prop · H503105 · 2018-02-20 00:00:00 — Dessutom vore det olämpligt av att införa en sänkt åldersgräns som skulle kunna åberopas vid personuppgifts- 2017/18:105 behandling avseende barn i andra medlemsstater, där lagstiftaren gjort en annan bedömning av vilken åldersgräns som bör gälla. Mot denna bakgrund bör bestämmelsen om barns samtycke gälla vid behandling av personuppgifter som avser barn som bor i , oavsett var de personuppgiftsansvariga eller deras biträden är etablerade. Detta hindrar inte det fria flödet av personuppgifter, eftersom den sänkta åldersgränsen utgör en lättnad för de personuppgiftsansvariga i för- hållande till deras skyldigheter enligt förordningen. och anser att uttrycket bor i är alltför vagt. Regeringen anser dock att det i detta sammanhang är angeläget att använda ett uttryck som var och en förstår innebörden av, inte minst de barn som berörs av bestämmelsen. Begreppet bor är av det skälet att föredra framför varaktigt vistas eller hemvist. Som framgår av promemorian ska ett barn inte anses bo i om det endast är på genomresa eller besök i landet. Detta torde också överensstämma med hur begreppet bor används i vanligt språkbruk. Det ska däremot inte krävas att barnet är folkbokfört i landet, att det redan har vistats i eller att det har beviljats uppehållstillstånd här. Även asylsökande barn i omfattas således av bestämmelsen. Förhållandet till yttrande- och Förhållandet till tryckfrihetsförordningen och Regeringens förslag: EU:s dataskyddsförordning och dataskydds- lagen ska inte tillämpas i den utsträckning det skulle strida mot tryck- frihetsförordningen eller yttrandefrihetsgrundlagen. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot bestäm- melserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller Remissinstanserna: Det stora flertalet remissinstanser tillstyrker för- slaget eller har inga synpunkter på det. Flera remissinstanser, bl.a. Veten- skapsrådet, i , akademikers centralorganisation, Ingenjörer, för press, radio och TV, Tidningsutgivarna och Stiftelsen , lyfter särskilt fram vikten av en tydlig reglering om undantag för grundlags- kommun påpekar att frågor om för- hållandet mellan personuppgiftslagen och offentlighetsprincipen fort- farande dyker upp i verksamheten. för hälsa, arbetsliv och välfärd framhåller att det är ytterst angeläget att den svenska offentlighetsprincipen inte förändras av dataskyddslagen. tionen ifrågasätter förslagets förenlighet med och föreslår att bestämmelsen ska utgå. Enligt Datainspektionen ger dataskyddsförord- ningen inte utrymme för ett sådant generellt undantag i nationell rätt som föreslås. Datainspektionen framhåller vidare att myndigheten tidigare påpekat de risker som grundlagsskyddet medför för integritetsskyddet, särskilt avseende personuppgiftsbehandling på internet som omfattas av utgivningsbevis för databaser. , som delar utred- ningens bedömning om att undantag från vissa av dataskyddsförord- ningens bestämmelser får göras, ifrågasätter upplysningsbestämmelsens breda formulering och menar att den kan strida mot principen om EU- rättens företräde. anser att ökad digitalisering och utveckling av vissa typer av databaser ger anledning till inskränkningar på det grundlagsskyddade området och hänvisar bl.a. till de förslag som lämnas i betänkandet Ändrade mediegrundlagar (SOU 2016:58). Stiftel- sen för internetinfrastruktur anser att utredningens förslag inte löser problemet med att aktörer ansöker om utgivningsbevis för webbplatser för att undkomma personuppgiftslagens bestämmelser, t.ex. för behand- ling av personuppgifter som rör lagöverträdelser. Skälen för regeringens förslag: Enligt artikel 9 i dataskyddsdirektivet ska medlemsstaterna, med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande, besluta om undantag och avvikelser från delar av direktivet endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten. Vid genomförandet av dataskyddsdirektivet gjorde regeringen bedömningen att tryckfrihets- förordningen och yttrandefrihetsgrundlagen inte behövde ändras (prop. 1997/98:44 s. 50). I 7 § första stycket PUL infördes en upplys- ningsbestämmelse som anger att bestämmelserna i lagen inte ska tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen och yttrandefrihets- grundlagen. Det innebär bl.a. att de grundlagsskyddade rättigheterna att framställa och sprida yttranden samt meddelar- och anskaffarfriheten undantas från personuppgiftslagens tillämpningsområde. I dataskyddsförordningen regleras förhållandet till yttrande- och informationsfriheten i artikel 85.1. Där anges att medlemsstaterna i sin nationella lagstiftning ska förena rätten till integritet i enlighet med förordningen med rätten till yttrande- och informationsfrihet, inbegripet personuppgiftsbehandling för journalistiska ändamål samt för akade- miskt, konstnärligt eller litterärt skapande. Vid behandling för sådana ändamål ska medlemsstaterna enligt artikel 85.2 föreskriva om undantag eller avvikelser från i artikeln angivna delar av förordningens bestäm- melser, om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten. Enligt regeringens bedömning ger regleringen i artikel 85 i data- skyddsförordningen ett något större utrymme för undantag än direktivet, bl.a. genom att det inte längre krävs att behandling ska ske uteslutande för journalistiska ändamål för att undantag ska kunna göras. Därutöver anger skäl 153 att begreppet yttrandefrihet måste ges en bred tolkning för att beakta vikten av rätten till yttrandefrihet i varje demokratiskt samhälle. Regeringen bedömer mot denna bakgrund, till skillnad från Datainspektionen och , att den unionsrättsliga data- skyddsregleringen även fortsättningsvis ger utrymme för bestämmelserna 2017/18:105 om tryck- och yttrandefrihet i tryckfrihetsförordningen och yttrande- frihetsgrundlagen. Med anledning av tingsrätts och Data- inspektionens synpunkter kan framhållas att regeringen i propositionen Ändrade mediegrundlagar (prop. 2017/18:49) gör bedömningen att det med hänsyn till skyddet för den personliga integriteten finns skäl att begränsa grundlagsskyddet för vissa söktjänster som innehåller person- uppgifter av särskilt integritetskänslig karaktär. regeringen därför att det införs bestämmelser i tryckfrihetsförordningen och yttrandefrihetsgrundlagen som ger utrymme att under vissa förut- sättningar i lag föreskriva om förbud mot offentliggörande av sådana personuppgifter, om de är tillgängliga på ett sätt som innebär särskilda risker för intrång i enskildas personliga integritet. Frågan är då om det finns behov av en bestämmelse i dataskyddslagen som tydliggör förhållandet mellan dataskyddsförordningen och bestäm- melserna om tryck- och yttrandefrihet i tryckfrihetsförordningen och Som utredningen och flera remissinstanser konstaterar är det angeläget att dataskyddsförordningens och dataskydds- lagens bestämmelser inte ger upphov till osäkerhet kring möjligheterna till personuppgiftsbehandling på det grundlagsskyddade området. sådan osäkerhet skulle kunna påverka vitala delar av opinionsskapande verksamhet som är av grundläggande betydelse för demokratin och som skyddas genom bl.a. censurförbudet och utredningen konstaterar innebär det förhållandet att den unionsrättsliga dataskyddsregleringen är en direkt tillämplig förordning, som dessutom kan leda till kännbara sanktionsavgifter, ett än större behov av ett förtydligande av förhållandet till tryck- och yttrandefrihetsregleringen. Regeringen instämmer därför i utredningens bedömning att det bör införas en bestämmelse som tydliggör att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot grundlagsregleringen om tryck- och yttrandefrihet. Utredningen föreslår inte att det ska införas någon bestämmelse om dataskyddsregelverkets förhållande till handlingsoffentligheten. bl.a. kommun ger uttryck för är det emellertid angeläget att även förhållandet mellan dataskyddsregelverket och offentlighets- principen är tydligt. Förhållandet till offentlighetsprincipen regleras i skäl 72 i dataskyddsdirektivet, där det anges att det är möjligt att vid genomförandet av direktivet ta hänsyn till principen om allmänhetens tillgång till allmänna handlingar. Som framgår ovan gjorde regeringen vid genomförandet av dataskyddsdirektivet bedömningen att tryckfrihets- förordningen inte behövde ändras. I 8 § PUL infördes en bestämmelse som förtydligade förhållandet till offentlighetsprincipen. melsen framgår att lagens bestämmelser inte ska tillämpas i den utsträck- ning det skulle inskränka en myndighets skyldighet att enligt 2 kap. lämna ut personuppgifter. I dataskyddsförordningen regleras förhållandet till offentlighets- principen i artikel 86. Där anges att personuppgifter i allmänna hand- lingar som förvaras av en myndighet, ett offentligt organ eller ett privat organ för utförande av en uppgift av allmänt intresse får lämnas ut av myndigheten eller organet i enlighet med medlemsstatens nationella lag- stiftning för att jämka samman allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd för personuppgifter i enlighet Förordningens artikel 86 innebär till sin ordalydelse en något mer omfattande reglering än motsvarande bestämmelse i personuppgiftslagen, eftersom även offentliga organ och privata organ som förvarar allmänna handlingar för utförande av en uppgift av allmänt intresse omfattas. Av skäl 154 i förordningen framgår att allmänhetens rätt att få tillgång till handlingar kan betraktas som ett allmänt intresse och att handlingarna bör kunna lämnas ut offentligt om utlämning stadgas i den nationella lagstiftningen. Vidare anges att den nationella rätten bör sammanjämka allmänhetens rätt att få tillgång till allmänna handlingar och vidareutnyttjande av information från den offentliga sektorn med rätten till skydd för personuppgifter samt att nationell lag- stiftning därför får innehålla föreskrifter om den nödvändiga samman- jämkningen med rätten till skydd för personuppgifter enligt förordningen. Enligt regeringens bedömning ger regleringen i förordningen ett ännu tydligare stöd än dataskyddsdirektivet för att den EU-rättsliga data- skyddsregleringen inte inkräktar på den grundlagsreglerade offentlighets- principen. Den nödvändiga sammanjämkning som avses i dataskydds- förordningen kommer i svensk rätt till uttryck bl.a. genom bestäm- melserna i offentlighets- och sekretesslagen, som är resultatet av noggranna avvägningar mellan allmänhetens intresse av insyn i det allmännas verksamhet och den enskildes behov av skydd för sin personliga integritet. Det tydliga stöd som dataskyddsförordningen ger skulle kunna tala för att något ytterligare förtydligande i nationell rätt inte behövs. Som konstateras ovan innebär dock det förhållandet att den unionsrättsliga dataskyddsregleringen är en direkt tillämplig förordning, som dessutom kan leda till kännbara sanktionsavgifter, att behovet av att klargöra förhållandet till grundlagarna blir ännu tydligare än . Regeringen anser mot denna bakgrund att det i dataskyddslagen bör tydliggöras att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot bestämmelserna om offentlighets- principen i 2 kap. TF. Utredningens förslag innebär att data- skyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Genom att begränsningen till bestämmelser om tryck- och yttrandefrihet tas bort kan det klargöras att bestämmelsen även avser bestämmelserna om allmänna handlingars offentlighet i 2 kap. TF. Regeringen föreslår alltså att det införs en bestämmelse i dataskydds- lagen med innebörden att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihets- förordningen eller yttrandefrihetsgrundlagen. 2017/18:105 7.2 Undantag utanför det grundlagsskyddade Regeringens förslag: Bestämmelserna i dataskyddsförordning och dataskyddslagen om principer, den registrerades rättigheter, vissa skyldigheter för den personuppgiftsansvarige och personuppgifts- biträdet, uppförandekoder och certifiering samt överföring av person- uppgifter till tredjeländer eller internationella organisationer ska inte tillämpas vid behandling av personuppgifter som sker för journa- listiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande utanför tryckfrihetsförordningens och yttrandefrihetsgrund- lagens tillämpningsområde. Bestämmelserna om syfte, tillämpnings- område och definitioner samt bestämmelser om säkerhet för person- uppgifter, tillsyn, rättsmedel, ansvar och sanktioner ska dock tillämpas även i dessa fall. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Det stora flertalet remissinstanser tillstyrker förslaget eller har inga synpunkter på det. delar utred- ningens bedömning och anför att rätten att informera, utöva kritik samt väcka debatt om samhällsfrågor är av central betydelse även utanför det grundlagsskyddade området. Stiftelsen , som ser positivt på utredningens förslag, understryker vikten av att filmarbetare inte hämmas i sin skapandeprocess av en omfattande dataskydds- reglering. Enligt riskerar rådande oklarhet om inne- börden av begreppet akademiskt skapande leda till tolkningsproblem och oönskade konsekvenser innan praxis hunnit utvecklats på området. Skälen för regeringens förslag: I 7 § andra stycket PUL görs undan- tag från stora delar av lagens bestämmelser vid personuppgiftsbehandling som inte omfattas av tryckfrihetsförordningen eller yttrandefrihets- grundlagen, men som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Undantaget har införts med stöd av artikel 9 i dataskyddsdirektivet (se avsnitt 7.1) och innebär i praktiken att bara de bestämmelser i lagen som rör tillsyn och säkerhet vid behandling ska tillämpas i sådan verksamhet. Undantagsbestämmelsen i 7 § andra stycket PUL har ansetts tillämplig exempelvis på journalistisk verksam- het utanför det grundlagsskyddade området på internet som resulterar i yttranden som endast sprids där och även för viss kommunikation som inte bedrivs av yrkesverksamma journalister (prop. 1997/98:44 s. 52–53 och NJA 2001 s. 409). Genom artikel 85.2 i förordningen åläggs medlemsstaterna att göra vissa undantag från förordningen för behandling som sker för journa- listiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Undantag får dock bara göras om de är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten. I skäl 153 i data- skyddsförordningen anges att undantag särskilt bör gälla vid person- uppgiftsbehandling inom det audiovisuella området och i nyhetsarkiv samt pressbibliotek. Begreppet akademiskt skapande är nytt och definieras inte närmare vare sig i skäl eller i artikeltext. Utredningen bedömer att begreppet inte torde omfatta forskning, eftersom personuppgiftsbehandling för Prop. 2017/18:105 forskningsändamål är särreglerad på annat sätt i förordningen. skulle behandling i samband med själva färdigställandet och spridningen av texter med vetenskapligt innehåll kunna avses. Det är dock vanskligt att uttala sig närmare om begreppets innebörd . Innebörden av begreppet kommer i stället att få utvecklas i praxis. Som konstateras i avsnitt 7.1 innebär artikel 85.2 att möjligheterna till undantag från förordningen är något större än de som gäller enligt dataskyddsdirektivet. Regeringen delar därför utredningens bedömning att det även fortsättningsvis finns möjlighet att ha ett undantag av det slag som finns i 7 § andra stycket PUL. Det kan konstateras att betydel- sen av opinionsbildning genom alternativa kanaler såsom sociala medier, bloggar och liknande har ökat dramatiskt . Detta medför att skälen för ett undantag utanför tryckfrihetsförordningens och yttrandefrihetsgrundlagens tillämpningsområde inte har minskat och inte heller kan förutses göra det framöver. I likhet med utredningen anser regeringen därför att det bör införas ett undantag för behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande i den utsträckning som förordningen tillåter det. Enligt artikel 85.2 är det inte möjligt att införa undantag beträffande kapitel I om syfte, tillämpningsområde och definitioner, kapitel VIII om rättsmedel, ansvar och sanktioner samt kapitel X och XI som innehåller genomförande- och slutbestämmelser. Förordningens bestämmelser om särskilda behandlingssituationer i kapitel IX torde knappast bli tillämp- liga för den behandling som avses här, varför de inte behöver undantas uttryckligen. I likhet med vad som gäller enligt 7 § andra stycket PUL, bör undantag inte heller göras från de bestämmelser som rör säkerhet för personuppgifter och tillsyn. Sammantaget innebär detta att undantaget bör omfatta bestämmelserna i artiklarna 5–30 och 35–50 i dataskydds- förordningen, liksom de delar av dataskyddslagen som har stöd i de aktuella bestämmelserna. 8Rättslig grund för behandling av personuppgifter Den europeiska dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. I dataskyddsförordningen räknas dessa rättsliga grunder upp i artikel 6.1. Behandling är enligt denna bestämmelse laglig endast om och i den mån som åtminstone ett av följande villkor är uppfyllt: a) Den registrerade har lämnat sitt samtycke till att dennes person- uppgifter behandlas för ett eller flera specifika ändamål. b) Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den regist- rerade innan ett sådant avtal ingås. c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d) Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- f) Behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Bestämmelsen motsvarar i stora drag artikel 7 i dataskyddsdirektivet, som har genomförts i svensk rätt genom 10 § PUL. naden är att det enligt förordningen inte är tillåtet för myndigheter att, när de fullgör sina uppgifter, behandla personuppgifter med stöd av den rättsliga grund som utgår från en avvägning mellan den ansvariges berättigade intressen och den registrerades rättigheter och intressen (artikel 6.1 f). I detta sammanhang kan nämnas att flera remissinstanser efterfrågar en definition av begreppet myndighet. gruppen för skydd av personuppgifter anser att detta begrepp bör definieras i nationell lagstiftning (Riktlinjer om dataskyddsombud, Regeringen bedömer mot den bakgrunden att det är regeringsformens terminologi som i bör vara utgångspunkten vid tolkningen av begreppet myndighet i dataskyddsförordningen. denna terminologi är samtliga statliga och kommunala organ myndig- heter, med undantag av , kommun- och . Organ som är organiserade i privaträttsliga former, t.ex. kommunala och statliga bolag, är inte myndigheter, även om de utövar offentlig makt. Uppräkningen i artikel 6.1 är uttömmande. Om ingen av de grunder som anges där är tillämplig är behandlingen inte laglig och får därmed Detta gäller all behandling av personuppgifter, även sådan ostrukturerad behandling som kan ske utan stöd av rättslig grund enligt missbruksregeln i 5 a § PUL. De rättsliga grunderna är i viss mån Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 b–f måste den vara nödvändig i förhållande till den rättsliga grunden, t.ex. nödvändig för att utföra en uppgift av allmänt intresse. Enligt betyder det svenska ordet nöd- vändig att någonting absolut fordras eller inte kan underlåtas. rättsliga begreppet har dock inte denna strikta innebörd. hetsrekvisitet i artikel 7 i dataskyddsdirektivet har t.ex. inte ansetts utgöra ett krav på att det ska vara omöjligt att utföra en uppgift av allmänt intresse utan att behandlingsåtgärden vidtas. kommer till uttryck i dom i målet Huber mot , som rörde tolkningen av motsvarande nödvändighetsrekvisit i artikel 7 e i direktivet (C-524/06, EU:C:2008:724). uttalade att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämpningen av relevanta bestämmelser. Domen bör kunna utgöra stöd även vid tolkningen av dataskyddsförordningen. På motsvarande sätt bör det mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom en informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag. Utöver det grundläggande kravet på att all behandling måste vara laglig, i betydelsen att någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen är tillämplig, omgärdas varje behandling av personuppgifter också av andra krav. Principerna för behandling av personuppgifter, dvs. vilka allmänna krav som gäller för all personuppgiftsbehandling, anges i artikel 5.1 i dataskyddsförord- ningen. Den bestämmelsen motsvarar i stora drag artikel 6 i dataskydds- direktivet, som har genomförts i svensk rätt genom 9 § PUL. Den första principen som läggs fast i artikel 5.1 är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (led a). Principen om laglighet kan sägas utgöra en hän- visning till de rättsliga grunderna i artikel 6.1. Såvitt avser principen om korrekthet kan det vid en jämförelse med andra språkversioner ifråga- sättas om den svenska termen korrekt motsvarar avsikten med bestäm- melsen. I den danska språkversionen anges i stället att uppgifterna ska behandlas rimeligt. På motsvarande sätt används i den engelska språk- versionen termen fairly, vilket betyder rättvist, skäligt eller rimligt. I den franska språkversionen används termen loyale, vilken har motsvarande betydelse som engelskans fairly. I den tyska språkversionen används uttrycket Treu und Glauben, vilket brukar översättas med god tro eller tro och heder. Alla dessa termer indikerar enligt regeringens mening, tydligare än den svenska termen korrekt, att en intresseavvägning ska göras. I det enskilda fallet kan det således t.ex. vara oförenligt med principen om korrekthet att vidta en viss behandlingsåtgärd, även om denna i och för sig skulle kunna anses vara rättsligt grundad enligt artikel 6, nämligen om behandlingen är oskälig i förhållande till den registrerade. I artikel 5.1 anges vidare att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål (led b). Principen om att ändamålen ska vara berättigade utgör i likhet med principen om laglighet en direkt koppling till de rättsliga grunderna i artikel 6.1. Ett ändamål som inte är berättigat i förhållande till den tillämpliga rättsliga grunden är således inte förenligt med artikel 5.