prop · H503113 · 2018-02-27 00:00:00 — De typer av beslut enligt dataskyddsförordningen som kan överklagas rör information till den registrerade (artikel 12.5), tillgång till personuppgifter och annan information, s.k. registerutdrag (artikel 15), rättelse (artikel 16), radering (artikel 17), begränsning av behandling (artikel 18), anmälningsskyldig- het om rättelse eller radering och begränsning av behandling (artikel 19), dataportabilitet (artikel 20) och invändningar (artikel 21). Det saknas skäl att för domstolarnas del ha avvikande bestämmelser om vilka beslut som får överklagas. Detsamma gäller för hyres- och arrendenämnderna. Den särskilda instansordning som gäller för beslut av personuppgiftsansvariga domstolar bör dock gälla även i fortsättningen. En bestämmelse med detta innehåll bör därför införas i domstolsdatalagen. Som i och anför ger dataskyddsförordningen inte anledning till någon ändring av instansordningen avseende personuppgiftsansvariga hyres- och arrendenämnders beslut. Regeringen föreslår i avsnitt 12.1 att bestämmelsen i 12 § domstols- datalagen om upplysningar till allmänheten ska upphävas. Det som anges i 20 § domstolsdatalagen om möjligheten att överklaga sådana beslut bör därför utgå. Beslut av tillsynsmyndigheten överklagas enligt dataskyddslagen I 19 § domstolsdatalagen anges att tillsynsmyndighetens beslut enligt domstolsdatalagen eller enligt de bestämmelser i personuppgiftslagen som anges i 5 § domstolsdatalagen om annat än föreskrifter får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Bestämmelsen i 19 § domstolsdatalagen motsvarar 51 § och 53 § andra stycket PUL med den skillnaden att tillsynsmyndigheten enligt domstolsdatalagen inte har möjlighet att bestämma att dess beslut ska gälla även om det överklagas. Av 7 kap. 3 § dataskyddslagen framgår att tillsynsmyndighetens beslut enligt dataskyddsförordningen och enligt 6 kap. 2 och 3 §§ dataskydds- lagen får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Bestämmelser om när beslut får verkställas kommer att finnas i 35 § förvaltningslagen (2017:900). Regeringen instämmer i promemorians bedömning att det saknas skäl att ha avvikande regler om överklagande av tillsynsmyndighetens beslut på domstolsdatalagens tillämpnings- område. Bestämmelsen i 19 § domstolsdatalagen bör därför upphävas. Överklagandeförbud och prövningstillstånd i vissa fall Enligt nuvarande ordning får andra beslut än sådana som avses i 19– 21 §§ domstolsdatalagen eller i 47 § PUL inte överklagas (22 § första 2017/18:113 stycket domstolsdatalagen). Enligt 7 kap. 5 § dataskyddslagen får andra beslut än de som avses i 7 kap. 2–4 §§ den lagen inte överklagas. Överklagandeförbudet i dataskyddslagen kommer enligt regeringens förslag att gälla även på domstolsdatalagens tillämpningsområde och den nu gällande bestämmelsen i 22 § första stycket domstolsdatalagen bör därför upphävas. Av 22 § andra stycket domstolsdatalagen följer att det krävs prövnings- tillstånd vid överklagande av förvaltningsrättens beslut med anledning av tillsynsmyndighetens ansökan om att personuppgifter som har behandlats på ett olagligt sätt ska utplånas (47 § PUL). Som en följd av att personuppgiftslagen upphävs bör även bestämmelsen i 22 § andra stycket domstolsdatalagen upphöra att gälla. 15.1Bestämmelser som kompletterar dataskyddsförordningen Regeringens förslag: Lagändringarna träder i kraft . Äldre föreskrifter gäller fortfarande för överklagande av beslut som har meddelats före ikraftträdandet. Promemorians förslag överensstämmer i sak med regeringens. I promemorian föreslås att äldre föreskrifter fortfarande ska gälla för överklagande av beslut som har meddelats med stöd av de föreskrifterna. Remissinstanserna: Ingen remissinstans invänder mot promemorians förslag. Skälen för regeringens förslag Enligt artikel 99 i dataskyddsförordningen ska förordningen träda i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning och tillämpas . Utgångspunkten enligt dataskyddsförordningen är att behandling som pågår den dag då förordningen börjar tillämpas ska bringas i överensstämmelse med förordningen (skäl 171). De personuppgiftsansvariga förutsätts alltså ha anpassat sin behandling av personuppgifter till regleringen i dataskyddsförordningen när den ska börja tillämpas. Det innebär t.ex. att en begäran om information som kommit in men inte besvarats före ska hanteras enligt dataskyddsförordningens bestämmelser, inklusive bestämmelserna om när i förhållande till begäran informationen senast ska lämnas (artikel 12.3). Lagändringarna bör träda i kraft Genom de lagändringar som föreslås i detta lagstiftningsärende bedöms domstolsdatalagen vara i överensstämmelse med dataskyddsförordning- en. Ändringarna bör träda i kraft som dataskyddsförordningen börjar tillämpas, dvs. Överklagande av tillsynsmyndighetens och domstolarnas beslut Enligt allmänna förvaltningsrättsliga principer gäller att de föreskrifter som är i kraft när prövningen hos en myndighet eller förvaltningsdomstol sker som huvudregel ska tillämpas. Detta gäller i fråga om både förfarandet och prövningen i sak och även om ett överklagat beslut har fattats före ikraftträdandet. Principen är inte undantagslös och det kan också följa av övergångsbestämmelser eller motiven till lagstiftningen att en annan ordning är avsedd (jfr RÅ 1996 ref. 57). Det finns mot denna bakgrund skäl att överväga behovet av övergångsbestämmelser när det gäller överklagande av tillsynsmyndighetens och domstolarnas beslut. När det gäller överklagande finns i domstolsdatalagen bestämmelser om tillsynsmyndighetens beslut (19 §), beslut av de personuppgifts- ansvariga domstolarna och nämnderna (20 och 21 §§), överklagande- förbud (22 § första stycket) och prövningstillstånd i vissa fall (22 § andra stycket). Regeringen föreslår i avsnitt 14.2 att dessa bestämmelser ska upphävas och, när det gäller beslut av den personuppgiftsansvarige, ersättas av bestämmelser som hänvisar till dataskyddsförordningen. Enligt punkt 6 i ikraftträdande- och övergångsbestämmelserna till data- skyddslagen gäller personuppgiftslagen fortfarande för överklagande av beslut som har meddelats med stöd av den lagen. Samma ordning bör gälla på domstolsdatalagens område och klargöras genom en särskild övergångsbestämmelse som anger att äldre föreskrifter fortfarande gäller för överklagande av beslut som har meddelats före ikraftträdandet. Förslaget innebär bl.a. att beslut som fattats av en personuppgiftsansvarig domstol, t.ex. om rättelse enligt 28 § PUL, överklagas enligt de regler som gällde när beslutet fattades. 15.2Behandling av personuppgifter som omfattas av dataskyddsdirektiv Regeringens förslag: Äldre föreskrifter gäller fortfarande vid sådan behandling av personuppgifter som avses i artikel 2.2 d i EU:s dataskyddsförordning, i den ursprungliga lydelsen. Utredningen om 2016 års dataskyddsdirektiv föreslår ingen över- gångsbestämmelse om sådan personuppgiftsbehandling i domstol som omfattas av tillämpningsområdet dataskyddsdirektiv. Utredningen gör i stället bedömningen att om ändringarna i domstols- datalagen träder i kraft före domstolarnas brottsdatalag, bör domstols- datalagen i dess lydelse före och personuppgiftslagen fortsätta att gälla tills vidare för sådan behandling av personuppgifter som undantas från dataskyddsförordningens tillämpningsområde. 2017/18:113 Remissinstanserna: anför i sitt remissyttrande över betänkandet Brottsdatalag (SOU 2017:29) att det bör säkerställas att personuppgiftslagen, men även vid behov den gällande lydelsen av domstolsdatalagen, blir fortsatt tillämpliga för det fall genomförandet av direktivet blir försenat. I övrigt kommenterar ingen remissinstans utredningens bedömning. Skälen för regeringens förslag: Utredningen om 2016 års data- skyddsdirektiv föreslår att direktivet i huvudsak ska genomföras genom en ny ramlag, brottsdatalagen (SOU 2017:29). Utredningen föreslår också att en ny lag ska införas som ersätter domstolsdatalagen inom brottsdatalagens tillämpningsområde, domstolarnas brottsdatalag (SOU 2017:74). Förslagen bereds inom . Regeringen bedömer att den nya regleringen för domstolarna inte kommer att kunna träda i kraft förrän efter , vilket innebär att övergångsproblem kan uppstå. I detta lagstiftningsärende föreslår regeringen ingen avgränsning av domstolsdatalagens tillämpningsområde. Lagen kommer därför tills vidare att gälla även personuppgiftsbehandling som omfattas av dataskyddsdirektiv, t.ex. behandling inom ramen för brottmåls- hanteringen i allmän domstol. De nya reglerna är emellertid anpassade till dataskyddsförordningen. Förordningen ska inte tillämpas på behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, dvs. personuppgiftsbehandling som regleras i direktivet (artikel 2.2 d i dataskyddsförordningen). Det framstår mot denna bakgrund inte som lämpligt att låta de föreslagna bestämmelserna gälla på direktivets tillämpningsområde. Som är inne på bör i stället en övergångsbestämmelse införas som innebär att äldre föreskrifter i domstolsdatalagen fortfarande gäller för sådan behandling av personuppgifter som avses i artikel 2.2 d i dataskyddsförordningen. Genom hänvisningarna i den nu gällande 5 § domstolsdatalagen kommer detta även att gälla de bestämmelser i personuppgiftslagen som anges i den paragrafen. Av punkt 5 i övergångsbestämmelserna till dataskydds- lagen följer att personuppgiftslagen fortfarande gäller i den utsträckning som det i en annan lag eller en förordning finns bestämmelser som innehåller hänvisningar till den lagen. Den föreslagna övergångsbestämmelsen bör upphävas när dom- stolarnas personuppgiftsreglering anpassas till dataskydds- direktiv. Eftersom det är fråga om en tillfällig lösning bör en statisk hänvisningsteknik användas. Hänvisningen bör alltså avse den ursprungliga lydelsen av bestämmelsen i dataskyddsförordningen. Regeringens bedömning: Förslagen innebär en viss förstärkning av skyddet för enskildas personliga integritet. Förslaget om dataskyddsombud kan medföra marginellt ökade kostnader för Domstolar. Dessa kostnader ryms inom befintliga anslag. Förslagen har inte någon påverkan på jämställdheten mellan män och kvinnor. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: De flesta av remissinstanserna, t.ex. , , Kammarrätten i och Förvaltningsrätten i , instämmer i promemorians bedömning eller har ingen invändning mot den. Förvaltningsrätten i , Förvaltningsrätten i , i och ifrågasätter om kostnaderna för domstolarna ryms inom befintliga ekonomiska ramar. Hovrätten för instämmer i promemorians bedömning om förslagen i promemorian ses isolerade. Om konsekvenserna av de samlade förändringar som föranleds av bl.a. dataskyddsförordningen och dataskyddsdirektivet beaktas, torde det enligt hovrätten krävas en inte oväsentlig insats för att utbilda domstolarnas personal. påpekar att ingen av de utredningar som redovisats har haft i uppdrag att göra en konsekvens- analys av dataskyddsreformens sammantagna effekter för Domstols- verket eller domstolarna. Kammarrätten i anser att utform- ningen av informationen till enskilda enligt artikel 13 i dataskydds- förordningen och därmed sammanhängande frågor med fördel kan samordnas av . Förvaltningsrätten i utgår från att kommer att hjälpa domstolarna i deras arbete med anledning av dataskyddsreformen genom att ta fram utbildningsmaterial och rekommendationer. Skälen för regeringens bedömning: När det gäller konsekvenserna av de förslag som läggs fram i denna proposition ska det först framhållas att syftet är att föreslå de anpassningar som är nödvändiga med anledning av den nya dataskyddsförordningen. Det innebär att flera bestämmelser i domstolsdatalagen kvarstår oförändrade och att vissa bestämmelser anpassas till dataskyddsförordningen utan att det sakliga innehållet förändras på ett avgörande sätt. Förvaltningsrätten i , Förvaltningsrätten i , i och anser att förslaget om dataskyddsombud kan medföra ökade kostnader för domstolarna. Regeringen konstaterar att förslaget innebär att dataskydds- ombuden kommer att ha samma ansvarsområde som de nuvarande personuppgiftsombuden. De merkostnader som kan uppstå på grund av dataskyddsombudens förändrade arbetsuppgifter torde vara marginella. Regeringen bedömer att kostnaderna ryms inom befintliga anslag. I övrigt bedömer regeringen att förslagen inte har några ekonomiska konsekvenser för det allmänna eller för enskilda. 2017/18:113 Med anledning av Hovrätten för Västra och synpunkter konstateras att dataskyddsreformens sammantagna effekter för och domstolarna inte kan analyseras inom ramen för detta lagstiftningsärende. Dataskyddsreformen kommer att ställa nya krav på domstolarna, liksom på övriga myndigheter, vid den personuppgiftsbehandling som sker i respektive verksamhet. Flera domstolar, bl.a. Kammarrätten i och Förvaltningsrätten i , efterfrågar hjälp av med att bl.a. ta fram utbildningsmaterial och vägledning i olika frågor. Det ligger i uppdrag att bistå domstolarna med information, utbildning och administrativt stöd för att ge domstolarna goda förutsättningar att leva upp till kraven i dataskydds- förordningen och domstolsdatalagen. Enligt dataskyddsförordningen finns det ingen skyldighet att utse dataskyddsombud när behandling av personuppgifter sker som en del av domstolarnas dömande verksamhet. Trots detta föreslår regeringen att domstolarna ska utse dataskyddsombud i syfte att åstadkomma ett stärkt integritetsskydd för den registrerade. När det gäller de registrerades rättigheter hänvisar domstolsdatalagen till bestämmelser i person- uppgiftslagen. När dataskyddsförordningen ska börja tillämpas kommer i stället en omfattande reglering av enskildas rättigheter i kapitel III i dataskyddsförordningen att bli tillämplig. Enligt artikel 23.1 i förordningen finns det en generell möjlighet att i nationell rätt begränsa tillämpningsområdet för rättigheterna. Regeringen föreslår emellertid inga sådana begränsningar i domstolsdatalagen. Detta medför en viss förstärkning av enskildas rättigheter i förhållande till vad som gäller enligt personuppgiftslagen, t.ex. i fråga om information och tillgång till personuppgifter. Regeringen bedömer sammantaget att förslagen innebär en viss förstärkning av skyddet för enskildas personliga integritet. Regeringen bedömer att förslagen inte har någon påverkan på jämställdheten mellan män och kvinnor och att de inte får några sociala eller miljömässiga konsekvenser. Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. I paragrafen, som är ny, anges lagens förhållande till dataskydds- förordningen. Rubriken närmast före paragrafen har utformats i enlighet med Lagrådets förslag. Övervägandena finns i avsnitt 5.1. I paragrafen anges att lagen kompletterar dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. Det innebär att den automatiskt är en del av den svenska rättsordningen. vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att medlemsstaterna inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Denna lag innehåller bestämmelser som kompletterar dataskyddsförord- ningen i den verksamhet som anges i 2 §, dvs. de allmänna domstolarnas, de allmänna förvaltningsdomstolarnas och hyres- och arrende- nämndernas rättskipande och rättsvårdande verksamhet. Hänvisningarna i lagen till dataskyddsförordningen är dynamiska, dvs. avser förordningen i dess gällande lydelse. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen upplyser om hur lagen förhåller sig till lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen). Övervägandena finns i avsnitt 5.1. Paragrafen ändras så att den anger att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag. Detta gäller dock endast om inte något annat följer av denna lag eller av föreskrifter som har meddelats i anslutning till lagen. Personuppgifter som behandlas enligt 6 § får även behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Personuppgifter som behandlas enligt 6 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Paragrafen innehåller bestämmelser om de sekundära ändamål som personuppgifter får behandlas för. Övervägandena finns i avsnitt 13.3. I andra stycket, som är nytt, anges att personuppgifter som behandlas för handläggningen av mål och ärenden får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Det är en allmän dataskyddsrättslig princip att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt den s.k. finalitetsprincipen får uppgifterna inte senare behandlas för något annat ändamål som är oförenligt med insamlingsändamålen. Finalitetsprincipen kommer till uttryck i artikel 5.1 b i dataskydds- förordningen. Enligt den bestämmelsen gäller att ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen inte ska anses vara oförenlig med de ursprung- liga ändamålen. Genom bestämmelsen i andra stycket tydliggörs att insamlade personuppgifter får behandlas för ändamål som inte är ofören- liga med insamlingsändamålen. Det innebär t.ex. att personuppgifter som 2017/18:113 samlats in för handläggningen av mål och ärenden även får behandlas för arkivändamål av allmänt intresse. Den personuppgiftsansvarige ska utse ett eller flera dataskyddsombud. I paragrafen finns en bestämmelse om dataskyddsombud. Över- vägandena finns i avsnitt 9. I paragrafen ersätts ordet personuppgiftsombud med ordet dataskydds- ombud. Enligt paragrafen är den personuppgiftsansvarige skyldig att utse dataskyddsombud. Bestämmelser om när dataskyddsombud ska utses samt dataskyddsombudets ställning och uppgifter finns i artiklarna 37–39 i dataskyddsförordningen. Den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident enligt artikel 34 i EU:s dataskyddsförordning gäller inte sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. I paragrafen, som är ny, finns en bestämmelse om den personuppgifts- ansvariges skyldighet att informera om personuppgiftsincidenter. Övervägandena finns i avsnitt 12.2. I paragrafen anges att den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident enligt artikel 34 i dataskyddsförordningen inte gäller sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Undantaget har stöd i artikel 23 i dataskyddsförordningen. Ytterligare undantag från skyldigheten att informera den registrerade om en personuppgiftsincident finns i artikel 34.3 i dataskyddsförordningen. Paragrafen innebär att sekretess eller tystnadsplikt gentemot den registrerade som har stöd i författning har företräde framför skyldigheten att informera den registrerade om en personuppgiftsincident. Det är främst sekretess enligt offentlighets- och sekretesslagen (2009:400), förkortad OSL, som avses. Sekretess kan gälla i förhållande till den registrerade för uppgifter om en tvångs- eller säkerhetsåtgärd. Det kan t.ex. vara av synnerlig vikt att uppgifter i ett mål om betalningssäkring enligt 46 kap. skatteförfarandelagen (2011:1244) inte röjs för den betalningsskyldige (17 kap. 2 § OSL och prop. 2015/16:144 s. 35). Om den registrerade på grund av partsinsyn har rätt att ta del av uppgifterna i ett mål kan den personuppgiftsansvarige inte med stöd av denna paragraf underlåta att informera den registrerade om en personuppgiftsincident. Begränsningen av skyldigheten att informera den registrerade gäller endast som uppgifterna omfattas av sekretess. När sekretessen inte längre gäller, t.ex. för att verkställighet har skett, bör den personuppgiftsansvarige alltså informera den registrerade om personuppgiftsincidenten, om inte något av undantagen i artikel 34.3 i dataskyddsförordningen är tillämpligt. Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personen utifrån sådana uppgifter som avses i artikel 9.1 i EU:s dataskydds- förordning (känsliga personuppgifter). Paragrafen innehåller en bestämmelse om behandling av känsliga personuppgifter. Övervägandena finns i avsnitt 10.2. I artikel 9.1 i dataskyddsförordningen finns ett förbud mot att behandla s.k. känsliga personuppgifter. Förbudet ska dock inte tillämpas om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller som en del av domstolarnas dömande verksamhet (artikel 9.2 f). Regleringen innebär att behandling av känsliga person- uppgifter som utgångspunkt är tillåten i domstolarnas rättskipande och rättsvårdande verksamhet. Enligt paragrafen får känsliga personuppgifter emellertid inte utgöra den enda grunden för personuppgiftsbehandling (prop. 2014/15:148 s. 111 f.). I paragrafen ersätts uppräkningen av vissa kategorier av person- uppgifter med en hänvisning till artikel 9.1 i dataskyddsförordningen. De kategorier av personuppgifter som avses i artikeln är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i en fackförening, genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Ändringen innebär att bestämmelsen utvidgas till att omfatta genetiska och biometriska uppgifter. Genom hänvisningen till dataskyddsförordningen förtydligas att uppgifter om en persons sexuella läggning ska anses utgöra känsliga personuppgifter. Vid sökning i personuppgifter är det förbjudet att använda sökbegrepp som avslöjar känsliga personuppgifter, uppgifter om nationell anknytning eller upp- gifter om brott eller misstanke om brott. Användning av särskilda beteckningar för identifiering av en viss mål- eller ärendetyp som sökbegrepp omfattas inte av förbudet i första stycket. Paragrafen innehåller bestämmelser som förbjuder användningen av integritetskänsliga sökbegrepp. Övervägandena finns i avsnitt 10.2. I första stycket ersätts en del av uppräkningen av integritetskänsliga sökbegrepp med uttrycket känsliga personuppgifter. Med känsliga personuppgifter avses sådana uppgifter som avses i artikel 9.1 i data- skyddsförordningen (jfr författningskommentaren till 13 §). Ändringen innebär att sökförbudet utvidgas till att omfatta sökbegrepp som avslöjar genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en person.