kompensera sig för den ökade risken för kreditförluster. Att en kreditupplysning får innehålla en uppgift om att en ansökan om betalningsföreläggande har gjorts betyder inte att uppgiften måste tas med eller beaktas. Uppgifter om betalningsförelägganden mot enskilda näringsidkare registreras i praktiken inte i kreditupplysningsföretagens register. Det beror på att den information som skickas till kreditupp- lysningsföretagen bara gör skillnad på fysiska personer och juridiska personer – av informationen framgår alltså inte om en fysisk person bedriver näringsverksamhet. samarbetar kredit- upplysningsföretagen också med och avstår från att registrera uppgifter om betalningsförelägganden mot juridiska personer när sökanden finns med på Svensk Handels varningslista över oseriösa företag. En del kreditupplysningsföretag redovisar också motpartens inställning till ansökan om betalningsföreläggande. För anmärkningar som grundar sig på krav som har bestridits redan innan ansökan om betalningsföreläggande gavs in eller på fakturabedrägerier finns det även en möjlighet att vända sig till kreditupplysningsbolagen och begära att uppgiften rättas eller till för att få uppgiften blockerad eller rättad. Mot denna bakgrund delar regeringen utredningens slutsats att nack- delarna med att införa ytterligare generella begränsningar av vilka upp- gifter om betalningsförsummelser som får tas med i kreditupplysningar som avser näringsidkare överväger de fördelar som kan vinnas därmed. Arbetet för att komma till rätta med fakturabedrägerier bör i stället bedrivas på annat sätt. Fakturabedrägerier skulle inte existera om fakturorna och betalningskraven inte betalades. I regel krävs det inte några större arbetsinsatser för att bestrida ett oriktigt krav. Det är angeläget att höja kunskapsnivån i samhället så att den som tar emot ett oriktigt krav kan ta till vara sina rättigheter gentemot dem som fram- ställer kraven. På det området utför olika myndigheter och branschorganisationer ett viktigt arbete. Utredningen lämnar också för- slag om bl.a. informationsinsatser för att förmå fler att våga bestrida oriktiga krav. Förslagen bereds inom . Det är även viktigt att brottsliga förfaranden lagförs. För att åstadkomma en effektivare sanktion mot fakturabedrägerier har det införts en straffbestämmelse i 9 kap. som tar sikte på systematiska bedrägerier med bluffakturor (grovt fordringsbedrägeri, 9 kap. 3 a §). Regeringens förslag: Lagändringarna ska träda i kraft . Regeringens bedömning: Det behövs inte några övergångsbestäm- melser. Promemorians förslag och bedömning överensstämmer med regeringens. Remissinstanserna: Remissinstanserna yttrar sig inte särskilt över förslaget eller bedömningen. Skälen för regeringens förslag och bedömning: Dataskyddsförord- ningen börjar tillämpas . De anpassningar till data- skyddsförordningen som föreslås bör träda i kraft som för- ordningen börjar tillämpas. Ändringarna i 6 och 11 §§ kreditupplysningslagen innebär att det straffbara området enligt 19 § samma lag i viss mån utvidgas. På mot- svarande sätt utvidgas förutsättningarna enligt 22 § kreditupplysnings- lagen att döma ut vite till följd av ändringarna i 11 och 12 §§ i lagen. Straff- och vitesbestämmelserna får inte ges retroaktiv verkan. Detta följer av allmänna principer och behöver inte regleras i någon övergångs- bestämmelse. Dataskyddsförordningens bestämmelser om skadestånd kommer att tillämpas på överträdelser av förordningen och nationell rätt som kom- pletterar förordningen. Bestämmelserna kommer alltså inte att tillämpas i fråga om skadefall som inträffar innan förordningen börjar tillämpas. I sådana fall får hittillsvarande skadeståndsbestämmelser tillämpas. Det får anses följa av allmänna rättsgrundsatser och behöver inte heller regleras i särskilda övergångsbestämmelser (jfr prop. 1972:5 s. 593). Regeringens bedömning: Genom EU:s dataskyddsförordning stärks enskildas rättigheter vid personuppgiftsbehandling samtidigt som nya krav ställs på myndigheter, företag och organisationer som behandlar personuppgifter. Förslagen i propositionen bedöms medföra kostnader för kreditupp- lysningsföretagen. Förslagen bedöms inte föranleda några kostnader för andra enskilda eller det allmänna. Förslagen innebär inte några negativa effekter för företagens arbets- förutsättningar, konkurrensförmåga eller villkor i övrigt. Förslagen har inte någon påverkan på vare sig jämställdheten mellan män och kvinnor eller möjligheten att nå de integrationspolitiska målen. För- slagen har inte heller några sociala eller miljömässiga konsekvenser. 2017/18:120 Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna delar promemorians bedömning eller lämnar den utan invändning. efterlyser en utvecklad konsekvensbeskrivning. Skälen för regeringens bedömning: Genom dataskyddsförordningen stärks enskildas rättigheter vid personuppgiftsbehandling. Ett exempel på detta är att förordningen ställer strängare krav på att den som behandlar personuppgifter ska informera om hur enskildas personuppgifter hante- ras. Ett annat exempel är att förordningen innehåller mer utförliga regler för när uppgifter kan raderas. Förslagen i propositionen innebär att kreditupplysningslagen och lagen om 1996 års anpassas till dataskyddsförordningen. Förslagen medför i sig inte några ytterligare förstärkningar av enskildas rättigheter eller ytterligare krav på myndigheter, företag och organisa- tioner som behandlar personuppgifter jämfört med de rättigheter och krav som dataskyddsförordningen medför. Jämfört med gällande ordning stärker dock förslagen enskildas rättigheter i kreditupplysningsverksam- het. Ytterligare krav kommer att ställas på kreditupplysningsbolagen att lämna information till enskilda. Förslagen bedöms medföra kostnader främst för kreditupplysnings- företagen, som behöver anpassa sin verksamhet. Det är inte möjligt att beräkna kostnadernas storlek, eftersom det inte går att särskilja kost- naderna för anpassningarna från de kostnader som anpassningen till data- skyddsförordningen kräver. Förslagen bedöms inte medföra några ökade kostnader för andra enskilda eller det allmänna. Förslagen bedöms inte innebära några negativa effekter för företagens arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt. De be- döms inte ha någon påverkan på vare sig jämställdheten mellan män och kvinnor eller möjligheten att nå de integrationspolitiska målen. Förslagen bedöms inte ha några sociala eller miljömässiga konsekvenser. 10.1Förslaget till lag om ändring i kreditupplysningslagen (1973:1173) 1 a § Denna lag innehåller, i den del den avser behandling av personuppgifter, bestämmelser som kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid sådan behandling av personuppgifter som omfattas av EU:s dataskydds- förordning gäller även lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som regeringen har meddelat i anslutning till lagen. Paragrafen, som är ny, upplyser om kreditupplysningslagens förhållande till EU:s dataskyddsförordning och förslaget till lag med kompletterande bestämmelser till EU:s dataskyddsförordning (den föreslagna data- skyddslagen). Övervägandena finns i avsnitt 6.1. Av första stycket framgår att kreditupplysningslagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Dataskydds- förordningen kommer, när den börjar tillämpas, att vara direkt tillämplig. Den blir med andra ord automatiskt en del av den svenska rättsord- ningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen att det i nationell rätt finns bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Kreditupplys- ningslagens bestämmelser utgör, i de delar de avser behandling av personuppgifter, sådana kompletterande bestämmelser. I 5 § andra styc- ket och i 8 § finns föreskrifter om ändamål respektive gallring, som preciserar artikel 5 i dataskyddsförordningen. Ytterligare bestämmelser som i olika avseenden preciserar förordningen finns bl.a. i 6, 7 och 9 §§, medan det i 5 § fjärde stycket och i 11 och 12 §§ finns bestämmelser som i något avseende innebär undantag från förordningens reglering. I andra stycket upplyses om att den föreslagna dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller för be- handling av personuppgifter i kreditupplysningsverksamhet, om inte annat följer av kreditupplysningslagen eller av en förordning som meddelats i anslutning till lagen. I den föreslagna dataskyddslagen finns bestämmelser som kan komma att tillämpas i kreditupplysningsverk- samhet. Det gäller t.ex. föreskrifter om tystnadsplikt för dataskydds- ombud (1 kap. 8 §) och om användningen av person- och samordnings- nummer (3 kap. 10 §).