prop · H503171 · 2018-03-19 00:00:00 — Det kan däremot i andra situationer än den som berörs i skäl 8 anses strida mot att i nationell lagstiftning upprepa bara vissa be- stämmelser i en EU-förordning eller låta bli att tala om att det är fråga om direkt tillämplig EU-rätt. Mot bakgrund av det utrymme som medlemsstaterna med stöd av för- ordningens artiklar har för att införliva delar av dataskyddsförordningen i den nationella rätten så bör befintliga registerförfattningar som motsvarar bestämmelser i dataskyddsförordningen behållas i den utsträckning det behövs för att uppnå tydlighet och igenkänning hos tillämparna. En be- dömning av om det är förenligt med att behålla en sådan be- stämmelse måste dock göras i varje enskilt fall. Det bör däremot inte införas fler bestämmelser som motsvarar bestäm- melser i dataskyddsförordningen än de som redan finns i registerförfatt- ningarna. Registerförfattningarna, som är många i antal och som i vissa fall är mycket omfattande, skulle då komma att bli ännu mer omfattande. Å andra sidan anser regeringen att det bör uppmärksammas att olika registerförfattningar av lagstiftaren har ansetts vara önskvärda för att en samlad reglering skulle anses vinna i tydlighet, konsekvens och över- blickbarhet samt att tillgodose enskilda personers integritetsskydd. I flera lagstiftningsärenden som rört myndigheters personuppgiftsbehandling har framhållit att målsättningen bör vara att myn- dighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag. Regeringen har vid åtskilliga tillfällen instämt i denna bedömning (se bl.a. prop. 2009/10:80 s. 183). De olika Prop. 2017/18:171 registerförfattningarnas innehåll och struktur får anses vara ett resultat av hur lagstiftaren har bedömt bl.a. den personuppgiftsbehand- ling som görs av en myndighet eller andra aktörer i en viss verksamhet eller för vissa specifika ändamål som avvägt mot bl.a. intresset av skyddet av enskildas personliga integritet. Lagstiftaren har utifrån inte- gritetssynpunkt bedömt att det är väsentligt att inte andra personuppgifter behandlas i viss verksamhet än vad som är befogat utifrån verksamhetens behov och krav. Det är i sådana bedömningar ofta fråga om att balansera intresset av att specificera vilka personuppgifter som får behandlas och på vilket sätt i verksamheten som intresset av att undvika tillämpningsproblem eller försvåra nödvändigt och ändamålsenligt nyttjande av it i verksamheten. Vidare har lagstiftaren förhållit sig till om sekretess eller tystnadsplikt gäller för personuppgifterna som syftar till att förhindra obehörig insyn och spridning. För tillämparen finns det risk att det blir missvisande att endast återge vissa bestämmelser i dataskyddsförordningen när även övriga bestäm- melser i dataskyddsförordningen gäller. Detta kan dock vara motiverat för att förtydliga, t.ex. genom att ta in en bestämmelse som upplyser om innehållet i en specifik bestämmelse i dataskyddsförordningen, i syfte att göra tillämparen uppmärksam på att regleringen i registerförfattningen inom ett visst område inte är uttömmande. Myndigheter och verksamheter som inte har Regeringens bedömning: Lagstiftningsärendet behöver avgränsas till att avse de anpassningar i författningar som bedöms behövas med anledning av EU:s dataskyddsförordning. I fråga om de myndigheter eller verksamheter som inte har en särskild register- författning så får det i tillämpningen visa sig om det behövs ytterligare regleringar av behandling av personuppgifter. bedömning: Överensstämmer i allt väsentligt med regeringens. Utredningen gjorde bedömningen att det inte har framkommit att några myndigheter eller verksamheter inom Social- departementets verksamhetsområde som inte har en registerförfattning behöver kompletterande föreskrifter till följd av att personuppgiftslagen upphävs och dataskyddsförordningen börjar tillämpas. Remissinstanserna: Datainspektionen framför att om lagstiftaren inte säkerställer att nationell lagstiftning införs där behov finns och data- skyddsförordningen så kräver, kan det leda till att samhällsviktiga be- handlingar av personuppgifter kan komma att sakna rättsligt stöd när för- ordningen ska börja tillämpas. Detta gör sig särskilt gällande beträffande de verksamheter som hanterar känslig eller integritetskänslig informa- I betänkandet saknas tillräckliga redogörelser och analyser för att kunna bedöma om det behöver införas särskilda nationella dataskydds- bestämmelser för de myndigheter som saknar egna registerförfatt- Sådana analyser behöver göras i det fortsatta lagstiftningsärendet. 2017/18:171 Datainspektionen har framfört synpunkter på att det saknas särskilda bestämmelser för den personuppgiftsbehandling som utförs av . En annan myndighet för vilken en registerförfattning kan behöva övervägas är som inom sin verksamhet behandlar känsliga personuppgifter om barn. () anför att myndigheten i sin verksamhet be- handlar både generella och känsliga personuppgifter i såväl den faktiska verksamheten som myndighetsutövandet. De känsliga personuppgifter som behandlas i den faktiska verksamheten gäller bl.a. uppgifter som in- kommer till myndigheten genom att enskilda tar kontakt med myndig- heten via t.ex. webbformulär samt uppgifter som myndigheten själv inhämtar i frivilliga samtal med barn. I utredningen saknas det belysning av vilka andra myndigheter, däribland BO, som saknar registerförfatt- ningar. Inte heller finns det någon redogörelse för vilken granskning som gjorts av dessa myndigheters behandling av personuppgifter. BO anser därför att utredningen inte har analyserat frågan tillräckligt ingående. Inspektionen för socialförsäkringen framhåller att det är angeläget för myndigheten att förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen leder till lagstift- Skälen för regeringens bedömning Allmänt om myndigheter och verksamheter som inte har en Några av de myndigheter och verksamheter som hör till Socialdeparte- mentets verksamhetsområde har inte en särskild registerförfattning. Myndigheten för vård- och omsorgsanalys, Inspek- tionen för socialförsäkringen, Myndigheten för familjerätt och föräldra- tillämpa personuppgiftslagen vid sin behandling av personuppgifter. personuppgiftslagen upphävs kommer myndigheter och verksamheter som inte omfattas av någon registerförfattning i stället att tillämpa data- skyddsförordningen och den föreslagna dataskyddslagen. fick därför i uppdrag att undersöka om det till följd av personuppgiftslagens upphävande och regleringen i data- skyddsförordningen behövs kompletterade föreskrifter för vissa myndig- heter och verksamheter som saknar särskilda registerförfattningar och i förekommande fall lämna författningsförslag. Uppdraget omfattade att lämna förslag till de anpassningar till följd av dataskyddsförordningen som behövs av de författningsförslag som lämnats i SOU 2014:67 om behandlingen av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen, som inte har förslag till ändringar i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen, se t.ex. avsnitt 1.2 och 10.17 i SOU 2017:66. Vidare har bedömt att uppdraget om- fattade att undersöka om det förekommer någon typ av behandling av personuppgifter med stöd av personuppgiftslagen, t.ex. missbruks- regeln i 5 a § eller en intresseavvägning enligt 10 § f personuppgifts- lagen, alternativt personuppgiftsförordningen, som behöver författnings- stöd för att kunna fortsätta. Det är dock endast reglering av sådan be- handling av personuppgifter som är mer eller mindre unik för en viss verksamhet och som därför inte rimligen bör omfattas av en generell reglering som får anses ingå i utredningens uppdrag. Sådan behandling som behöver utföras av flera myndigheter, som hör under flera departe- ment, bör däremot inte specialregleras utan i stället omfattas av den generella regleringen i dataskyddslagen. I syfte att undersöka om det behövs kompletterande föreskrifter för de verksamheter som inte har en registerförfattning har Socialdataskydd- utredningen haft särskilda möten med experterna från de myndigheter som omnämns i utredningsdirektiven, dvs. Myndigheten för vård- och omsorgsanalys, Inspektionen för socialförsäkringen, Myndigheten för familjerätt och föräldraskapsstöd och . Socialdata- skyddsutredningen har bedömt att det inte framkommit att dessa myndig- heter utför någon myndighetsspecifik behandling av personuppgifter som är tillåten men som behöver författningsregleras för att vara tillåten när personuppgiftslagen upphävs och dataskyddsförordningen ska börja tillämpas. De behandlingar som dessa myndigheter har redogjort för är i stället i de flesta fall sådana som till sin natur är gemensamma för många myndigheter och organisationer. Det är därför inte motiverat att reglera behandlingen särskilt utan denna bör i stället omfattas av den generella regleringen. Genom tilläggsdirektiv har även fått i uppdrag att utreda behovet av en särskild författning med bestämmelser om behandling av personuppgifter för Myndigheten för vård- och om- sorgsanalys. Datainspektionen ifrågasätter utredningens bedömning av följande anled- ningar. När dataskyddsförordningen blir tillämplig är den det primära regelverket. I vissa fall krävs enligt dataskyddsförordningen komp- letterande nationell lagstiftning för att det ska vara tillåtet att behandla personuppgifter. Dataskyddsförordningen ställer enligt artikel 6.3 krav på att den rättsliga grunden måste vara fastställd i unionsrätt eller nationell rätt för att tillämpa de rättsliga grunderna i artikel 6.1 c och e. Om den rättsliga grunden är en rättslig förpliktelse (artikel 6.1 c) ska dessutom syftet med behandlingen vara fastställd i den nationella rätten. Nationell rätt som fastställer de rättsliga grunderna i artikel 6.1 c och e ska vidare uppfylla ett mål av allmänt intresse och vara proportionerlig mot det legitima mål som eftersträvas. I skäl 41 anges att en rättslig grund bör vara tydlig och precis och att dess tillämpning bör vara förutsägbar för personer som omfattas av den. Genom denna förändring ställs således nya krav på hur den rättsliga grunden ska vara utformad för att den ska kunna läggas till grund för behandling av personuppgifter. Den före- slagna kompletterande dataskyddslagen innehåller inte ett fastställande av den rättsliga grunden. Däremot kan den rättsliga grunden vara tillräck- ligt tydligt reglerad i myndigheternas uppdrag. Det måste emellertid be- dömas för varje aktuell behandling. Även artikel 9 om känsliga personuppgifter ställer krav på unionsrättslig eller nationell reglering. 2017/18:171 betänkandet till den kompletterande dataskyddslagen (SOU 2017:39 s. 162) anges kravet på stöd i nationell rätt innebära att vissa av undantagen i sig bör föreskrivas i nationell rätt, antingen i generell eller i sektorsspecifik reglering. Datainspektionens bedömning är att verksam- heter som regelmässigt behandlar känsliga personuppgifter behöver ett vidare stöd i nationell rätt än vad som föreskrivs i den föreslagna kompletterande dataskyddslagen. Datainspektionen framför även att om lagstiftaren inte säkerställer att nationell lagstiftning införs där behov finns och dataskyddsförordningen så kräver, kan det leda till att samhällsviktiga behandlingar av person- uppgifter kan komma att sakna rättsligt stöd när förordningen ska börja tillämpas. Detta gör sig särskilt gällande beträffande de verksamheter som hanterar känslig eller integritetskänslig information. I betänkandet saknas tillräckliga redogörelser och analyser för att kunna bedöma om det behöver införas särskilda nationella dataskyddsbe- stämmelser för de myndigheter som saknar egna registerförfatt- ningar. Datainspektionen anser att sådana analyser behöver göras i det fortsatta lagstiftningsärendet. Verksamheter inom område är ofta sådana att be- handling av stora mängder känsliga personuppgifter är nödvändig, såsom till exempel hos . Datainspektionen har i flera remissyttranden och i en skrivelse till framfört syn- punkter på att det saknas särskilda bestämmelser för den personuppgifts- behandling som utförs av , tidigare och (Datainspektionens ärenden 937- 2009, remissyttrande S2009/4733/FH; 1087-2010, remissyttrande S2010/4398/FH; 989-2006, tillsynsbeslut beträffande och skrivelse till och 1654-2012, remiss- yttrande S2012/7860/FS). () behandlar i sin verksamhet både generella och känsliga personuppgifter i såväl den faktiska verksamheten som i myndighetsutövandet. De känsliga personuppgifter som behandlas i den faktiska verksamheten gäller bl.a. uppgifter som inkommer till myndig- heten genom att enskilda tar kontakt med myndigheten via t.ex. webb- formulär samt uppgifter som myndigheten själv inhämtar i frivilliga samtal med barn. I utredningen saknas det belysning av vilka andra myndigheter, däribland BO, som saknar registerförfattningar. Inte heller finns det någon redogörelse för vilken granskning som gjorts av de myndigheter som inte har registerförfattning eller deras behandling av personuppgifter. BO anser därför att utredningen inte har analyserat frågan tillräckligt ingående. bedömer att det inte har framkommit att några myndigheter eller verksamheter inom verk- samhetsområde som inte har en registerförfattning behöver komp- letterande föreskrifter till följd av att personuppgiftslagen upphävs och dataskyddsförordningen börjar tillämpas. Regeringen är medveten om att det för olika myndigheter och verk- samheter finns önskemål om att ändra gällande registerförfattningar och att det eventuellt kan finnas behov av ändringar i författningar av be- tydelse för olika myndigheters och verksamheters behandling av person- uppgifter. Orsakerna till önskemålen och behoven skiljer sig åt och kan t.ex. avse att myndigheter och aktörer inom verksamheter vill ha föränd- ring av sina förutsättningar för att behandla personuppgifter för att för- bättra eller underlätta informationshanteringen inom myndigheten eller inom verksamheter eller mellan olika myndigheter eller andra verksam- heter. För att utreda behov av särskilda registerförfattningar krävs det mycket omfattande arbete med att noga genomlysa förekomsten av all sorts personuppgiftsbehandling hos sådana myndigheter och inom verksam- heter som även kan bedrivas av andra än myndigheter, t.ex. privata ut- förare. Förutom att genomlysa den faktiska personuppgiftsbehandlingen krävs det analys av de föreskrifter som reglerar eller har betydelse för myndigheternas eller verksamheternas bedrivande (t.ex. lagar, förord- ningar, myndighetsföreskrifter och regleringsbrev). Det är således fråga om att ta del av omfattande skriftligt material för att förstå den verksam- het som bedrivs och sedan för att kunna bedöma behovet av nya eller ändrade regler. Det är viktigt att myndigheten själv försöker göra sina be- dömningar av den personuppgiftsbehandling som utförs och att det finns stöd för den. Med anledning av dataskyddsförordningen har myndigheterna och andra aktörer att primärt utgå från dataskyddsförordningen och sedan den generella lagen som kompletterar dataskyddsförordningen samt eventuellt andra författningar som kan komplettera dataskyddsförord- ningen eller gäller i stället för den generella lagen. För att genomföra författningsändringar behövs noggranna analyser av hur sådana ändringar förhåller sig till bl.a. den grundlagsskyddade personliga integriteten. I detta ligger att göra en proportionalitetsbedöm- ning mellan behovet av att på visst sätt behandla personuppgifter och det intrång som görs i den personliga integriteten. Behovet av uppgifter be- höver vägas mot den enskildes intresse av skydd för sin personliga inte- gritet. Detta kräver att noggranna och välavvägda analyser görs av hur ändringarna ska förhålla sig till den grundlagsskyddade rättigheten, dataskydds- och sekretessförfattningar. Det inte ovanligt att myndigheter och andra aktörer mer eller mindre tydligt framför behov av en särskild registerförfattning. I vissa fall är det oklart om dessa själva har gjort några närmare analyser om behoven. Om en myndighet eller annan aktör anser att de behöver en särskild register- författning eller andra regeländringar, kan dessa exempelvis inkomma med skrivelse om behovet, men lämpligast är att dessa först har analyserat behovet och tydligt beskriver de bedömningar de har gjort. Enligt regeringens mening får detta lagstiftningsärende avgränsas till att avse de anpassningar i författningar som bedöms behövas med anledning av dataskyddsförordningen. I fråga om de myndigheter eller verksamheter som inte har en särskild registerförfattning så får det i tillämpningen visa sig om det behövs ytterligare regleringar avseende behandling av personuppgifter. Frågan om registerförfattning för Inspektionen för socialförsäkringen hanteras inte i detta lagstiftningsärende utan bereds i särskild ordning inom . 2017/18:171 6 tillämpningen av bestämmelserna i Regeringens bedömning: Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestäm- melserna i EU:s dataskyddsförordning när det gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning (artikel 6.2 i EU:s data- skyddsförordning). Den rättsliga grund för behandlingen som i dessa fall ska fastställas i den nationella rätten kan också innehålla särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen (artikel 6.3). När den rättsliga grunden för behandlingen är att den är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsupp- gift av allmänt intresse eller som ett led i den personuppgiftsansvari- ges myndighetsutövning, kan och bör specifika bestämmelser i registerförfattningar som begränsar myndigheters och enskildas möjligheter till behandling av personuppgifter behållas. bedömning: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen delar inte utredningens bedömning att det är tillåtet att begränsa myndigheters möjligheter till behandling av personuppgifter och utöka deras skyldigheter i förhållande till dataskyddsförordningen. Dataskyddsförordningen har tillkommit för att ytterligare harmonisera EU-medlemsstaternas reglering av behandling av personuppgifter. EU- förordningar är direkt tillämpliga i medlemsstaterna. Om dataskydds- förordningen i sig ger stöd att behandla personuppgifter, finns det inte utrymme för att ställa ytterligare krav i nationell rätt, om dataskyddsför- ordningen inte medger det. Att det är möjligt att i nationell rätt reglera behandling av personuppgifter mer detaljerat i förhållande till artikel 6.1 c och e framgår av artikel 6.2 och 6.3. Skälen för regeringens bedömning: Dataskyddsförordningen är direkt tillämplig och detta innebär att det i vissa fall är otillåtet att in- skränka rätten att behandla personuppgifter eller ålägga skyldigheter vid behandling utöver vad som följer av dataskyddsförordningen. Enligt artikel 6.2 i dataskyddsförordningen får medlemsstaterna be- hålla eller införa mer specifika bestämmelser för att anpassa tillämp- ningen av bestämmelserna i dataskyddsförordningen genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa bl.a. en laglig och rättvis behandling när det gäller behand- ling som är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c) eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Ett krav när det gäller behandling med stöd av den rättsliga grunden i artikel 6.1 c är att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse och att grunden ska fastställas. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e (dvs. behandling som är nödvändig för att utföra en arbets- uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning), vara nödvändigt för att utföra en upp- gift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grund för behandlingen som enligt artikel 6.3 i data- skyddsförordningen i dessa fall ska fastställas i den nationella rätten kan också innehålla särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen. Som exempel på sådana bestämmelser anges allmänna villkor som ska gälla för den personuppgiftsansvariges behand- ling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland behandling i andra särskilda situationer enligt kapitel IX. Enligt skäl 45 i dataskyddsförordningen ska man dessutom kunna precisera kraven för att fastställa vem den personuppgiftsansvarige är. Medlemsstaternas nationella rätt bör, enligt det skälet, också reglera frågan huruvida en personuppgiftsansvarig som utför en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning ska vara en offentlig myndighet eller någon annan fysisk eller juridisk person som omfattas av offentligrättslig lagstiftning eller, om detta motiveras av allmänintresset, vilket inbegriper hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårds- tjänster, av civilrättslig lagstiftning, exempelvis en yrkesorganisation. I artikel 6.3 andra styckets sista mening stadgas att unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Genom dataskyddsförordningens artikel 6.3 är det i vissa fall inte längre – till skillnad från vad som tidigare gällt enligt dataskydds- direktivet och personuppgiftslagen – möjligt att endast stödja sig på den generella regleringen i dataskyddsförordningen. Behandling som utförs av såväl myndigheter som privata subjekt kan regleras i mer specifika bestämmelser så länge behandlingen stöder sig på någon av de rättsliga grunderna fullgörande av rättslig förpliktelse (artikel 6.1 c) eller utförande av en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e). Dataskyddsförordningen hindrar således inte att medlemsstaterna i nationell rätt inför mer specifika bestämmelser för att anpassa tillämpningen av förordningens bestämmelser för såväl sina egna myndigheters respektive en- skilda/privata utförares behandling av personuppgifter. Det innebär att det är möjligt att i registerförfattningarna behålla bestämmelser som på olika sätt begränsar möjligheterna till behandling av personuppgifter (jfr artikel 6.3 andra stycket i dataskyddsförordningen och skäl 45). 2017/18:171 6.2 Regeringens bedömning: Bestämmelser i registerförfattningar om inom vilken verksamhet samt på vilka typer av behandlingar och upp- gifter författningen ska tillämpas påverkas inte av EU:s dataskydds- förordning och bör inte ändras. Om registerförfattningen omfattar verksamhet som faller under tillämpningsområdet för det nya dataskyddsdirektivet, krävs det dock bedömning: Överensstämmer med Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. anför att bestämmelsen om tillämpningsområdet i socialförsäkringsbalken inte behövs. Skälen för regeringens bedömning: Av artikel 2.1 i dataskyddsför- ordningen framgår att förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller