prop · H503105 · 2018-02-20 00:00:00 — om utlämnandet strider mot lag om utlämnandet strider mot lag (1998:204). Behandling i strid med person- uppgiftslagen Sekretess gäller för person- uppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen (1998:204). Behandling i strid med data- skyddsregleringen Sekretess gäller för person- uppgift, om det kan antas att upp- giften efter ett utlämnande kommer att behandlas i strid med Europa- parlamentets och rådets förord- ning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), i den ursprung- liga lydelsen, eller lagen (2018:00) med kompletterande bestämmelser till EU:s dataskyddsförordning. Denna lag träder i kraft . 3 Senaste lydelse 2013:795. Utdrag ur protokoll vid sammanträde Närvarande: F.d. justitieråden och samt justitierådet Enligt en lagrådsremiss har regeringen (Justitie- departementet) beslutat inhämta Lagrådets yttrande över förslag till 1.lag med kompletterande bestämmelser till EU:s dataskydds- förordning, 2.lag om ändring i offentlighets- och sekretesslagen (2009:400). Förslagen har inför Lagrådet föredragits av kanslirådet . Förslagen föranleder följande yttrande av Lagrådet: Förslaget till lag med kompletterande bestämmelser till EU:s dataskydds- förordning 1 kap. 1 § Enligt andra stycket har termer och uttryck i lagen samma betydelse som i EU:s dataskyddsförordning. Andra meningen definierar begreppet känsliga personuppgifter. Meningen bör lämpligen placeras i 3 kap. i en ny 1 §, efter . I 3 § personuppgiftslagen anges vad som i den lagen avses med ”tredje land”. Det kan finnas skäl att även i det här sammanhanget tydliggöra vad som avses med tredjeland eftersom termen förekommer i 1 kap. 5 §. Motsvarande frågeställning förekommer, i en eller annan form, i olika sektorsremisser. Rubriken före 1 kap. 2 § Rubriken, , är inte rättvisande för innehållet i de paragrafer som följer under den rubriken (2–5 §§). Dessa är så disparata att de inte kan inordnas under en gemensam rubrik. Lagrådet föreslår att rubriken före 2 § ersätts med ”Utvidgad tillämpning av bestämmelserna i dataskyddsförordning” och att en ny rubrik ”Lagens territoriella tillämpningsområde” placeras före 5 § (jfr rubriken före 4 § personuppgiftslagen). 1 kap. 2 § Den utvidgade tillämpningen av EU:s dataskyddsförordning till att i gälla ytterligare verksamheter kan självfallet inte avse bestämmelser i förordningen som tar sikte på kommissionen, Europeiska dataskyddsstyrelsen och tillsynsmyndigheter i andra länder (se upp- räknade artiklar i författningskommentaren). Detta behöver inte särskilt Orden ”i tillämpliga delar”– som snarare gör bestämmelsen otydlig – bör därför utgå. Vidare bör verksamhet som omfattas av avdelning V kapitel 2 i fördraget om Europeiska unionen anges före verksamhet som inte omfattas av unionsrätten. Paragrafen kan med vissa tillkommande redaktionella ändringar formuleras enligt följande. Bestämmelserna i dataskyddsförordning, i den ursprungliga lydelsen, och denna lag ska gälla även vid behandling av personuppgifter i verksamhet som omfattas av avdelning V kapitel 2 i fördraget om Europeiska unionen. Detsamma gäller vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. 1 kap. 5 § Första stycket första meningen bör formuleras i överensstämmelse med dataskyddsförordningens artikel 3.1 (i den korrigerade lydelse som begärt och som i sak överensstämmer med den engelska språkversionen) och andra meningen på det sätt som föreslogs i den kompletterande promemorian (bilaga 6 i remissen) enligt följande. Denna lag gäller vid behandling av personuppgifter som utförs inom ramen för verksamhet som bedrivs vid personuppgiftsansvarigas eller personuppgifts- biträdens verksamhetsställen i . Lagen gäller även vid behandling av personuppgifter som utförs av personuppgiftsansvariga som inte är etablerade i , men på en plats där svensk rätt gäller enligt folkrätten. Angående andra stycket, se kommentaren till 1 kap. 1 §. 1 kap. 6 § Enligt paragrafen ska, om en annan lag eller en förordning innehåller någon bestämmelse som avviker från denna lag, den bestämmelsen tillämpas. En motsvarande reglering finns i 2 § personuppgiftslagen. Den aktuella bestämmelsen har utformats på samma sätt som 4 § i den nya förvaltningslagen (2017:900). I förarbetena till den lagen redovisas hur bestämmelsen förhåller sig till den formella lagkraftens princip i 8 kap. 18 § regeringsformen. Bland annat sägs att förvaltningslagens subsidiaritetsbestämmelse får uppfattas som en reglering som begränsar räckvidden av denna princip så att den inte hindrar att regeringen trots lagen utnyttjar sin normgivningskompetens enligt 8 kap. 7 § regeringsformen och meddelar föreskrifter på samma område som regleras i lagen. Det sägs vidare att det från rent principiella utgångs- punkter kan framstå som tveksamt att regeringen ges frihet att meddela föreskrifter som avviker från lagen men att det finns beaktansvärda fördelar med en ordning som ger regeringen möjlighet att meddela föreskrifter om förvaltningsförfarandet. 2016/17:180 s. 39 ff.) Enligt remissen kommer det även i fortsättningen att finnas både lagar och förordningar som innehåller bestämmelser som rör behandling av personuppgifter som kommer att ha företräde. Det anges att förordningar kan beslutas med stöd av regeringens restkompetens enligt 8 kap. 7 § första stycket 2 regeringsformen eller med stöd av bemyndiganden i annan lag än dataskyddslagen. Det framgår inte i vilken omfattning det är tänkt att förekomma förordningsbestämmelser på området och det redovisas inga överväganden om hur regleringen förhåller sig till 8 kap. 18 § regeringsformen. De skäl som i förarbetena till nya förvaltningslagen anfördes till stöd för regleringen i den lagen var uteslutande hänförliga till förvaltnings- förfarandet och har ingen bäring på dataskyddslagen. Regleringen i förvaltningslagen kan heller inte ges den innebörden att subsidiaritets- bestämmelser generellt kan utformas så att de utan närmare över- väganden inbegriper förordningar. Att personuppgiftslagen innehåller en sådan subsidiaritetsbestämmelse och att det förekommer förord- ningar som rör behandling av personuppgifter bör inte vara tillräckligt för att begränsa den formella lagkraftens princip. Skälen för en ordning som innebär att föreskrifter i förordning ska gälla framför dataskyddslagens bestämmelser får övervägas vidare under den fortsatta beredningen. 2 kap. 1 § Bestämmelsen, som behandlar barns samtycke till behandling av personuppgifter, har fått en alltför framskjuten placering i kapitlet. Eftersom den närmast utgör en kompletterande bestämmelse till artikel 8 i dataskyddsförordningen (och inte till artikel 6.1 a) bör den placeras efter de kompletterande bestämmelserna till artikel 6.1 c och 6.1 e (remissens 2 och 3 §§). Lagrådet förordar att bestämmelsen om barns samtycke placeras sist i kapitlet, som 4 §, med den följden att remissens 2–4 §§ utgör 1–3 §§. 2 kap. 3 § (ny 2 §) Eftersom myndighetsutövning kräver stöd i lag eller annan författning bör orden ”enligt lag eller annan författning” sist i punkt 2 utgå. Kapitlets rubrik bör, för att tydligare spegla paragrafernas innehåll och dessutom överensstämma med rubriken till 2 kap., lyda ”Behandling av vissa kategorier av personuppgifter”. Kapitlet bör inledas med en ny 1 § som behandlar vad som avses med känsliga personuppgifter, se Lagrådets synpunkter vid 1 kap. 1 §, med den följden att numreringen av de första paragraferna i remissens 3 kap. förskjuts. 3 kap. 2 § (ny 3 §) Uttrycket ”i enstaka fall” i punkt 3 svarar inte mot syftet med bestäm- melsen. Uttrycket ”i annat fall”, dvs. i andra fall än de som anges i punkterna 1 och 2, torde bättre spegla vad som avses. Lagrådet föreslår att remissens 3 § placeras som ett nytt andra stycke i paragrafen och att den ges följande lydelse. Känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i EU:s dataskyddsförordning 1.om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt 2.om behandlingen är nödvändig för handläggningen av ett ärende, eller 3.i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Vid behandling som sker enbart med stöd av första stycket är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Vid tillämpningen av första stycket 1 ska andra än myndigheter jämställas med myndigheter, i den utsträckning bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400) gäller i deras verksamhet. 3 kap. 3 § Lagrådet föreslår att paragrafen utgår, se vid remissens 2 § ovan. 5 kap. 1 och 2 §§ I 2 § (liksom upprepade gånger i författningskommentaren) används det nakna uttrycket ”den registrerades rätt till tillgång”. Därmed avses vad som regleras i artikel 15.1 i dataskyddsförordningen (jfr artikelns rubrik ”Den registrerades rätt till tillgång”), nämligen den registrerades rätt att få veta om dennes personuppgifter håller på att behandlas och, om så är fallet, att få tillgång till personuppgifterna och viss angiven information. Enligt Lagrådets mening kan uttrycket inte användas i svensk lagtext. Eftersom bestämmelsen i alla händelser måste läsas tillsammans med artikel 15.1 i dataskyddsförordningen bör orden ”om den registrerades rätt till tillgång” i 2 § strykas. bör 1 § förtydligas genom att orden ”rätt att få” läggs till i paragrafens inledning enligt följande. ”Artiklarna 13–15 i EU:s dataskyddsförordning om information och rätt att få tillgång till personuppgifter ...”. 6 kap. 2 § I paragrafen introduceras ett förfarande som närmast är avsett för fall då tillsynsmyndigheten ifrågasätter giltigheten av en unionsrättsakt som meddelats med stöd av dataskyddsförordningen (delegerade akter eller genomförandeakter). Genom att tillsynsmyndigheten ges möjlighet att ansöka om att förvaltningsrätten ska vidta en tillsynsåtgärd skapas förutsättningar för att, efter en begäran om förhandsavgörande från förvaltningsrättens sida, få giltighetsfrågan prövad av . Grunden för bestämmelsen är dom i målet Schrems, C- 362/14, EU:C:2015:650). gjorde där en tolkning av tredje strecksatsen i artikel 28.3 i direktiv /46/EG. Den bestämmelsen har med en ändrad lydelse förts över till artikel 58.5 i dataskyddsförord- ningen. I den nya artikeln markeras tydligt att tillsynsmyndigheten har möjlighet inte bara att inleda ett rättsligt förfarande utan även att ”på övrigt vis delta” i ett sådant förfarande, något som innefattar utövandet av en motpartsfunktion (jfr remissens 7 kap. 3 §). Lagrådet kan konstatera att det inte framstår som klart att dataskydds- förordningen eller i övrigt ställer krav på att en domstols- prövning kan komma till stånd genom tillsynsmyndighetens försorg. På det underlag som föreligger i ärendet avstyrker Lagrådet förslaget. Rubriken före 7 kap. 4 § Rubriken bör lyda ”Överklagande av vissa andra beslut”. Förslaget till lag om ändring i offentlighets- och sekretesslagen Lagrådet lämnar förslaget utan erinran. Utdrag ur protokoll vid regeringssammanträde Närvarande: statsminister , ordförande, och statsråden , Y , M , Baylan, Bucht, , , , Hellmark , , , Bah Kuhnke, Strandhäll, Shekarabi, , , , , , , Regeringen beslutar proposition Ny dataskyddslag