prop · H503120 · 2018-03-06 00:00:00 — Även om en person senare medger att uppgifter om honom eller henne får samlas in igen, kan vissa uppgifter vara svåra eller tidskrävande att då få fram, eftersom de inte fångas upp av de löpande uppdateringar av uppgifter som kreditupplys- ningsföretagen gör. Det gäller uppgifter om utslag i mål om betalnings- förelägganden och tredskodomar som ligger eller som har undanröjts. Det finns därför en risk att informationen om den som har förhindrat att sådana uppgifter samlas in även efter att en invändning har dragits tillbaka förblir ofullständig. Det innebär att den enskilde kan få vänta på kredit även efter det att han eller hon har med- gett att uppgifter åter får samlas in. Till detta kommer att en invändning mot registrering i många fall inte skulle kunna beviljas, eftersom befint- liga kreditgivare kan ha ett intresse av fortsatta kreditupplysningar för att kunna bevaka krediterna och därför kan påvisa skäl för fortsatt behand- ling som väger tyngre än den registrerades intressen i det enskilda fallet (se t.ex. 11 § andra stycket kreditupplysningslagen). 2017/18:120 ett kreditupplysningsföretag kan erbjuda uppgifter om enskilda påverkar också företagets konkurrenskraft. En ordning där en invändning kan gö- ras hos vissa kreditupplysningsföretag men inte hos andra skulle därmed påverka konkurrensen på kreditupplysningsmarknaden. Även dessa om- ständigheter får betydelse för frågan om huruvida en begränsning av rätten till invändning är proportionell. En rätt för den registrerade att invända mot behandlingen av person- uppgifter om honom eller henne kan alltså påverka effektiviteten i kredit- upplysningsverksamheten som den kan få oförutsedda och oönskade effekter för den enskilde. Regeringen anser mot denna bak- grund att det finns utrymme att behålla bestämmelsen i 5 § fjärde stycket kreditupplysningslagen som en nödvändig och proportionell begränsning av den registrerades rättigheter. Den reglering som finns av kredit- upplysningsverksamheten uppfyller vidare de krav som i artikel 23.2 i dataskyddsförordningen ställs på en begränsande lagstiftningsåtgärd. Be- stämmelsen i 5 § fjärde stycket kreditupplysningslagen kan således i sak behållas. Den bör dock anpassas språkligt till dataskyddsförordningen. För att underlätta för rättstillämparna bör det även anges vilken artikel som begränsningen avser. Ett par remissinstanser framhåller de bedömningar som gör i betänkandet Så stärker vi den personliga integriteten (SOU 2017:52) bl.a. i fråga om behovet av att utreda frågan om en strykningsrätt i kreditupplysningsverksamhet. Bedömningarna har inte sin grund i behovet av att anpassa kreditupplysningslagen till dataskydds- förordningen. Kommitténs betänkande har remissbehandlats och bereds i . Säkerhet vid behandling av personuppgifter Regeringens förslag: Hänvisningen till personuppgiftslagen i kredit- upplysningslagens regler om säkerhet vid behandling av person- uppgifter ska ersättas av en hänvisning till EU:s dataskyddsförord- Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser tillstyrker utredningens förslag eller har ingen invändning mot det. Ett antal remissinstanser – bl.a. Förvaltningsrätten i och CreditSafe i – fram- håller att tillämpningen underlättas om det i hänvisningen kan klargöras vilka artiklar i dataskyddsförordningen som reglerar säkerhet vid behand- ling av personuppgifter. Skälen för regeringens förslag: En personuppgiftsansvarig har i grunden samma skyldigheter enligt dataskyddsförordningen som enligt Det handlar t.ex. om att behandlingen av person- uppgifter ska ske på ett korrekt och säkert sätt. I 5 § tredje stycket kredit- upplysningslagen finns när det gäller säkerheten vid behandling av personuppgifter en hänvisning till 30–32 §§ personuppgiftslagen. visningen ska ses mot bakgrund av att tredje stycket i övrigt innehåller bestämmelser om datasäkerhet vid behandling av uppgifter om juridiska Bestämmelsen upplyser om att för behandling av person- Prop. 2017/18:120 uppgifter gäller i stället personuppgiftslagens bestämmelser om säkerhet. För behandling av personuppgifter i kreditupplysningsverksamhet blir dataskyddsförordningens bestämmelser om säkerhet tillämpliga när för- ordningen börjar tillämpas. Dessa bestämmelser finns företrädesvis i för- ordningens kapitel IV, som innehåller bestämmelser om skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden. Det bör framgå direkt av kreditupplysningslagen att det finns bestämmelser om säkerhet även vid behandling av personuppgifter. Hänvisningen till personupp- giftslagen i 5 § tredje stycket kreditupplysningslagen bör därför ersättas med en hänvisning till dataskyddsförordningen. Som flera remissinstanser pekar på kan det finnas fördelar för rätts- tillämparna om hänvisningen anger vilka artiklar i förordningen som kan bli tillämpliga. Dataskyddsförordningens bestämmelser om säkerhet är dock mer utförliga än personuppgiftslagens och finns inte heller samlade på ett sådant sätt att en fullständig hänvisning låter sig göras. Regeringens förslag: Det ska föreskrivas i kreditupplysningslagen att vid tillsyn över sådan behandling av personuppgifter som omfattas av EU:s dataskyddsförordning gäller Datainspektionens befogenheter enligt lagen utöver de befogenheter som en tillsynsmyndighet har enligt förordningen. Regeringens bedömning: EU:s dataskyddsförordning kräver inga ändringar av kreditupplysningslagens regler om överklagande. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian ges bestämmelsen som reglerar förhållandet till data- skyddsförordningens tillsynsbestämmelser en annan utformning och placering. Promemorian innehåller inte någon uttrycklig bedömning av kreditupplysningslagens regler om överklagande. Remissinstanserna: Flertalet remissinstanser tillstyrker promemorians förslag eller har ingen invändning mot det. menar att det inte behövs ytterligare tillsynsbestämmelser i kreditupplysningsverksamhet. och CreditSafe i anser vidare att det är oklart vad avsikten med och innebörden av den föreslagna bestämmelsen är. Datainspektionen delar promemorians bedömning att det inte finns några formella hinder mot att särskilt reglera frågor om tillsyn i kreditupplys- ningslagen, men anser att det bör analyseras om det är lämpligt att ha kvar reglerna. Inspektionen efterfrågar ytterligare redogörelse för hur bestämmelserna ska tillämpas i praktiken. Inspektionen anser vidare att kreditupplysningslagens överklaganderegler bör svara mot dem som finns i förslaget till dataskyddslag. Skälen för regeringens förslag och bedömning: Dataskyddsförord- ningen föreskriver – i likhet med dataskyddsdirektivet – att medlemssta- terna ska utse en eller flera självständiga tillsynsmyndigheter som ska an- svara för att övervaka tillämpningen av regleringen. 2017/18:120 Förordningen innehåller en mer detaljerad reglering av tillsynsmyndig- hetens roll, organisation och uppgifter än vad dataskyddsdirektivet och personuppgiftslagen gör (kapitel VI och VII i förordningen). Flertalet av förordningens bestämmelser som rör tillsynsmyndigheten gäller direkt och kräver inga kompletterande nationella bestämmelser. Andra frågor är i och för sig reglerade genom förordningen, men tillåter ytterligare nationell reglering. Enligt artikel 58.6 i dataskyddsförordningen får också varje medlemsstat i lagstiftning föreskriva att dess tillsynsmyndighet ska ha ytterligare befogenheter utöver dem som framgår av artikel 58.1–3. 2017/18:105 framgår att regeringen har för avsikt att peka ut Datainspektionen som tillsynsmyndighet enligt dataskyddsförordningen (se avsnitt 14.1.2 och 15.1) och i förslaget till ny dataskyddslag klargörs att inspektionens befogenheter enligt förordningen även gäller vid tillsyn över efterlevnaden av bestämmelserna i dataskyddslagen och andra författningar som kompletterar förordningen (6 kap. 1 § i den föreslagna dataskyddslagen). En sådan ordning är nödvändig för att förordningens intentioner ska få fullt genomslag. I kreditupplysningslagen finns tillsynsbestämmelser som pekar ut Datainspektionen som tillsynsmyndighet över att lagen följs. Eftersom dataskyddsförordningens tillsynsbestämmelser är direkt tillämpliga, kommer tillsynen över personuppgiftsbehandling i kreditupplysnings- verksamhet i fortsättningen sannolikt att i huvudsak ske enligt förord- ningens bestämmelser. Det kommer alltså inte att bli aktuellt, vilket synes förorda, att uteslutande tillämpa kreditupplysningslagens tillsynsbestämmelser i kreditupplysningsverksamhet. Kreditupplysningslagens tillsynsbestämmelser bedöms dock vara för- enliga med dataskyddsförordningen och de kan därför behållas oför- ändrade. Datainspektionen efterfrågar en analys av om bestämmelserna bör vara kvar samt en ytterligare redogörelse för hur de ska tillämpas i praktiken. Regeringen konstaterar att bestämmelserna visserligen även omfattar den personuppgiftsbehandling som sker i kreditupplysnings- verksamhet. Tillsynsbestämmelserna i kreditupplysningslagen har dock ett vidare syfte – nämligen att reglera tillsynen över de tillstånd och vill- kor som Datainspektionen kan meddela respektive föreskriva för verk- samheten. De kan således ge ytterligare befogenheter för Datainspek- tionen. Reglerna bör därför behållas. Som även och CreditSafe i framhåller kan dubbla regleringar ibland innebära en osäkerhet för den som är föremål för tillsyn. Det gäller dock främst i fråga om vilka sanktioner eller straff som kan följa av tillsynen (se avsnitt 6.11). Det är därför av vikt att tillsynsmyndigheten, när det finns anledning till det, klargör på vilken rättslig grund en tillsynsåtgärd – t.ex. ett föreläggande om rättelse – vidtas. I många situationer torde det dock sakna praktisk betydelse om tillsynen utförs med stöd av dataskydds- förordningens eller kreditupplysningslagens tillsynsbestämmelser, eller för den delen har sin grund i båda regelverken. Det kan t.ex. handla om att Datainspektionen utför en inspektion eller begär upplysningar från ett kreditupplysningsbolag. För att det tydligt ska framgå av kreditupplys- ningslagen att lagens tillsynsbestämmelser inte gäller i stället för data- skyddsförordningen bör det i lagen införas en bestämmelse som klargör att kreditupplysningslagens bestämmelser, vid tillsyn över sådan behandling av personuppgifter som omfattas av dataskyddsförordningen, Prop. 2017/18:120 gäller utöver dataskyddsförordningens bestämmelser. Datainspektionen lyfter även frågan om hur inspektionens beslut ska överklagas. Av 23 § kreditupplysningslagen följer att Datainspektionens beslut får överklagas till allmän förvaltningsdomstol. Prövningstillstånd för överklagande till kammarrätten krävs endast om beslutet avser före- läggande av vite. Av 7 kap. 3 § i den förslagna dataskyddslagen följer däremot att prövningstillstånd vid överklagande till kammarrätten krävs när det gäller tillsynsmyndighetens beslut enligt dataskyddsförordningen. Regeringen konstaterar att ett införande av ett generellt krav på pröv- ningstillstånd i kammarrätten vid överklagande av beslut enligt kredit- upplysningslagen skulle ligga väl i linje med den allmänna utgångs- punkten att rättskipningen ska ha sin tyngdpunkt i förvaltningsrätt. Därigenom sätts kammarrättens kontrollerande funktion i fokus (se t.ex. prop. 2012/13:45 s. 133). Systemet med prövningstillstånd vid över- klagande från förvaltningsrätten till kammarrätten har också getts en i princip allmän tillämpning (jfr t.ex. prop. 1994/95:27, prop. 1995/96:22 och prop. 1997/98:101). Någon ändring av den befintliga ordningen krävs dock inte med anledning av dataskyddsförordningen och något för- slag om att införa prövningstillstånd lämnas inte i promemorian. Det sak- nas därför beredningsunderlag för att inom ramen för detta lagstiftnings- ärende föreslå några ändringar i kreditupplysningslagens regler om över- klagande. Regeringens bedömning: Kreditupplysningslagens straff- och vites- bestämmelser är förenliga med EU:s dataskyddsförordning och kan Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser delar promemorians bedömning eller invänder inte mot den. ningen att det inte finns några formella hinder mot att särskilt reglera frågor om straff och vite i kreditupplysningslagen, men anser att det bör analyseras om det är lämpligt att ha kvar reglerna. efterfrågar vidare en utförligare redogörelse för hur kreditupplysnings- lagens bestämmelser om straff och vite ska tillämpas i praktiken. anser att det bör tydliggöras med exempel hur principen om ne bis in idem bör tillämpas i olika situationer. bolagens Förening menar att om principen om ne bis in idem lagfästs, underlättas handläggningen och minimeras risken för misstag hos den myndighet som hanterar ett ärende. CreditSafe i menar att situationen för kreditupplysningsbolagen blir rättsosäker om det i praktiken lämnas till Datainspektionen att bestämma enligt vilken ordning prövning ska ske. Skälen för regeringens bedömning: En nyhet i dataskyddsförord- ningen i förhållande till dataskyddsdirektivet och personuppgiftslagen är möjligheten enligt artikel 83 att ålägga administrativa sanktionsavgifter 2017/18:120 vid överträdelser av förordningen. Uppräkningen i artikel 83 av vilka överträdelser som föranleder sanktionsavgifter är uttömmande. artikel 84 framgår att medlemsstaterna ska fastställa regler om andra sanktioner för överträdelser av förordningen, särskilt för överträdelser som inte är föremål för administrativa sanktionsavgifter. 2017/18:105 föreslår regeringen att tillsynsmyndigheten ska få påföra administrativa sanktionsavgifter enligt artikel 83 även vid över- trädelser av artikel 10 i förordningen, dvs. vid behandling av uppgifter om lagöverträdelser i strid med förordningen (6 kap. 3 § i den föreslagna I dataskyddslagen föreslås dock inte några straffrätts- liga påföljder för överträdelser av förordningen. tillsynsmyndigheten att förena sina förelägganden med vite föreslås inte Frågan är vad dataskyddsförordningens sanktionsföreskrifter och ovan angivna förslag och överväganden innebär för straff- och vitesbestäm- melserna i 19 och 22 §§ kreditupplysningslagen. belägger bl.a. behandling av känsliga uppgifter i kreditupplysningsverk- Straffbestämmelserna omfattar dock även andra typer av age- randen, t.ex. bedrivande av kreditupplysningsverksamhet utan tillstånd, brott mot villkor som Datainspektion föreskrivit för en verksamhet samt överlåtelse eller upplåtelse av kreditupplysningsregister utan Datainspek- Vitesbestämmelserna ger Datainspektionen möj- lighet att förelägga om vite, om den som bedriver verksamheten inte full- gör vad som åligger honom eller henne t.ex. i fråga om information till den registrerade och i fråga om rättelse av oriktiga eller missvisande Enligt skäl 149 till förordningen bör medlemsstaterna kunna fastställa bestämmelser om straffrättsliga påföljder för överträdelser av förordnin- Sådana påföljder får även avse överträdelser av nationella bestäm- melser som antagits i enlighet med och inom ramen för förordningen. Mot den bakgrunden bedöms 19 och 22 §§ kreditupplysningslagen vara förenliga med dataskyddsförordningen. I artikel 83 i förordningen räknas de överträdelser som kan föranleda sanktionsavgifter upp. gen framgår motsatsvis att sådana avgifter kan påföras vid överträdelser av nationella bestämmelser endast om dessa bestämmelser har antagits med stöd av kapitel IX i dataskyddsförordningen. lagens straff- och vitesbestämmelser inte längre skulle gälla i fråga om sådan kreditupplysningsverksamhet som avser behandling av personupp- gifter, skulle därmed ageranden i strid med lagens regler i vissa fall inte kunna leda till några andra konsekvenser än förlust av tillståndet att be- driva kreditupplysningsverksamhet eller skadeståndsskyldighet. melserna i 19 och 22 §§ kreditupplysningslagen bör därför behållas. CreditSafe i menar att situationen för kreditupplysnings- bolagen blir rättsosäker om det lämnas till Datainspektionen att bestämma enligt vilken ordning prövning ska ske. Även om straff- och vitesbestämmelserna i kreditupplysningslagen en- dast avser ageranden som skett i strid med bestämmelser i kreditupplys- ningslagen, kan det inte uteslutas att det skulle kunna uppstå en situation där samma agerande skulle kunna bli föremål för en sanktionsavgift en- En sådan situation skulle kunna vara att någon bedriver kreditupplysningsverksamhet utan att ha rätt till det. sådant agerande är straffbelagt enligt 19 § första stycket 1 kreditupplys- ningslagen, men torde även kunna innebära att det i verksamheten be- handlas personuppgifter i strid med dataskyddsförordningens bestäm- melser. En annan situation skulle kunna vara att personuppgifter inte gallras inom den treårsfrist som uppställs i 8 § andra stycket kreditupp- lysningslagen. Ett sådant agerande är straffbelagt enligt 19 § första stycket 2 kreditupplysningslagen, som det torde kunna strida mot principerna för behandling i artikel 5 i dataskyddsförordningen (jfr artikel 83.5 a i förordningen). Det kan här konstateras att straffansvar enligt kreditupplysningslagen i praktiken sällan aktualiseras. Ett individuellt straffansvar förutsätter att det kan bevisas att brottsförutsättningarna är uppfyllda och att de täcks av den misstänktes uppsåt eller oaktsamhet. För brott som har begåtts i utövningen av näringsverksamhet kan en näringsidkare åläggas företags- bot, som är en särskild rättsverkan av brott. Företagsboten bör ha före- träde framför det individuella straffansvaret vid viss mindre allvarlig brottslighet (prop. 2005/06:59 s. 43–45). En förutsättning för företagsbot är att näringsidkaren inte har gjort vad som skäligen kan krävas för att förebygga brottsligheten, eller att brottet har begåtts av en person i ledande ställning eller en person som annars haft ett särskilt ansvar för tillsyn eller kontroll i verksamheten (36 kap. 7 § ). Om ett brott som kan föranleda talan om företagsbot har begåtts av oaktsamhet och inte kan antas föranleda annan påföljd än böter, får åklagaren väcka åtal endast om det är påkallat från allmän synpunkt (36 kap. 10 a § ). Det ankommer på berörda myndigheter att i det enskilda fallet avgöra med stöd av vilka bestämmelser det är lämpligt att ingripa mot ett visst agerande. I de mycket få fall som det kan antas bli fråga om där ett age- rande skulle kunna bli föremål för sanktioner enligt både dataskydds- förordningen och kreditupplysningslagen måste den myndighet som han- terar ärendet, oavsett om det är en domstol, Datainspektionen eller någon annan myndighet, handlägga ärendet med hänsyn till principen om ne bis in idem. Principen innebär en rättighet att inte bli lagförd eller straffad två gånger för samma sak och kommer till uttryck i både artikel 4.1 i sjunde tilläggsprotokollet till Europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europa- konventionen) och artikel 50 i Europeiska unionens stadga om de grundläggande rättigheterna (EU:s rättighetsstadga). Några särskilda reg- ler kring handläggningen behöver inte införas. I stället får den befintliga principen beaktas vid handläggningen av varje enskilt ärende med utgångspunkt i ärendets särskilda omständigheter (jfr prop. s.51 och 52). Några remissinstanser efterfrågar förtydliganden av hur principen om ne bis in idem ska tillämpas i olika situationer. Med hänsyn till att beslut om sanktionsavgift fattas av Datainspektionen – medan straffansvar förutsätter anmälan till polis eller åklagare – torde frågan om sanktions- avgift i många fall komma att aktualiseras först. Syftet med att införa sanktionsavgifter är just att skapa en effektiv sanktionsform. Det är vik- tigt att Datainspektionen i förekommande fall uppmärksammar berörda myndigheter, närmast domstolen och åklagaren, på det förhållandet att ett agerande är föremål för prövning i såväl ett straffrättsligt som ett admi- 2017/18:120 nistrativt förfarande. På detta sätt kan myndigheterna beakta principen i sin handläggning. Med hänvisning till det anförda kan det konstateras att dataskydds- förordningens bestämmelser om administrativa sanktionsavgifter inte medför något behov av ändringar i kreditupplysningslagen. Regeringens förslag: I kreditupplysningslagen ska det i fråga om en registrerads rätt till skadestånd föreskrivas att för sådan behandling av personuppgifter som omfattas av EU:s dataskyddsförordning gäller förordningens bestämmelse om skadestånd i stället för kreditupp- Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser tillstyrker promemorians förslag eller lämnar det utan invändning. avstyrker att den föreslagna bestämmelsen införs, eftersom den, enligt bolagen, är oklar och svårtillämpad. Om förslaget läggs fram, anser UC AB att det bör förtydligas hur dataskyddsförordningens och kreditupp- lysningslagens ersättningsbestämmelser förhåller sig till varandra. Justitiekanslern uppmärksammar denna frågeställning. delar bedömningen att det inte finns några formella hinder mot att sär- skilt reglera frågor om skadestånd i kreditupplysningslagen, men anser att det bör analyseras om det är lämpligt att ha kvar reglerna. tionen efterfrågar vidare en tydligare redogörelse för hur kreditupplys- ningslagens bestämmelser om skadestånd ska tillämpas i praktiken. Skälen för regeringens förslag: Personuppgiftsansvarigas och person- uppgiftsbiträdens ansvar och registrerades rätt till ersättning regleras i artikel 82 i dataskyddsförordningen. Någon möjlighet till nationella undantag från rätten till ersättning finns inte. Enligt 21 § kreditupplysningslagen ska den som bedriver kreditupplys- ningsverksamhet ersätta skada och kränkning som till följd av verksam- heten tillfogas någon genom otillbörligt intrång i hans eller hennes per- sonliga integritet eller genom att oriktig uppgift lämnas om honom eller henne, om inte den som bedriver verksamheten kan visa att tillbörlig om- sorg och varsamhet har iakttagits. Skadeståndssanktionen i 21 § kredit- upplysningslagen är alltså kopplad till aktsamhetskraven i 5 § kreditupp- Utformningen av 5 § kreditupplysningslagen innebär att skadeståndsbestämmelsen i 48 § personuppgiftslagen ska tillämpas vid sådan behandling av personuppgifter i kreditupplysningsverksamhet som görs i strid med 9 § a, b och d–h i den lagen. görs i strid med bestämmelserna i kreditupplysningslagen, gäller 21 § kreditupplysningslagen (se prop. 2000/01:50 s. 17). En fråga som Datainspektionen tar upp är vad artikel 82 i dataskydds- förordningen innebär för kreditupplysningslagens skadeståndsbestäm- I avsnitt 6.3 föreslås att hänvisningen i 5 § första stycket andra meningen kreditupplysningslagen till personuppgiftslagens bestämmelser ska ersättas av en hänvisning till artikel 5 i dataskyddsförordningen. Utformningen av 5 § kreditupplysningslagen förblir därmed i sak väsent- Prop. 2017/18:120 ligen oförändrad. All behandling av uppgifter som sker i kreditupplys- ningsverksamhet kommer inte att omfattas av dataskyddsförordningen. Om den nuvarande skadeståndsregleringen i 21 § skulle tas bort, kan det inte uteslutas att vissa överträdelser av kreditupplysningslagen inte skulle kunna leda till skadestånd för en enskild som har orsakats skada. Liksom 5 § första stycket första meningen kreditupplysningslagen kan regle- ringen i 21 § första meningen fylla en funktion vid behandling som inte omfattas av dataskyddsförordningen, t.ex. vid behandling av uppgifter om juridiska personer och i fråga om viss behandling. Rege- ringen anser därför att bestämmelserna om skadestånd i kreditupplys- ningslagen bör finnas kvar. Dataskyddsförordningen kommer dock att förändra bestämmelsens tillämpningsområde. Bestämmelsen i 48 § personuppgiftslagen gäller bara vid behandling av personuppgifter i strid med bestämmelserna i den lagen.