prop · H50395 · 2018-02-27 00:00:00 — I fråga om de registerförfattningar som gäller i stället för personupp- giftslagen räknas i en inledande paragraf upp de bestämmelser i person- uppgiftslagen som gäller när personuppgifter behandlas enligt den aktuella registerförfattningen (se t.ex. 1 kap. 3 § lagen om behandling av uppgifter i beskattningsverksamhet). Även i andra para- grafer hänvisas till personuppgiftslagen. Det anges t.ex. i nästan alla registerförfattningar att bestämmelserna i personuppgiftslagen om rättel- se och skadestånd gäller vid behandling av personuppgifter enligt lagen (se t.ex. 9 § lagen om det statliga personadressregistret). Det finns också bestämmelser som anger att personuppgiftslagens bestämmelser om information till den registrerade gäller (se bl.a. 3 kap. 1 § lagen om behandling av uppgifter i beskattningsverksamhet). I lagarna måste sådana slag av hänvisningar som nämns av samma skäl som ovan tas bort. I vissa fall bör andra justeringar göras av bestäm- melserna. Förutom vad som behandlas i detta avsnitt, presenteras sådana ändringsförslag i senare avsnitt. I avsnitt 6 redogörs för regeringens bedömning att en stor del av nu aktuella lagar kommer att omfattas av dataskyddsförordningens tillämp- ningsområde. Som har nämnts tidigare föreslås också en ny dataskydds- lag (prop. 2017/18:105). Den lagen föreslås dock bli subsidiär. Om en annan lag eller en förordning innehåller någon bestämmelse som avviker från dataskyddslagen ska den bestämmelsen tillämpas (1 kap. 6 § för- slaget till dataskyddslag). Dataskyddsförordningen och dataskyddslagen kommer således att ha stor relevans för nu aktuella registerförfattningar. Eftersom dataskyddsregleringen på området inte bara kommer att bestå av respektive registerförfattning utan även av dataskyddsförordningen och dataskyddslagen, bör registerförfattningarnas förhållande till dessa regleringar klargöras. Detta bör enligt regeringens mening ske i respektive lag. Regeringen föreslår därför att det i stället för regleringen om förhållan- det till personuppgiftslagen införs en bestämmelse som anger att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Vidare bör det införas en bestämmelse som anger att vid behandling av personuppgifter enligt lagen gäller även dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av registerförfattningen eller föreskrifter som har meddelats i anslutning till den. Jämfört med promemorians förslag har bestämmelserna fått en något annorlunda utformning. Förslagen i denna del innebär att det inte längre kommer att finnas en ”i stället för”-reglering på nu aktuella områden. Dataskyddsförordningen gäller direkt och kan inte anges som subsidiär. Vad gäller dataskydds- lagen är det dock möjligt att peka ut vilka bestämmelser i lagen som ska gälla. Då huvudregleringen, dvs. dataskyddsförordningen, ändå är direkt tillämplig och då en stor del av den kompletterande regleringens, dvs. dataskyddslagens, bestämmelser bedöms bli relevanta för aktuella verk- samheter är en sådan lösning som föreslås den mest lämpliga. Regeringens förslag innebär också att samtliga berörda registerförfatt- ningar kommer att ha samma systematik, vilket bedöms som en fördel ur rättstillämpningssynpunkt. Något kan nämnas om innebörden av att dataskyddslagen och före- skrifter som har meddelats i anslutning dataskyddslagen ska gälla om inte annat följer av registerförfattningen eller föreskrifter som har med- delats i anslutning till registerförfattningen. Härvid kan den särskilda bestämmelsen i 1 kap. 2 § förslaget till dataskyddslag nämnas, genom vilken bestämmelserna i dataskyddsförordningen och dataskyddslagen ska gälla även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. I denna proposition föreslås inga bestämmelser i registerförfattningarna som avviker från detta. För personuppgiftsbehandling enligt registerförfattningarna kom- mer därmed dataskyddsförordningen, i tillämpliga delar, att ha ett större tillämpningsområde än vad själva förordningen föreskriver. I flera avseenden kommer registerförfattningarna att ha bestämmelser som avviker från dataskyddslagen, vilket behandlas i efterföljande avsnitt. Förslagen genomförs genom ändringar i 2 § lagen om det statliga personadressregistret, 1 kap. 2 och 3 §§ lagen om behandling av upp- gifter i beskattningsverksamhet, 1 kap. 2 och 3 §§ lagen om behandling av personuppgifter i folkbokföringsverk- samhet, 1 kap. 2 och 3 §§ lagen om behandling av uppgifter i Krono- fogdemyndighetens verksamhet, 1 kap. 2 och 3 §§ lagen om behandling av uppgifter i verksamhet, 4 § lagen om behandling av personuppgifter i äktenskapsregister- och boupptecknings- verksamheter och 10 § lagen om identitetskort för folkbokförda i samt i rubriker före dessa bestämmelser. Utöver detta slopas vissa bestämmelser helt, samt ändras vissa bestämmelser som innehåller hän- visningar till personuppgiftslagen. Dynamiska hänvisningar ska användas Föreslagna bestämmelser i detta och i flera andra avsnitt innehåller hänvisningar till dataskyddsförordningen. Hänvisningar till EU-rättsakter kan göras antingen statiska eller dynamiska. En statisk hänvisning innebär att hänvisningen avser EU-rättsakten i en viss angiven lydelse. En dynamisk hänvisning innebär att hänvisningen avser EU-rättsakten i den gällande lydelsen. Dataskyddsförordningen är direkt tillämplig och är den huvudsakliga rättsakten på området för dataskydd. De hänvisningar till dataskydds- förordningen som föreslås i denna proposition avser klargöranden av förhållandet mellan registerförfattningarna och förordningen, bestäm- melser av upplysningskaraktär, hänvisningar till definitioner i och undan- tag från dataskyddsförordningen. Hänvisningarna föreslås, i likhet med vad som med några få undantag föreslås i den föreslagna dataskydds- lagen, vara dynamiska. Valet av dynamisk hänvisning innebär som framgår ovan att hänvisningen kommer att omfatta eventuella ändringar i förordningen efter dess ikraftträdande. Detta hindrar dock inte att den nationella lagstiftningen kan komma att behöva ändras om förordningens innehåll förändras. Regeringens förslag: Hänvisningar till finalitetsprincipen i 9 § första stycket d och andra stycket personuppgiftslagen i sekundära ända- målsbestämmelser i berörda lagar ska ersättas med bestämmelser som innebär att uppgifter som behandlas enligt de primära ändamålen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Sådana bestämmelser ska även införas i vissa lagar som saknar en hänvisning till finalitetsprincipen i ända- Bestämmelser om att uppgifter får behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifter- na följer av lag eller förordning ska ersättas med bestämmelser som anger att uppgifter får behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förord- I vissa sekundära ändamålsbestämmelser ska det förtydligas att de uppgifter som får behandlas för de sekundära ändamålen är sådana uppgifter som redan behandlas för de tillåtna primära ändamålen. sekundära ändamålsbestämmelserna samlas också i en och samma paragraf i varje lag. Det ska även göras vissa redaktionella ändringar. Promemorians förslag: Överensstämmer med regeringens förslag. Vissa redaktionella ändringar har dock gjorts. Remissinstanserna: tillstyrker förslagen. avstyrker förslagen och anför bl.a. att flera av ändamålsbestämmelserna i lagen om behandling av uppgifter i verksam- het bör kunna ersättas av den rättsliga grunden i artikel 6.1 c i EU:s data- skyddsförordning (rättslig förpliktelse), eftersom inget av ändamålen rimligen saknar stöd i författning. promemorians förslag till bestämmelse där finalitetsprincipen kommer till uttryck uppnår syftet att förtydliga dataskyddsförordningen och anser att det bör framgå vilken bestämmelse i dataskyddsförordningen som bestämmelsen är avsedd att förtydliga. I övrigt yttrar sig ingen remiss- instans särskilt över förslagen. Skälen för regeringens förslag De berörda registerförfattningarna innehåller bestämmelser om för vilka ändamål personuppgifter får behandlas. anger den yttersta ram inom vilken personuppgifterna får behandlas. Bestämmelserna delas ofta in i s.k. primära och sekundära ändamåls- De primära ändamålen avser att tillgodose de behov som finns att behandla personuppgifter i den verksamhet hos den egna myndigheten som författningen, eller del av författningen, gäller för. sekundära ändamålen reglerar i vilken utsträckning personuppgifter som myndigheten har samlat in för ett primärt ändamål får behandlas för att ut till annan verksamhet inom den egna myndigheten, till enskilda eller till andra myndigheter i syfte att tillgodose deras behov. Utlämnande av uppgifter kan i vissa fall också omfattas av de primära ändamålen. Ändamålsbestämmelser finns i 1 kap. 4 och 5 §§ lagen om behandling av uppgifter i beskattningsverksamhet, men också i lagen om behandling av personuppgifter i folkbokföringsverk- samhet, lagen om behandling av uppgifter i verksamhet, lagen om behandling av uppgifter i verksamhet, lagen om identitetskort för folkbokförda i , lagen om behandling av personuppgifter i äktenskapsregister- och bouppteck- ningsverksamheter och lagen om det statliga personadressregistret. Ändamålsbestämmelserna som gäller för folkbokföringsverksamheten och SPAR skiljer sig från bestämmelserna i andra författningar genom att de inte är uppdelade på primära och sekundära ändamål. En primär ändamålsbestämmelse kan t.ex. ange att uppgifter får behan- dlas för tillhandahållande av information som behövs hos för fastställande av underlag för samt bestämmande, redovisning, betal- ning och återbetalning av skatter och avgifter (1 kap. 4 § lagen om behandling av uppgifter i beskattningsverksamhet). För del anges ändamål för var och en av de data- baser som regleras i lagen. I de sekundära ändamålsbestämmelserna ges ofta en uppräkning över vissa vanligt förekommande ändamål för utlämnande. Därutöver anges ofta att uppgifter får behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning (se t.ex. 1 kap. 5 § andra stycket lagen om behandling av uppgifter i beskattningsverksamhet), eller att uppgifter får behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning (se t.ex. 12 § andra stycket lagen om identitetskort för folkbokförda i ). I några lagar hänvisas i anslutning till de sekundära ändamålsbestäm- melserna till bestämmelsen om den s.k. finalitetsprincipen i 9 § första stycket d och andra stycket PUL (6 § lagen om behandling av uppgifter i äktenskapsregister- och bouppteckningsverksamheter och 12 § lagen om identitetskort för folkbokförda i ). Som anges i avsnitt 7.2 innebär finalitetsprincipen att personuppgifter inte får behan- dlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Bestämmelser om att uppgifter får behandlas för att fullgöra föreskrivet uppgiftslämnande och hänvisningar till finalitets- principen i ändamålsbestämmelser har införts i förtydligande syfte, se t.ex. propositionen Vissa frågor om behandling av personuppgifter och regleringen av id-kortsverksamheten hos (prop. 2015/16:28 s. 38) och propositionen Informationsutbyte vid samverkan mot organiserad brottslighet (prop. 2015/16:167 s. 44). Att finalitetsprincipen ska tillämpas framgår också i flera lagar av att det hänvisas till relevanta delar av 9 § PUL i den paragraf som anger vilka bestämmelser i person- uppgiftslagen som gäller när personuppgifter behandlas enligt lagen (se t.ex. 1 kap. 3 § lagen om behandling av uppgifter i beskattningsverksamhet). De bestämmelser i dataskyddsförordningen som har betydelse för registerförfattningarnas ändamålsbestämmelser finns i artiklarna 5, 6 och 23. Artikel 6 behandlas i avsnitt 7 och 8. I artikel 5 i dataskyddsförord- ningen, som behandlas i avsnitt 7.2, finns bl.a. bestämmelser om att uppgifter ska behandlas på ett lagligt sätt och samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Vidare framgår finalitets- principen av artikel 5.1 b. Artikel 23 redogörs för nedan. Regeringen uttalar i prop. 2017/18:105 att dataskyddsförordningen inte ställer något krav på att de särskilda ändamålen i artikel 5.1 b ska vara fastställda i författning, men att det inte heller finns någonting som hindrar att detta görs, förutsatt att bestämmelserna uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas, jfr artikel 6.3 andra stycket (s. 48). Endast vissa justeringar bör göras med anledning av dataskyddsförordningen Ändamålsbestämmelser i lagstiftning som reglerar myndigheters person- uppgiftsbehandling är sådana specifika bestämmelser som anpassar tillämpningen av dataskyddsförordningen och säkerställer en laglig och rättvis behandling enligt artikel 6.2. Detta framgår även av artikel 6.3 där det anges att den rättsliga grunden kan innehålla särskilda bestämmelser om bl.a. ändamålsbegränsningar. I enlighet med artikel 23.2 a i data- skyddsförordningen ska dessutom, åtminstone när så är relevant, lagstift- ning som begränsar tillämpningsområdet för förordningens skyldigheter och rättigheter innehålla specifika ändamålsbestämmelser. Detta innebär att de nuvarande ändamålsbestämmelserna i berörda lagar, vilka tillsam- mans med finalitetsprincipen ger myndigheterna ändamålsenliga möjlig- heter att behandla personuppgifter och minskar risken för obefogade intrång i den personliga integriteten, kan behållas. I föregående avsnitt föreslås att bestämmelser om vilka bestämmelser i personuppgiftslagen som gäller ska tas bort. Hänvisningar i ändamåls- bestämmelser till 9 § första stycket d och andra stycket PUL (finalitets- principen) behöver också upphävas. Enligt regeringens bedömning bör finalitetsprincipen även fortsättningsvis utgöra den yttersta ram inom vilken personuppgifter får behandlas. Som Datainspektionen anför gäller visserligen finalitetsprincipen enligt artikel 5.1 b dataskyddsförordningen vid sådan behandling. Enligt regeringens uppfattning finns det dock av tydlighetsskäl anledning att införa en uttrycklig bestämmelse som innebär att uppgifter som behandlas enligt de primära ändamålen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. En sådan bestämmelse utgör tillsammans med uppräkningen av tillåtna ändamål i berörda lagar en sådan ändamåls- begränsning som får införas i nationell rätt enligt artikel 6.3 i data- skyddsförordningen. Det finns därför inte skäl att, som Datainspektionen är inne på, införa en hänvisning till dataskyddsförordningen i bestämmel- sen. En bestämmelse av detta slag bör föras in i samtliga berörda registerförfattningar, utom i lagen om det statliga personadressregistret, som skiljer sig i grundläggande avseenden från de övriga registerför- fattningarna. Den lagen berörs inte av de ändringar som föreslås i detta avsnitt. anför bl.a. att flera av ändamålsbestämmelserna i lagen om behandling av uppgifter i verksamhet bör kunna ersättas av den rättsliga grunden i artikel 6.1 c i dataskyddsförord- ningen (rättslig förpliktelse), eftersom inget av ändamålen rimligen saknar stöd i författning. Regeringen anser inte att det har framkommit något skäl att ändra dessa ändamålsbestämmelser med anledning av vad har anfört. Ändamålsbestämmelserna i respektive lag har utformats utifrån den berörda myndighetens verksamhet. Som framgår i avsnitt 8 bedömer regeringen att dataskyddsförordningen ger utrymme för en sådan särskild reglering om personuppgiftsbehandling som finns i bl.a. sådana bestämmelser. Förslagen genomförs genom ändringar i 1 kap. 5 § lagen om behand- ling av uppgifter i beskattningsverksamhet, 1 kap. 4 § lagen om behandling av personuppgifter i folkbokförings- verksamhet, 2 kap. 3, 9, 15 och 20 a §§ lagen om behandling av uppgifter i verksamhet, 1 kap. 5 § lagen om behandling av uppgifter i verksamhet, 6 § lagen om behandling av personuppgifter i äktenskapsregister- och boupptecknings- verksamheter och 12 § lagen om identitetskort för folkbokförda i . Det ska finnas uttryckligt stöd för behandling för att fullgöra föreskrivet uppgiftslämnande I samband med nu aktuella ändringar kan det finnas skäl att göra vissa justeringar och förtydliganden i ändamålsbestämmelserna, som inte har direkt samband med den nya dataskyddsregleringen. De sekundära ändamålsbestämmelser som tar sikte på föreskrivet uppgiftslämnande ser lite olika ut i de olika registerförfattningarna. Som framgår ovan anges i vissa lagar att uppgifter får behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning, medan det i vissa lagar anges att uppgifter får behandlas om det behövs för att fullgöra uppgifts- lämnande som sker i överensstämmelse med lag eller förordning. Den första typen av bestämmelse tar sikte på situationer när det finns en skyldighet att lämna uppgifter, medan den andra typen av bestämmelse tar sikte även på andra bestämmelser som tillåter uppgiftslämnande. Bestämmelser som tillåter uppgiftslämnande under vissa förutsättningar finns bl.a. i 10 kap. 27 § offentlighets- och sekretesslagen (2009:400), OSL. När bestämmelser som påbjuder eller tillåter utlämnande har införts, får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken man funnit att uppgiften ska eller får lämnas ut. Det har därför i vissa sammanhang anförts att det saknas anledning att i en integritetsskyddslagstiftning förhindra att personuppgifter som finns i den berörda verksamheten lämnas ut i dessa fall bara därför att dessa 2017/18:95 numera hanteras med modern informationsteknik i stället för som tidi- gare på papper, se t.ex. propositionen (prop. De sekundära ändamålsbestämmelserna i lagen om behandling av uppgifter i beskattningsverksamhet, lagen om behandling av uppgifter i verksamhet och lagen om be- handling av uppgifter i verksamhet är visserligen inte uttöm- mande. Utlämnande som sker med stöd av en föreskrift som innebär att uppgifter får lämnas ut kan därför ske även utan uttryckligt stöd i de författningarna. För att regleringen ska vara tydlig och konsekvent kan det dock vara lämpligt att utforma de sekundära ändamålsbestämmel- serna även i dessa lagar så att de omfattar utlämnande som sker både med stöd av en bestämmelse om uppgiftsskyldighet och med stöd av en bestämmelse som tillåter uppgiftslämnande. I de uppräknade författ- ningarna bör därför anges att uppgifter får behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Även bestämmelsen i lagen om behandling av person- uppgifter i folkbokföringsverksamhet om att uppgifter får behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning bör justeras på motsvarande sätt som de övriga författningarna. Eftersom ändamålsbestämmelserna i den lagen ser annorlunda ut bör dock bestämmelsen ges en något annorlunda utformning. Förslaget genomförs genom ändringar i 1 kap. 5 § lagen om behand- ling av uppgifter i beskattningsverksamhet, 1 kap. 4 § lagen om behandling av personuppgifter i folkbokförings- verksamhet, 2 kap. 3, 9, 15 och 20 a §§ lagen om behandling av uppgifter i verksamhet och 1 kap. 5 § lagen om behand- ling av uppgifter i verksamhet. Vissa ytterligare tydliggöranden i bestämmelserna bör göras Det är de primära ändamålsbestämmelserna som är styrande för bl.a. vilka uppgifter som får samlas in av myndigheterna. Uppgifter får inte samlas in för att behandlas endast för de sekundära ändamålen. De sekundära ändamålsbestämmelserna är i vissa lagar utformade så att det inte tydligt framgår av lagtexten att behandling för dessa ändamål endast får avse sådana uppgifter som redan behandlas med stöd av primära ändamålsbestämmelser. Regeringen anser därför att bestämmelserna ska formuleras på ett sådant sätt att detta tydligare framgår. De ändamålsbestämmelser i lagen om behandling av uppgifter i Skatte- verkets beskattningsverksamhet, lagen om behandling av uppgifter i verksamhet och lagen om behandling av uppgifter i verksamhet som rör utlämnande till andra verksamheter inom samma myndighet finns i de paragrafer som reglerar de primära ändamålen. Enligt regeringens bedömning avser bestämmelserna egentligen behandling för sekundära ändamål. De bör därför flyttas till de paragrafer som reglerar övriga sekundära ändamål. Vidare bör vissa ytterligare redaktionella ändringar i bestämmelserna göras. I förhållande till promemorians förslag har några av de sekundära ändamålsbestämmelserna också getts en delvis annan struktur. Förslagen genomförs genom ändringar i 1 kap. 4 och 5 §§ lagen om Prop. 2017/18:95 behandling av uppgifter i beskattningsverksamhet, 2 kap. 2, 3, 8, 9, 14, 15, 20 och 20 a §§ lagen om behandling av uppgifter i verksamhet och 1 kap. 4 och 5 §§ lagen om behandling av uppgifter i verksamhet. 9.4Behandling av särskilda kategorier av personuppgifter Regeringens förslag: Hänvisningar i de berörda lagarna till person- uppgiftslagens bestämmelse om vad som är känsliga personuppgifter ska ersättas med hänvisningar till dataskyddsförordningens bestäm- melse om sådana uppgifter. Promemorians förslag: Överensstämmer i sak med regeringens Promemorians förslag är något annorlunda utformat. Remissinstanserna: tillstyrker förslaget. tionen avstyrker förslaget, då inspektionen anser att det finns risk för att myndigheterna kan komma att behandla personuppgifter i strid med artikel i EU:s dataskyddsförordning. om den föreslagna utformningen av undantaget kan anses avse ett viktigt Datainspektionen saknar också överväganden som avser de nya särskilda kategorierna av uppgifter som har införts, såsom genetiska och biometriska uppgifter. det finns oklarheter när det gäller behandling i s.k. eget utrymme hos en myndighet, bl.a. om möjligheten till behandling av känsliga personupp- gifter, och anser att det behövs regler i lag när det gäller behandlingen av känsliga personuppgifter i eget utrymme, för det fall myndigheten ska anses vara personuppgiftsansvarig. anger att artikel 9.2 i dataskyddsförordningen redan innehåller en uttömmande lista på till- fällen då känsliga personuppgifter kan behandlas, varför det inte är nödvändigt att införa särskilt lagstöd för sådan behandling och avstyrker anser vidare att 13 § lagen om identitets- kort för folkbokförda i är onödig på den grunden att behandling av särskilda personuppgifter, fotografi dvs. biometriska data, redan är en rättslig förpliktelse för den utfärdande myndigheten och att övriga kategorier av känsliga personuppgifter inte är relevanta vid utfärdande av I övrigt yttrar sig ingen remissinstans särskilt över Skälen för regeringens förslag Enligt 13 § PUL är det förbjudet att behandla s.k. känsliga personupp- gifter, dvs. personuppgifter som rör hälsa eller sexualliv och personupp- gifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. I 15–19 §§ PUL finns vissa undantag från detta förbud, t.ex. i samtyckessituationer, 2017/18:95 vid viss nödvändig behandling och för forskningsändamål. Av 8 § personuppgiftsförordningen följer att myndigheter, utöver vad som följer av bl.a. 15–19 §§ PUL, får behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det.