prop · H50395 · 2018-02-27 00:00:00 — De angivna målen innefattar bl.a. att säkerställa unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlems- stats viktiga ekonomiska intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. Även enligt artikel 13 dataskyddsdirektiv ges en möjlighet att begränsa de rättigheter som ges enskilda i direktivet. En nyhet i dataskyddsförordningen är att det anges att en begränsande lagstiftningsåtgärd, när så är relevant, ska inne- hålla specifika bestämmelser i vissa avseenden, bl.a. om skyddsåtgärder (artikel 23.2). Möjlighet att begränsa vissa av de registrerades rättigheter ges även i artikel 89.2 i förordningen, i fråga om behandling av person- uppgifter för vetenskapliga ändamål eller historiska forskningsändamål eller statistiska ändamål. Enligt artikel 89.3 får vissa rättigheter också begränsas vid behandling av personuppgifter för arkivändamål av 2017/18:105 föreslår regeringen en bestämmelse som innebär undantag från den registrerades rätt till information och att få tillgång till personuppgifter enligt artiklarna 13–15, om sekretess eller tystnadsplikt föreligger gentemot den registrerade (5 kap. 1 § förslaget till dataskydds- Regeringen föreslår vidare en bestämmelse som innebär att den registrerades rätt att få tillgång till personuppgifter som huvudregel inte ska omfatta uppgifter som finns i löpande text som utgör utkast eller minnesanteckningar (5 kap. 2 §). Slutligen föreslås ett generellt bemyn- digande för regeringen att meddela ytterligare föreskrifter om begräns- ningar enligt artiklarna 23, 89.2 och 89.3 i dataskyddsförordningen (5 kap. 3 §). I det följande behandlas frågor om vilken reglering som kan behövas i registerlagarna med anledning av dataskyddsförordningens bestämmelser om rätten till information och tillgång till personuppgifter, rätten till rättelse, radering och begränsning av behandling av personuppgifter och rätten att göra invändningar mot behandling. beslutsfattande regleras inte i registerförfattningarna. behandlas i stället i avsnitt 10. Rätten till information och tillgång till Regeringens förslag: Bestämmelser i berörda lagar om information om uppgifter i handlingar som den enskilde har tagit del av ska tas Undantaget från informationsskyldighet när uppgifter behandlas på grund av visst administrativt samarbete i fråga om beskattning ska omformuleras utan att det innebär någon ändring i sak. Det ska tydliggöras att lagbestämmelser som anger att myndig- heterna får ta ut avgifter för att lämna ut uppgifter inte innebär en inskränkning av den registrerades rätt till kostnadsfria åtgärder enligt artikel 12.5 a i EU:s dataskyddsförordning. Promemorians förslag: Överensstämmer delvis med regeringens I promemorian föreslås att bestämmelser om information om uppgifter i handlingar som den enskilde har tagit del av ska finnas kvar men ändras så att de hänvisar till dataskyddsförordningen i stället för till Remissinstanserna: tillstyrker promemorians förslag. Datainspektionen avstyrker promemorians förslag i den del de avser rätten till information om personuppgifter i handlingar som den enskilde har tagit del av. Datainspektionen anser att bestämmelser som innebär att information enligt artikel 15 i dataskyddsförordningen inte behöver omfatta en uppgift i en handling som har kommit in till register- myndigheten om den enskilde har tagit del av handlingens innehåll, utgör en begränsning i den enskildes rätt till tillgång enligt denna artikel och att undantaget från detta inte är utfört i enlighet med kraven i artikel 23 i förslag och anser att bestämmelsen i lagen om behandling av uppgifter i beskattningsverksamhet när uppgifter behandlas på grund av visst administrativt samarbete i fråga om beskattning bör ändras så att bara tillämpningen av artikel 15 i dataskyddsförordningen (register- utdrag) undantas från den enskildes rättigheter, men inte artikel 13. anser också att det saknas behov av några av de föreslagna bestämmelserna i vilka det tydliggörs att rätten att ta ut avgifter inte får åsidosätta rätten för en registrerad att kostnadsfritt få information om behandling eller registerutdrag med stöd av artikel 12.5 i dataskydds- I övrigt invänder ingen remissinstans mot promemorians Skälen för regeringens förslag Bestämmelser om information till den registrerade finns i 23–27 §§ PUL. I flera av de aktuella registerförfattningarna pekas det ut vilka bestäm- melser i personuppgiftslagen om information till enskilda som är tillämpliga vid sådan behandling som omfattas av respektive lag. bestämmelser som pekas ut är 23 och 25–27 §§. bestämmelser i personuppgiftslagen finns i 3 kap. 1 § lagen om behand- ling av uppgifter i beskattningsverksamhet men också i lagen om behandling av personuppgifter i folkbokförings- verksamhet, lagen om behandling av uppgifter i Kronofogdemyndig- hetens verksamhet och lagen om behandling av uppgifter i Eftersom personuppgiftslagen gäller vid behandling enligt lagen om identitetskort för folkbokförda i , lagen om behandling av personuppgifter i äktenskapsregister- och boupptecknings- verksamheter och lagen om det statliga personadressregistret om inte annat följer av de respektive lagarna och då de lagarna inte innehåller särskilda bestämmelser om informationsskyldighet, gäller samtliga bestämmelser om informationsskyldighet i personuppgiftslagen vid sådan behandling som omfattas av de lagarna. I 23 § PUL finns bestämmelser om att den personuppgiftsansvarige självmant ska lämna information till den registrerade om behandlingen av personuppgifterna när uppgifter samlas in från personen själv. anges vilken information som den personuppgiftsansvarige ska lämna. 26 § PUL innehåller bestämmelser om att den personuppgiftsansvarige i vissa fall är skyldig att till den som ansöker om det lämna viss särskilt angiven information om de uppgifter rörande den sökande som behandlas (s.k. registerutdrag). I fråga om uppgifter som finns i handlingar finns vissa specialbestämmelser i flera av de berörda registerförfattningarna. Dessa bestämmelser behandlas nedan. 2017/18:95 24 § PUL är inte tillämplig för de lagar som gäller i stället för person- uppgiftslagen och som anger vilka bestämmelser i personuppgiftslagen som ska gälla. Av bestämmelsen framgår att information om behandling av uppgifterna i vissa fall ska lämnas till den registrerade, när uppgifter samlas in från någon annan källa än den registrerade. I andra stycket anges dock att informationen inte behöver lämnas, om det finns bestäm- melser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning, med bestämmelser om vilka uppgifter som får behandlas och hur uppgifterna i övrigt får hanteras, har därför gjorts bedömningen att det inte krävs att det ges sådan information som avses i 24 § PUL (se t.ex. prop. 2000/01:33 s. 105). Dataskyddsförordningens bestämmelser om rätt till information och tillgång till personuppgifter Bestämmelser om att den personuppgiftsansvarige självmant ska lämna viss information till den registrerade om behandling av personuppgifter finns i artikel 13 och 14 i dataskyddsförordningen. Bestämmelserna utgör motsvarigheter till 23 och 24 §§ PUL samt artikel 10 och 11 dataskyddsdirektiv. I artikel 13 i dataskyddsförordningen anges vilken information som ska lämnas till den registrerade när personuppgifter samlas in från denne. I artikel 14.1–14.4 regleras skyldigheten att lämna information när personuppgifterna har erhållits från någon annan än den registrerade. Av artikel 14.5 följer att skyldigheten att lämna information enligt punkterna 1–4 i samma artikel inte ska tillämpas bl.a. då er- hållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. Detta innebär bl.a. att en tillsynsmyndighet som regel inte behöver informera den registrerade om behandlingen av sådana personuppgifter som myndigheten erhållit som en följd av en reglerad uppgiftsskyldighet (jfr prop. 2017/18:105 s. 106). Rätten till tillgång regleras i artikel 15 i dataskyddsförordningen, som i stora delar utgör motsvarighet till rätten till information efter ansökan i 26 § PUL, dvs. rätten till s.k. registerutdrag samt artikel 12 a dataskyddsdirektiv. I artikeln anges bl.a. att den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personupp- gifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och viss information som finns särskilt angiven i artikeln. Den personuppgiftsansvarige ska förse den registre- rade med en kopia av de personuppgifter som är under behandling. I artikel 12 finns bestämmelser om på vilket sätt och inom vilken tid bl.a. sådan information som avses i artikel 13–15 ska lämnas till den registrerade. Som framgår av föregående avsnitt finns vissa skillnader mellan data- skyddsförordningens bestämmelser om informationsskyldighet och de skyldigheter som gäller enligt dataskyddsdirektiv och person- uppgiftslagen. Den information om personuppgiftsbehandlingen som ska lämnas är t.ex. mer utförlig enligt dataskyddsförordningen än enligt direktivet och personuppgiftslagen. I dataskyddsförordningen finns också vissa nya bestämmelser om bl.a. på vilket sätt och inom vilken tidsfrist informationen ska lämnas till den registrerade. Det behöver inte upplysas om att bestämmelserna i dataskyddsförordningen gäller De hänvisningar till personuppgiftslagens bestämmelser som finns i be- rörda lagar behöver tas bort. Det förslaget behandlas i avsnitt 9.2. Eftersom de rättigheter som följer av dataskyddsförordningen är direkt tillämpliga behövs inga bestämmelser som slår fast att dessa gäller. I likhet med dagens reglering kommer informationsskyldigheten då upp- gifter har erhållits från någon annan än den registrerade inte att gälla vid sådan behandling som omfattas av de berörda författningarna (se artikel 14.5 c). Den ifrågavarande behandlingen av personuppgifter regleras i författningar som får anses tillräckliga för att uppfylla dataskydds- förordningens krav på lämpliga skyddsåtgärder (jfr prop. 1997/98:44 s. 79). Någon upplysning om vilka rättigheter i dataskyddsförordningen som gäller bedöms inte behövas. Undantaget för information om uppgifter i handlingar i vissa fall ska tas bort I flera av de nu aktuella registerlagarna finns bestämmelser om att information som ska lämnas enligt 26 § PUL (registerutdrag) inte behöver omfatta uppgift i vissa elektroniska handlingar, om den enskilde har tagit del av handlingens innehåll. Om så är fallet behöver dessa handlingar således inte lämnas ut till en enskild i samband med att myndigheten fullgör sin informationsskyldighet enligt 26 § PUL. Detta undantag förutsätter att den registrerade får tydlig information om att handlingar som han eller hon har skickat in till eller fått från myndigheten finns registrerade samt att han eller hon får en förteckning över dessa handlingar. Om den enskilde begär det ska dock informa- tionen även omfatta uppgift i en sådan handling (prop. 2000/01:33 s. 204). Bestämmelser med detta innehåll finns i lagen om behandling av uppgifter i beskattningsverksamhet, lagen om behandling av personuppgifter i folkbokföringsverksamhet, lagen om behandling av uppgifter i verksamhet och lagen om behandling av uppgifter i verksamhet. I promemorian görs bedömningen att de aktuella bestämmelserna inte kan anses utgöra en begränsning av rätten till tillgång enligt artikel 15 i dataskyddsförordningen eftersom informationen ska omfatta även uppgifterna i handlingarna om den enskilde begär det. Som Datainspek- tionen påpekar avser dock den registrerades rätt till tillgång enligt artikel 15 inte endast personuppgifter. Den personuppgiftsansvarige ska även informera om bl.a. ändamålen med behandlingen och eventuell över- föring till tredjeland. Det förhållandet att en registrerad redan har fått tillgång till vissa handlingar som innehåller personuppgifter innebär således inte att rätten till tillgång enligt artikel 15 i sin helhet har tillgodosetts i förhållande till dessa uppgifter. Regeringen instämmer därför i Datainspektionens bedömning att de aktuella bestämmelserna 2017/18:95 utgör en begränsning i den enskildes rätt till tillgång till sådan information. Frågan är därför om det finns tillräckliga skäl för en sådan begräns- ning. Som Datainspektionen framhåller kan den personuppgiftsansvarige, om denne behandlar en stor mängd uppgifter om den registrerade, efterfråga vilken information eller vilken behandling som en begäran enligt artikel 15 i förordningen avser innan informationen lämnas ut (se skäl 63). I ett sådant sammanhang bör den personuppgiftsansvarige kunna efterfråga om den registrerades begäran omfattar information som lämnats ut . Det kan vidare konstateras att, enligt artikel 12.5 i dataskyddsförordningen, kan den personuppgiftsansvarige ta ut en rimlig kostnad eller vägra tillmötesgå en begäran, om den är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art. Enligt regeringens bedömning finns det mot den bakgrunden inte skäl att göra undantag från artikel 15 i förordningen. Regeringen föreslår därför att bestämmelserna i 3 kap. 2 § lagen om behandling av uppgifter i beskattningsverksamhet, 3 kap. 2 § lagen om behandling av personuppgifter i folkbokföringsverksamhet, 3 kap. 2 § lagen om behandling av uppgifter i verksam- het och 3 kap. 2 § lagen om behandling av uppgifter i verksamhet ska upphöra att gälla. Undantaget vid visst administrativt samarbete i fråga om beskattning ska behållas, men justeras I 3 kap. 2 a § lagen om behandling av uppgifter i beskatt- ningsverksamhet anges att bl.a. bestämmelserna i 23, 25 och 26 §§ PUL inte tillämpas vid behandling av personuppgifter på grund av samarbete enligt lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning, om sådana begränsningar är nödvändiga med hänsyn till ett intresse som anges i 8 a § f PUL. Det intresse som anges i 8 a § f PUL är ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen. Bestämmelsen infördes i samband med genomförandet av rådets direktiv /16/EU av om administrativt samar- bete i fråga om beskattning och om upphävande av direktiv /799/EG (handräckningsdirektivet). Direktivet genomfördes i huvudsak genom införandet av lagen om administrativt samarbete inom Europeiska unionen i fråga om beskattning. I den lagen finns bl.a. skyldigheter för att under vissa förutsättningar, både på begäran och utan föregående begäran (s.k. spontant utbyte av upplysningar), lämna sådana upplysningar till en behörig myndighet i en annan medlemsstat som kan antas vara relevanta för administration och verkställighet av den andra medlemsstatens skattelagstiftning (8 och 14 §§). När det gäller utbyte på begäran ska utföra de utredningar som krävs för att få fram de upplysningar som ska lämnas till en behörig myndighet i en annan medlemsstat. Detta gäller dock inte utredningar som det skulle strida mot lag att utföra för svenska beskattningsändamål (9 §). I fråga om vissa uppgifter som har tagit emot i form av bl.a. kontrollupp- gifter ska verket överföra upplysningar genom automatiskt utbyte (12 §). Av lagen framgår att , med vissa undantag, får begära att en behörig myndighet i en annan medlemsstat vidtar motsvarande åtgärder som åligger (6 §). Bakgrunden till bestämmelsen i 3 kap. 2 a § lagen om behandling av uppgifter i beskattningsverksamhet är bl.a. att det före- skrivs i artikel 25 i handräckningsdirektivet att medlemsstaterna för en korrekt tillämpning av direktivet ska begränsa tillämpningsområdet för bl.a. de skyldigheter och rättigheter som avses i artiklarna 10, 11.1 och 12 dataskyddsdirektiv i den utsträckning som behövs för att skydda de intressen som avses i artikel 13.1 e i det direktivet. Bestäm- melsen kan t.ex. bli aktuell att tillämpa i en situation när uppgifter behandlas med anledning av en begäran om utbyte av upplysningar och det kan befaras att det skulle försvåra genomförandet av utredning eller beslut i skatteärende i den andra medlemsstaten att lämna sådan information till den registrerade, se propositionen Genomförande av det nya EU-direktivet om administrativt samarbete i fråga om beskattning (prop. 2012/13:4 s. 70–73). De skyldigheter och rättigheter som ska begränsas enligt handräck- ningsdirektivet rör bl.a. rätten till information och tillgång till person- uppgifter. Dessa rättigheter regleras i artiklarna 13 och 15 i dataskydds- förordningen. Den grund som anges i artikel 13.1 e data- skyddsdirektiv och 8 a § f PUL, på vilken bl.a. rätten till information får begränsas, har sin motsvarighet i artikel 23.1 e i dataskyddsförordningen. Den aktuella bestämmelsen i dataskyddsförordningen ger en något vidare möjlighet att begränsa de enskildas rättigheter. I de aktuella lagarna finns ett flertal olika integritetsskyddande bestäm- melser, som har införts utifrån vad som har bedömts lämpligt för de olika verksamheterna. Lagarna innehåller därför sådana specifika bestämmel- ser om bl.a. skyddsåtgärder som avses i artikel 23.2. Regeringen bedömer således att bestämmelsen i 3 kap. 2 a § lagen om behandling av personuppgifter i beskattningsverksamhet är förenlig med artikel 23 i dataskyddsförordningen. För att bestämmelsens sakliga innebörd ska vara densamma som , bör hänvisningen till 8 a § f PUL inte ersättas av en hänvisning till artikel 23.1 e i dataskydds- förordningen. I stället bör lagtexten utformas så att det framgår att de rättigheter som anges i artiklarna 13 och 15 i dataskyddsförordningen inte ska tillämpas om sådana begränsningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen. anser att bestämmelsen bör ändras så att bara tillämp- ningen av artikel 15 i dataskyddsförordningen (registerutdrag) undantas från den enskildes rättigheter, men inte artikel 13. Regeringen anser dock som framgår ovan att dataskyddsförordningen ger stöd för att begränsa de enskildas rättigheter enligt både artikel 13 och 15 på det sätt som skett. Förslaget genomförs genom en ändring i 3 kap. 2 a § lagen om be- handling av uppgifter i beskattningsverksamhet. Även rubriken före bestämmelsen föreslås få en annan lydelse. Lagbestämmelser om andra former av informationsskyldighet påverkas inte Det förekommer lagbestämmelser som ger myndigheter och vissa enskilda aktörer skyldigheter att informera enskilda, utan att informa- tionsskyldigheten är kopplad till rättigheterna dataskydds- direktiv och personuppgiftslagen. Sådana bestämmelser finns framför allt i andra lagar än de rena registerförfattningarna. Det kan t.ex. handla om att information ska lämnas om att den personuppgiftsansvarige har tillgång till eller har vidtagit vissa åtgärder med uppgifter som rör den enskilde. Sådana bestämmelser finns bl.a. i skatteförfarandelagen, SFL. I 31 kap. 4 § SFL anges t.ex. att , före året efter utgången av beskattningsåret, ska underrätta fysiska personer och döds- bon som kan antas vara deklarationsskyldiga om de kontrolluppgifter och övriga uppgifter som har kommit in till verket som underlag för beslut om slutlig skatt och beslut om pensionsgrundande inkomst, samt övriga uppgifter som verket känner till. I bl.a. lagen om internationellt tull- samarbete finns en bestämmelse som innebär att en myndighet i vissa fall ska underrätta en enskild om att uppgifter har översänts till utländsk myndighet (2 kap. 8 §). I samma bestämmelse anges även vissa undantag från informationsskyldigheten. De angivna bestämmelserna har införts med olika syften. De har det gemensamt att de inte påverkar den rätt till information som ges i personuppgiftslagen och de aktuella registerförfattningarna. Bestämmel- serna kommer inte heller att påverka de rättigheter som följer av data- skyddsförordningen. De informationsskyldigheter som följer av bestäm- melserna kommer att tillämpas vid sidan av bestämmelserna i förord- ningen. Det finns mot den bakgrunden inte skäl att föreslå några lag- ändringar avseende dessa bestämmelser. Det ska framgå att avgifter inte får tas ut i vissa fall I lagen om behandling av uppgifter i beskattningsverk- samhet, lagen om behandling av personuppgifter i folk- bokföringsverksamhet, lagen om behandling av uppgifter i Kronofog- demyndighetens verksamhet och lagen om behandling av uppgifter i verksamhet finns bestämmelser om att de aktuella myndig- heterna får ta ut avgifter för att lämna ut uppgifter ur databaser enligt de närmare föreskrifter som meddelas av regeringen. Vidare anges i dessa bestämmelser att rätten att ta ut avgifter inte får innebära en inskränkning i rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt tryckfrihetsförordningen. I förarbetena till bestämmelserna uttalade regeringen bl.a. följande. ”Enskilda har normalt möjlighet att få tillgång till uppgifter med stöd av tryckfrihets- förordningen. För sådant uppgiftsutlämnande finns särskilda bestäm- melser om avgifter. När enskilda vill ta del av en större mängd uppgifter på medium för automatiserad behandling – vilket inte omfattas av tryckfrihetsförordningens bestämmelser – av t.ex. marknadsföringsskäl eller av andra orsaker som betingas av bedriven näringsverksamhet, finns det enligt regeringens mening anledning att låta dem som drar nytta av uppgifterna bidra ekonomiskt till den verksamhet från vilken utlämnandet sker. Vid utlämnande på elektronisk väg till enskilda bör de utlämnande myndigheterna således få ta ut avgifter” (prop. 2000/01:33 Prop. 2017/18:95 s. 119). I artikel 12.5 a i dataskyddsförordningen slås fast att information som har tillhandahållits enligt artiklarna 13 och 14 och att all kommunikation och samtliga åtgärder som vidtas enligt artiklarna 15–22 och 34, ska tillhandahållas kostnadsfritt. För en begäran från en registrerad som är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art, får den personuppgiftsansvarige dock ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts. Bestämmelsen avser alltså bl.a. registre- rades rätt till information och till s.k. registerutdrag enligt artiklarna 13– 15. Regeringen anser att det bör tydliggöras att bestämmelserna om avgifter i de berörda lagarna inte innebär en inskränkning av regist- rerades rätt till kostnadsfria åtgärder enligt artikel 12.5 a i förordningen. Bestämmelser med denna innebörd bör därför införas i lagarna. anser att det saknas behov av de föreslagna bestäm- melserna. Regeringen är som framgår ovan av en annan uppfattning och anser att det i detta fall är motiverat att tydliggöra den registrerades rättigheter enligt artikel 12.5 a i dataskyddsförordningen. Förslagen genomförs genom ändringar i 2 kap. 14 § lagen om behand- ling av uppgifter i beskattningsverksamhet, 2 kap. 12 § lagen om behandling av personuppgifter i folkbokförings- verksamhet, 2 kap. 30 § lagen om behandling av uppgifter i Kronofogde- myndighetens verksamhet och 2 kap. 11 § lagen om behandling av upp- gifter i verksamhet. 9.5.3Rätten till rättelse, radering och begränsning av behandling Regeringens förslag: Bestämmelserna om rättelse och om att Krono- fogdemyndigheten i vissa fall ska underrätta tredje man i lagen om behandling av uppgifter i verksamhet ska kompletteras med en upplysning om att det i fråga om personuppgifter finns bestämmelser om rättelse m.m. i EU:s dataskyddsförordning.