prop · H50395 · 2018-02-27 00:00:00 — Regeringen bedömer i nämnda proposition i likhet med Dataskydds- utredningen att någon straffsanktion inte bör införas för överträdelser av förordningen, och föreslår därför inte någon straffbestämmelse mot- svarande den som gäller enligt personuppgiftslagen. Regeringen betonar dock att vissa beteenden som innefattar personuppgiftsbehandling redan är straffsanktionerade enligt andra bestämmelser, såsom exempelvis tjänstefel, dataintrång och förtal (s. 143 f.). Vad gäller andra sanktioner konstaterar att Datainspektionen aldrig använt sig av den möjlighet att vites- förelägga som finns enligt personuppgiftslagen och bedömer att det inte finns något behov för tillsynsmyndigheten att också kunna förena sina förelägganden med vite på förordningens tillämpningsområde (SOU 2017:39 s. 294–297). I nämnda proposition gör regeringen inte någon annan bedömning. Några andra sanktioner än sanktionsavgift föreslås alltså inte. Se dock avsnitt 9.6 om skadestånd. Det behövs inga lagändringar I fråga om registerlagarna som gäller i stället för personuppgiftslagen föreslås, som framgår av avsnitt 9.2, de bestämmelser som anger vilka bestämmelser i personuppgiftslagen som gäller tas bort. Hänvisningen till 49 § PUL om straff i de lagar som gäller i stället för personuppgiftslagen ska således tas bort. 2017/18:95 Som framgår av redovisningen ovan innehåller inte dataskyddsförord- ningen några direkt tillämpliga bestämmelser om straff och regeringens förslag till dataskyddslag innehåller inte heller några straffbestämmelser. Att det inte kommer att finnas några särskilda straffbestämmelser hän- förliga till aktuell personuppgiftsbehandling innebär en ändring i sak i förhållande till dagens regler. Av redovisningen ovan framgår vidare att det inte heller kommer att finnas några vitesbestämmelser hänförliga till dataskyddsförordningen. För de registerförfattningar där personuppgiftslagen gäller, innebär detta en ändring i sak. I fråga om de registerförfattningar som gäller i stället för personuppgiftslagen gäller dock inte personuppgiftslagens bestämmelser om vite, varför detta inte innebär någon ändring i sak. Regeringen ser inte skäl till någon annan bedömning eller annan reglering för aktuella lagar än vad som övervägs och föreslås av regeringen i prop. 2017/18:105 i detta avseende. Eftersom dataskydds- lagen föreslås gälla om inte annat följer av de aktuella registerlagarna (se avsnitt 9.2), kommer 6 kap. dataskyddslagen att vara tillämpligt. Därmed kommer tillsynsmyndigheten att kunna besluta om sanktionsavgift för myndigheter som överträder dataskyddsförordningens bestämmelser. Förutom att hänvisningen till 49 § PUL tas bort, föreslås därför inga lagändringar på området. Regeringens förslag: Bestämmelser om överklagande av beslut om rättelse och information m.m. i berörda registerlagar, utom i lagen om behandling av identitetskort för folkbokförda i , ska tas bort. I lagen om behandling av uppgifter i verksamhet ska det finnas en särskild överklagandebestämmelse enligt vilken beslut om rättelse får överklagas till allmän förvaltnings- domstol. Prövningstillstånd ska även fortsättningsvis krävas vid över- klagande till kammarrätten. Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. I promemorian föreslås i den särskilda överklagandebestäm- melsen i lagen om behandling av uppgifter i verksamhet en upplysningsbestämmelse om att det finns bestämmelser om överklagande i dataskyddslagen. De beslut om rättelse som ska få överklagas med stöd av nämnda lag omfattar vidare endast sådana beslut om rättelse som avses i 3 kap. 3 a § första stycket 2. Remissinstanserna: och tillstyrker prome- förslag. Förvaltningsrätten i anför att överklagande- bestämmelsen i lagen om behandling av uppgifter i Kronofogdemyndig- hetens verksamhet tillämpas på så sätt att juridiska personer ges möjlighet att överklaga beslut om rättelse enligt både 3 kap. 3 a § första stycket 1 och 2. Promemorians förslag innebär att möjligheten att överklaga beslut om rättelse enligt punkten 1 slopas för juridiska personer och detta utan motivering. I övrigt yttrar sig ingen remissinstans särskilt över förslagen. Skälen för regeringens förslag Bestämmelser om överklagande av vissa beslut som har fattats av en myndighet i egenskap av personuppgiftsansvarig finns i 52 § PUL. Där anges att en myndighets beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos allmän förvaltningsdomstol. Andra beslut fattade av den personuppgiftsansva- rige enligt personuppgiftslagen får enligt 53 § inte överklagas. Pröv- ningstillstånd krävs vid överklagande till kammarrätten. Bestämmelsen i 52 § PUL har inte sin grund dataskyddsdirektiv utan i allmänna förvaltningsrättsliga principer om att beslut som direkt berör en enskild person ska kunna överklagas, se propositionen Översyn av personuppgiftslagen (prop. 2005/06:173 s. 51 f.). De registerförfattningar som gäller i stället för personuppgiftslagen innehåller egna bestämmelser om överklagande av myndigheternas beslut. Sådana bestämmelser finns t.ex. i 3 kap. 4 § lagen om behandling av uppgifter i beskattningsverksamhet men också i lagen om behandling av personupp- gifter i folkbokföringsverksamhet, lagen om behandling av uppgifter i verksamhet och lagen om behand- ling av uppgifter i verksamhet. Bestämmelserna innebär att myndigheternas beslut om rättelse och om information som ska lämnas enligt 26 § PUL får överklagas till allmän förvaltningsdomstol. Andra beslut enligt lagarna får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Lagen om identitetskort för folkbokförda i innehåller inte endast bestämmelser om behandling av personuppgifter, utan även om ansökan, utfärdande och återkallelse av identitetskort. Av 19 § framgår att beslut enligt lagen får överklagas till allmän förvaltningsdomstol och att det krävs prövningstillstånd vid överklagande till kammarrätten. För de övriga registerförfattningar för vilka personuppgiftslagen gäller tillämpas överklagandebestämmelserna i personuppgiftslagen. Dataskyddsförordningens bestämmelser, och propositionen Ny dataskyddslag Varje registrerad som anser att hans eller hennes rättigheter har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med förordningen ska ha rätt till ett effektivt rättsmedel, utöver rätten att lämna in ett klagomål till en tillsynsmyndig- het (artikel 79.1 i EU:s dataskyddsförordning). Enligt bedömning, som överensstämmer med den bedömning som gjordes vid genomförandet av motsvarande bestäm- melse dataskyddsdirektiv, tillgodoses denna rättighet genom möjligheten att vid allmän domstol föra talan om skadestånd (SOU 2017:39 s. 304). I likhet med direktivet innehåller dataskyddsförord- ningen inte någon särskild reglering om överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig. Data- skyddsutredningen har, mot bakgrund av de allmänna förvaltnings- rättsliga principer som motiverade införandet av överklagandebestäm- 2017/18:95 melserna i personuppgiftslagen, föreslagit att dataskyddslagen ska innehålla en bestämmelse om överklagande (SOU 2017:39 s. 303). Regeringen anför i prop. 2017/18:105 att när den personuppgifts- ansvarige är en myndighet kan vissa beslut som meddelas till följd av en begäran av en registrerad sägas vara ett utflöde av myndighetens myndighetsutövning och att sådana beslut därför bör kunna överklagas av den registrerade (s. 151). Regeringen föreslår i 7 kap. 2 § förslaget till dataskyddslag att beslut enligt artiklarna 12.5 och 15–21 i dataskydds- förordningen som har meddelats av en myndighet i egenskap av personuppgiftsansvarig får överklagas till allmän förvaltningsdomstol. Det rör sig om beslut om avgifter m.m., tillgång till personuppgifter m.m., rättelse, radering, begränsning, underrättelse till tredje man om rättelse, radering eller begränsning, dataportabilitet och om invändningar mot behandling. Rätten att överklaga gäller dock inte beslut av regeringen, , eller ombudsmän. Prövningstillstånd föreslås på samma sätt som krävas vid överklagande till kammarrätten. Andra beslut som en personuppgiftsansvarig myndighet fattar enligt dataskyddsförordningen ska enligt 7 kap. 5 § förslaget till dataskyddslag inte få överklagas. Vissa lagändringar bör göras Den föreslagna dataskyddslagen kommer att gälla om inte annat följer av registerlagarna eller föreskrifter som har meddelats i anslutning till de författningarna, se avsnitt 9.2. Det innebär att under förutsättning att det inte finns avvikande bestämmelser i registerförfattningarna, kommer bestämmelserna i dataskyddslagen om överklagande av personuppgifts- ansvariga myndigheters beslut att vara tillämpliga även inom register- författningarnas tillämpningsområde. För de flesta av de berörda registerlagarna har inte framkommit något skäl att reglera överklagandemöjligheten på annat sätt än det som föreslås i den nya dataskyddslagen. Det saknas därför behov av särskilda bestämmelser om överklagande i dessa lagar. De bestämmelser om överklagande av beslut om rättelse och information som finns i lagarna bör därför upphävas. Någon upplysning om att det finns bestämmelser om överklagande i dataskyddslagen bedöms inte heller behövas. Överklagandebestämmelsen i lagen om behandling av uppgifter i verksamhet skiljer sig i ett avseende från övriga registerförfattningar. Bestämmelsen i 3 kap. 4 § första stycket i den lagen omfattar utöver sådana beslut om rättelse enligt 3 kap. 3 a § första stycket 1 som är överklagbara enligt förslaget till dataskyddslag, även sådana beslut om rättelse enligt 3 kap. 3 a § första stycket 2 där det är fråga om uppgifter som är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser. För att det tydligt ska framgå att även beslut enligt punkten 2 får överklagas bör en överklagandebestämmelse finnas kvar i den lagen. Förvaltningsrätten i anger att överklagandebestämmelsen tillämpas på så sätt att även juridiska personer ges möjlighet att överklaga beslut om rättelse enligt både punkt 1 och 2. anser att promemorians förslag, som enbart hänvisar till punkten 2, skulle innebära att möjligheten att överklaga beslut om rättelse enligt punkten 1 slopas för juridiska personer eftersom dessa inte omfattas av dataskydds- lagens tillämpningsområde. Regeringen anser att det fortsatt bör vara möjligt för juridiska personer att överklaga de två olika besluten om rättelse i lagen om behandling av uppgifter i verksamhet. Mot denna bakgrund bör promemorians förslag justeras så att beslut om rättelse enligt 3 kap. 3 a § första stycket får överklagas till allmän förvaltningsdomstol. Härigenom inkluderas både punkt 1 och 2. I promemorian föreslås också att det i överklagandebestämmelsen ska upplysas om att det finns vissa bestämmelser om överklagande i data- skyddslagen. Regeringen anser dock att en sådan upplysning inte är nödvändig, då det av 1 kap. 3 § kommer att framgå att lagen kompletterar dataskyddslagen, se avsnitt 9.2. Följande kan anges vad gäller förhållandet mellan nu aktuell över- klagandebestämmelse och dataskyddslagens bestämmelser om över- klagande. Fysiska personer kommer att kunna överklaga beslut om rättelse enligt 3 kap. 3 a § första stycket 1 lagen om behandling av uppgifter i verksamhet med stöd av data- skyddslagen och kommer därmed inte att behöva tillämpa nu aktuell överklagandebestämmelse i sådana fall. Juridiska personer omfattas dock inte av dataskyddslagens tillämpningsområde och kommer i stället att kunna överklaga sådana beslut med stöd av nu aktuell överklagande- bestämmelse. När det gäller beslut om rättelse enligt 3 kap. 3 a § första stycket 2 kommer såväl fysiska som juridiska personer att ha rätt att överklaga dessa med stöd av nu aktuell överklagandebestämmelse. Andra stycket i överklagandebestämmelsen föreslås vara oförändrat, vilket innebär att prövningstillstånd även fortsättningsvis krävs vid över- klagande till kammarrätten. Detta innebär att enligt såväl denna bestämmelse som enligt dataskyddslagen kommer överklagande att ske till allmän förvaltningsdomstol och prövningstillstånd krävas vid överklagande till kammarrätten. Som tidigare nämnts innehåller lagen om identitetskort för folkbok- förda i bestämmelser om ansökan, utfärdande och återkallelse av identitetskort. Överklagandebestämmelserna i lagen omfattar samtliga beslut som fattas med stöd av lagen. Rätten till rättelse m.m. vid behand- ling av personuppgifter som omfattas av lagen kommer i fortsättningen att regleras i dataskyddsförordningen. Bestämmelser om överklagande av bl.a. sådana beslut finns i dataskyddslagen. Någon ändring av över- klagandebestämmelserna i lagen om behandling av identitetskort för folkbokförda i bör inte göras. Förslagen genomförs genom att 3 kap. 4 § lagen om behandling av uppgifter i beskattningsverksamhet, 3 kap. 4 § lagen om behandling av personuppgifter i folkbokföringsverksamhet och 3 kap. 4 § lagen om behandling av uppgifter i verk- samhet samt vissa rubriker upphör att gälla och genom ändringar i 3 kap. 4 § lagen om behandling av uppgifter i verksamhet. 2017/18:95 9.9 Regeringens förslag: Den bestämmelse i lagen om behandling av uppgifter i verksamhet som reglerar för- hållandet mellan den lagen, personuppgiftslagen och lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen ska tas bort. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: och tillstyrker för- slaget. I övrigt yttrar sig ingen remissinstans särskilt över förslaget. Skälen för regeringens förslag: Lagen om behandling av uppgifter i verksamhet hänvisar till lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, här kallad lag. I 1 kap. 3 a § lagen om behandling av uppgifter i Kronofogde- myndighetens verksamhet anges att lag, och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som inom ramen för polissamarbete eller straffrättsligt samarbete har överförts från eller gjorts tillgängliga av 1. en stat som är medlem i Europeiska unionen (EU), 2. , , eller , 3. ett EU-organ, eller 4. ett EU-informationssystem. Om det i de författningar som anges i första stycket finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag och personuppgiftslagen. I bestämmelsen hänvisas alltså till personuppgiftslagen. Eftersom den lagen kommer att upphävas behöver alla hänvisningar till den tas bort, se avsnitt 9.2. Bestämmelsen har dock också samband med de förslag som har lämnats av Utredningen om 2016 års dataskyddsdirektiv. Utredning- en har haft i uppdrag att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt och har i delbetänkandet Brottsdatalag föreslagit att lag ska upphävas när brottsdatalagen träder i kraft (SOU 2017:29 s. 145 f.). I registerförfattningarna för brottsbekämpande myndigheter finns det likadana bestämmelser som den nu nämnda, som alltså anger att bestämmelserna lag ska tillämpas i stället för bestämmelserna i respektive författning och personuppgiftslagen. I slutbetänkandet (SOU 2017:74) har utredningen föreslagit att sådana bestämmelser ska upphöra att gälla. Bestämmelsen i 1 kap. 3 a § lagen om behandling av uppgifter i verksamhet kommer således inte längre att fylla någon funktion. För att förslagen avseende upphävande av hänvisningar till personuppgiftslagen ska bli heltäckande och då förslag har lämnats om att upphäva lag, föreslår regeringen att bestämmelsen upphör att gälla. Regeringens bedömning: Dataskyddsförordningens bestämmelser om automatiserat beslutsfattande föranleder inga ändringar i berörda lagar. Bestämmelser om automatiserat beslutsfattande kan behållas. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: Datainspektionen ifrågasätter slutsatsen att artikel 22 endast avser automatiserade beslut som innefattar profilering. Data- tillstyrker bedömningen. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen. Skälen för regeringens bedömning En rätt att motsätta sig automatiskt individuellt beslutsfattande finns i artikel 15 dataskyddsdirektiv, som i svensk rätt har genomförts genom 29 § PUL. I 29 § första stycket PUL anges att om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för den fysiska personen enbart grundas på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos personen, ska den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. I 29 § andra stycket anges att var och en som varit föremål för ett sådant beslut som avses i första stycket har rätt att på ansökan få information från den person- uppgiftsansvarige om vad som har styrt den automatiserade behandling som lett fram till beslutet. Bestämmelsen gäller för registerförfattningarna där personuppgifts- lagen gäller, men inte för de registerförfattningar som gäller i stället för personuppgiftslagen, då det i dessa inte finns någon hänvisning till bestämmelsen. Detta gäller t.ex. lagen om behandling av uppgifter i beskattningsverksamhet. På området för skatt, tull och exekution förekommer automatiserat beslutsfattande, men det finns inga regler om detta i registerförfattningarna. 2000/01:33 anges följande angående frågan om det i lagarna om behandling av uppgifter i beskattnings- och folkbokföringsverksamhet samt Krono- fogdemyndighetens och verksamhet fanns skäl att hänvisa till 29 § PUL: ”För att 29 § personuppgiftslagen skall vara tillämplig krävs att de uppgifter på vilka den automatiserade behandlingen grundas är sådana som är avsedda att bedöma vissa personliga egenskaper hos den som är föremål för beslutet, t.ex. arbetsprestationer, kreditvärdighet, pålitlighet och uppträdande. Beslut om taxering och betalning m.m. av skatt får i vissa fall fattas helt automatiserat. Sådana beslut kan dock inte anses vara avsedda att bedöma personliga egenskaper hos den skatt- skyldige. Det torde heller inte på övriga områden komma i fråga att fatta sådana beslut helt automatiserat. Något behov av att hänvisa till 29 § personuppgiftslagen finns därför inte. Det bör också framhållas att det i de lagar som reglerar förfarandet på ifrågavarande områden redan finns föreskrifter om rätt till omprövning av beslut” (s. 94). 2017/18:95 Som exempel på författningar som innehåller uttryckliga bestämmelser om automatiserade beslut kan följande nämnas. Beslut om trängselskatt enligt lagen om trängselskatt fattas automatiskt, vilket görs antingen av Transportstyrelsen eller beskattningsmyndigheten (2 och 15 §§). Lagen innehåller också bestämmelser om bl.a. rättelse, omprövning och över- klagande av beslut. Även lagen (2011:1245) om särskilda ordningar för mervärdesskatt för telekommunikationstjänster, radio och tv-sändningar och elektroniska tjänster och fastighetstaxeringslagen (1979:1152) inne- håller bestämmelser om automatiserade beslut (16 § respektive 20 kap. 2 a §). Såväl vid beslut som fattas med stöd av tullagen som skatteförfarande- lagen saknas uttryckliga bestämmelser om att beslut får fattas automa- tiskt. Däremot anges i respektive myndighetsinstruktion att myndigheten inte ska tillämpa 21 § 3–5 i myndighetsförordningen (2007:515) om myndighetens beslut när det gäller beslut som fattas genom automati- serad behandling, se 22 § förordningen (2016:1332) med instruktion för och 39 § förordningen (2017:154) med instruktion för Skatte- verket. Enligt 21 § 3–5 myndighetsförordningen ska för varje beslut i ett ärende visas vem som fattat beslut, varit föredragande och varit med i den slutliga handläggningen utan att delta i avgörandet. Samma ordning gäller för enligt förordningen (2016:1333) med instruktion för (22 §). I förvaltningslagen (2017:900) som träder i kraft finns en bestämmelse som uttryckligen tillåter automatiserat beslutsfattande. Ett beslut kan fattas av en befattningshavare ensam eller av flera gemensamt eller automatiserat (28 § första stycket). Regeringen anför i propositionen En modern och rättssäker förvaltning – ny förvaltningslag att det finns anledning att i lagen tydliggöra att förvaltningsbeslut kan fattas på automatiserad väg. Regeringen konstaterar att automatiseringen av beslut har kommit att bli en allt vanligare företeelse inom delar av den förvaltning som hanterar ett mycket stort antal ärenden , t.ex. i verksamhet. Genom att det i lagen slås fast att beslut kan fattas automatiserat tydliggörs att det inte behövs en reglering i en specialförfattning för att en myndighet ska kunna använda denna beslutsform (prop. 2016/17:180 s. 179). Dataskyddsförordningens bestämmelser om automatiserade beslut Huvudregeln enligt artikel 22.1 i EU:s dataskyddsförordning är att den registrerade ska ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. I artikeln föreskrivs undantags- situationer och villkor för sådant förfarande. Enligt artikel 22.2 b ska punkt 1 inte tillämpas om beslutet tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen. Beslut får enligt artikel 22.4 inte grunda sig på känsliga personuppgifter såvida inte artikel 9.2 a (samtycke) eller g (viktigt allmänt intresse) gäller och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits. Artikel 22 är direkt tillämplig i medlemsstaterna men med stöd av artikel 23 är det möjligt att i nationell rätt begränsa tillämpningsområdet för artikeln. I artikel 4.4 i dataskyddsförordningen finns en definition av profilering, nämligen ”varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar”. I skäl 71 i dataskyddsförordningen utvecklas frågan om automatiserat beslutsfattande. Där framgår att den registrerade bör ha rätt att inte bli föremål för ett beslut, vilket kan inbegripa en åtgärd, med bedömning av personliga aspekter rörande honom eller henne, vilket enbart grundas på automatiserad behandling och medför rättsverkan för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, såsom ett automatiserat avslag på en kreditansökan online eller e- rekrytering utan personlig kontakt. Vidare framgår att sådan behandling omfattar ”profilering” i form av automatisk behandling av personupp- gifter med bedömning av personliga aspekter rörande en fysisk person, särskilt för att analysera eller förutse aspekter avseende den registrerades arbetsprestation, ekonomiska situation, hälsa, personliga preferenser eller intressen, pålitlighet eller beteende, vistelseort eller förflyttningar, i den mån dessa har rättsverkan rörande honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne.