prop · H503107 · 2018-02-28 00:00:00 — Undantag från den registrerades rättigheter Regeringens förslag: Vid behandling av personuppgifter som omfattas av lagen om lägenhetsregister ska den registrerade inte ha rätt till någon begränsning av behandlingen. Regeringens bedömning: Några undantag från dataskydds- förordningens rätt till information och rättelse bör inte införas i lagen rätten att göra invändningar blir inte tillämpliga vid behandling av personuppgifter i lägenhetsregistret. Promemorians förslag och bedömning överensstämmer med Remissinstanserna: Samtliga remissinstanser utom Datainspektionen tillstyrker eller har inte något att invända mot förslaget och bedömningen. Datainspektionen efterfrågar en analys som visar att den föreslagna begränsningen är proportionell mot det legitima mål som eftersträvas. promemorian saknar en närmare redovisning av de frågor som är relevanta för en proportionalitetsbedömning bedömer myndigheten att förslaget inte är förenligt med dataskyddsförordningen. att begränsningen av rättigheter, som sker med stöd av artikel 89.2, omfattar all behandling som sker med stöd av denna lag, trots att det i promemorian konstateras att behandling kan ske på andra rättsliga grunder än allmänt intresse, t.ex. efter en intresseavvägning. med en intresseavvägning som rättslig grund finns det inte något utrymme att begränsa rättigheter med stöd av artikel 89.2. Skälen för regeringens förslag och bedömning: Enligt artikel 89.2 i dataskyddsförordningen finns en möjlighet att göra undantag från de rättigheter som tillkommer registrerade i artiklarna 15, 16, 18 och 21 vid behandling av personuppgifter för statistiska ändamål (se avsnitt 5 och Detsamma gäller vid behandling för vetenskapliga eller historiska Den behandling av personuppgifter som sker när uppgifter lämnas ut från Lantmäteriet för framställning av statistik eller för forskning i enlighet med 5 § lagen om lägenhetsregister bör anses utgöra sådan behandling som avses i artikel 89.2. Eftersom registret enligt 5 § har flera syften bör dock eventuella begränsningar av den registrerades rättigheter, som införs med stöd av artikel 89.2, utformas restriktivt. Som anförts i avsnitt 8.4 om statistikansvariga myndigheters skyldighet att lämna registerutdrag reglerar artikel 15 i dataskyddsförordningen i princip vad som följer av 26 § första stycket PUL om registerutdrag. Bestämmelsen i PUL gäller även vid sådana behandlingar av personuppgifter som omfattas av lagen om lägenhetsregister. I enlighet med den bedömning som gjorts i avsnitt 8.4 saknas anledning att inskränka den enskildes rättigheter enligt artikel 15 även när det gäller behandling av nu aktuellt slag. Enskildas rätt att enligt artikel 16 i dataskyddsförordningen utan onödigt dröjsmål få felaktiga personuppgifter rättade, motsvarar dagens reglering i 28 § PUL. Denna ordning bör också fortsätta att gälla. I artikel 16 anges att den registrerade, med beaktande av ändamålet med behandlingen, ska ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom ett kompletterande utlåtande. Eftersom lägenhetsregistret kan användas för annat än statistikframställning bör den enskilde ha ett berättigat intresse av att kunna lämna kompletterande uppgifter. För användarna av registret bör eventuella extra åtgärder för Lantmäteriets del inte heller påverka registrets kvalitet eller användbarhet i nämnvärd utsträckning. Kravet som uppställs i artikel 89.2 för att undantag ska kunna göras – att en rättighet sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen – kan därför inte anses vara uppfyllt. Till skillnad från den bedömning som gjorts i avsnitt 8.4 avseende lagen om den officiella statistiken bör rättigheterna som följer av artikel 16 därför gälla oinskränkt vid behandling av personuppgifter i lägenhetsregistret. Som anges i avsnitt 8.4 framgår av artikel 18 att den registrerade har rätt att kräva att behandlingen av personuppgifter begränsas under vissa förutsättningar. I likhet med vad som anförts i avsnitt 8.4 om lagen om den officiella statistiken framstår det som mindre lämpligt att behandlingen av personuppgifter i lägenhetsregistret på begäran ska kunna begränsas. Den situation som främst torde aktualisera en tillämpning av artikel 18 är om uppgifterna om den registrerade inte är korrekta. Om uppgifterna är felaktiga finns dock möjlighet till rättelse. Att begränsa behandlingen av uppgifterna i lägenhetsregistret som riktigheten kontrolleras, eller på någon annan av de grunder som anges i artikel 18, skulle innebära en risk för att de uppgifter som lämnas ut för forskning och framställning av statistik vid ett givet tillfälle inte är fullständiga. Vidare riskerar det merarbete som åtgärderna medför, som får anses mer långtgående än att erbjuda den registrerade möjlighet att komplettera ofullständiga uppgifter i enlighet med artikel 16, att få negativa konsekvenser på registerhållningen i övrigt. Datainspektionen ifrågasätter undantaget. Som framhållits i avsnitt 8.4 är de rättigheter som den enskilde ges enligt dataskyddsförordningen viktiga ur ett integritets- och rättssäkerhetsperspektiv. De skäl som ovan angetts för varför ett undantag bör göras från rätten att begränsa uppgifter väger enligt regeringens mening dock så tungt att ett undantag bedöms som proportionerligt. Den behandling som aktualiseras är, till skillnad från vad Datainspektionen antyder, sådan behandling som genomförs av registerföraren, dvs. Lantmäteriet, och som grundar sig på en rättslig förpliktelse alternativt ett allmänt intresse. Med stöd av artikel 89.2 bör därför ett undantag från den registrerades rättigheter i artikel 18 föras in i lagen om lägenhetsregister. 2017/18:107 Rätten att göra invändningar som följer av artikel 21.1 avser behandlingar som grundar sig på artikel 6.1 e och f. Som redogjorts för ovan bör de behandlingar som sker vid utlämnande av uppgifter från lägenhetsregistret anses grunda sig på sådana rättsliga skyldigheter som avses i artikel 6.1 c. Regleringen i artikel 21.1 torde därför inte aktualiseras vid behandling av personuppgifter i lägenhetsregistret. 10 Folk- och bostadsräkningar Regeringens förslag: De särskilda författningar om folk- och bostadsräkningar som fortfarande gäller ska upphävas. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller har inte något att invända mot detta. Skälen för regeringens förslag: Före lägenhetsregistrets tillkomst framställdes, som anförts i avsnitt 9, statistik på folk- och bostadsräkningsområdet genom särskilda folk- och bostadsräkningar, vilka genomfördes av SCB. Folk- och bostadsräkningarna reglerades särskilt i lagar och förordningar, som fortfarande formellt gäller och reglerar bl.a. skyldigheter för SCB och enskilda som ska lämna uppgifter. Flertalet av bestämmelserna i de aktuella författningarna är obsoleta, eftersom folk- och bostadsräkningarna redan genomförts. Behovet av de övriga bestämmelserna, som i stor utsträckning innehåller hänvisningar till den upphävda datalagen (1973:289), bedöms vara högst begränsat. Författningarna bör därför upphävas. Databasen för övervakning av och tillsyn Regeringens förslag: Hänvisningen i lagen om en databas för övervakning av och tillsyn över finansmarknaderna till personupp- giftslagen ska ersättas med en hänvisning till EU:s dataskydds- Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller har inte något att invända mot detta. Skälen för regeringens förslag: Uppgifter som behövs för och övervakning av och tillsyn över finansmark- naderna får enligt lagen (2014:484) om en databas för övervakning av och tillsyn över finansmarknaderna behandlas i en gemensam databas hos Databasen får enligt 5 § inte innehålla personuppgifter, som definieras på samma sätt som i PUL. Eftersom databasen inte innehåller personuppgifter påverkas den i sig inte av dataskyddsförordningen. 2017/18:107 Däremot behöver definitionen av personuppgift vara densamma som i dataskyddsförordningen och inte hänvisa till PUL. Mot denna bakgrund föreslås att bestämmelsen i 5 § lagen om en databas för övervakning av och tillsyn över finansmarknaderna ändras så att den i stället hänvisar till den definition av personuppgifter som görs i dataskyddsförordningen. 12 Samtjänst vid medborgarkontor Regeringens bedömning: Det bedöms inte finnas behov av något klargörande i lagen om samtjänst vid medborgarkontor av att begreppet personuppgifter har samma innebörd som i EU:s dataskyddsförordning. Promemorians förslag överensstämmer inte med regeringens bedömning. I promemorian föreslås att ett klargörande görs i lagen av att begreppet personuppgifter har samma innebörd som i dataskyddsförordningen. Remissinstanserna: Samtliga remissinstanser utom Datainspektionen tillstyrker promemorians förslag eller har inte något att invända mot detta. Datainspektionen anför att det är oklart vilken rättslig grund som behandlingen av personuppgifter enligt lagen stödjer sig på och vilka personuppgifter som avses. Det saknas vidare enligt myndigheten en analys om bestämmelserna i lagen uppfyller förordningens krav på tydlighet, precisering och förutsägbarhet samt proportionalitet. Myndigheten anser därför att förslaget inte är förenligt med dataskyddsförordningen. Skälen för regeringens förslag: Genom lagen (2004:543) och förordningen (2009:315) om samtjänst vid medborgarkontor möjliggörs för statliga myndigheter, kommuner och landsting att ingå avtal om att för varandras räkning bistå med hjälp till enskilda och även handlägga vissa förvaltningsärenden. Inga hänvisningar till PUL finns i lagen eller förordningen. Däremot finns i lagens 2, 5 och 9 §§ bestämmelser om personuppgifter. Ett förtydligande av att begreppet har samma innebörd som i dataskyddsförordningen bedöms dock inte som nödvändigt. Datainspektionen ifrågasätter förslagets förenlighet med dataskyddsförordningen. Lagen om samtjänst vid medborgarkontor möjliggör för myndigheter på olika nivåer att avtala om att utföra uppgifter för varandras räkning. Grunden för att behandla personuppgifter får dock sökas i de författningar som reglerar respektive myndighets verksamhet. Som regeringen anfört i avsnitt 7.1 har en bedömning av dessa författningars tydlighet, precisering, förutsägbarhet och proportionalitet redan gjorts. Eftersom personuppgiftsbehandlingar således inte sker med samtjänstlagen som grund bör inte en generell upplysningsbestämmelse om dataskyddsförordningen (se avsnitt 7.2) införas i lagen. 2017/18:107 13 Regeringens förslag: En ny paragraf införs i kasinolagen med en upplysning om tillämpningen av EU:s dataskyddsförordning och som klargör att den föreslagna dataskyddslagen ska tillämpas i den utsträckning kasinolagen inte innehåller några avvikande bestämmelser. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller har inte något att invända mot detta. Skälen för regeringens förslag: I kasinolagen finns bestämmelser om roulettspel, tärningsspel, kortspel och liknande spel som anordnas i lokaler som huvudsakligen används för det ändamålet. I 5–8 §§ finns bestämmelser om registrering, som kräver att personuppgifter behandlas. Kasinolagen innehåller ingen definition av personuppgifter och inte heller någon bestämmelse som klargör att PUL generellt gäller vid sådan behandling av personuppgifter som lagen förutsätter eller om att kasinolagen helt eller delvis ersätter PUL. I lagens 7 § anges dock att bestämmelserna om rättelse och skadestånd i PUL också gäller vid behandling av personuppgifter enligt kasinolagen (se vidare avsnitt 7.3). Bestämmelserna i kasinolagen ålägger ansvariga för kasinospel att behandla personuppgifter för att föra register. Den rättsliga grunden för behandlingen får därmed betraktas som en rättslig förpliktelse i enlighet med artikel 6.1 c i dataskyddsförordningen. Eftersom kasinolagen anger en rättslig grund för att behandla personuppgifter bör också en upplysningsbestämmelse införas i lagen om det regelverk som ska tillämpas vid sådana behandlingar. En upplysning om dataskyddsförordningen och att kasinolagen kompletterar denna bör därför införas i lagen. Vidare bör också anges att den föreslagna dataskyddslagen innehåller kompletterande bestämmelser till dataskyddsförordningen och att denna lag är subsidiär till kasinolagen. Regeringens förslag: De föreslagna ändringarna ska träda i kraft . Regeringens bedömning: Det finns inte behov av några övergångsbestämmelser. Promemorians förslag och bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans har särskilt kommenterat förslaget och bedömningen. Skälen för regeringens förslag och bedömning: Huvuddelen av de föreslagna lagändringarna har lämnats med anledning av den beslutade dataskyddsförordningen, som kommer att träda i kraft . 2017/18:107 Lagändringarna bör därför träda i kraft . Något behov av övergångsbestämmelser bedöms inte finnas. Regeringens bedömning: Förslagen medför inte någon risk för otillbörliga intrång i den personliga integriteten. Förslagen medför inte behov av ytterligare medel för de berörda myndigheterna. Förslagen innebär inte några nya åtaganden eller kostnader för företag. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans har särskilt kommenterat Skälen för regeringens bedömning: Skyddet för den personliga integriteten bedöms stärkas genom ikraftträdandet av dataskyddsförordningen också på de områden som behandlas i denna proposition. I de fall som undantag från dataskyddsförordningens bestämmelser föreslagits har andra berättigade intressen ansetts väga tyngre än skyddet för den personliga integriteten. De ändringar som föreslås som inte föranletts av dataskyddsförordningens ikraftträdande innebär större möjligheter att behandla personuppgifter inom ramen för vad som är förenligt med förordningen. Även i de fall som den personliga integriteten teoretiskt sett skulle kunna försvagas, bedöms dessa försvagningar inte innebära otillbörliga intrång i den personliga integriteten (se vidare avsnitt 8). De aktuella förslagen handlar till stor del om att uppdatera det befintliga regelverket till dataskyddsförordningen. De undantag från dataskyddsförordningens bestämmelser som föreslagits bedöms inte öka de statliga myndigheternas eller kommunernas eller landstingens kostnader. De bedöms i stället sammantaget kunna bidra till en mer effektiv och ändamålsenlig förvaltning. Förslagen påverkar endast i begränsad utsträckning företag och innebär inga nya åtaganden eller kostnader för dessa. 2017/18:107 16 Förslaget till lag om ändring i kasinolagen Paragrafen är ny och behandlas i avsnitt 13. Paragrafen innehåller en upplysning om dataskyddsförordningen och reglerar i vilken utsträckning som den föreslagna dataskyddslagen ska tillämpas vid behandling av personuppgifter enligt kasinolagen och föreskrifter som meddelats i anslutning till denna. Med behandling av personuppgifter avses detsamma som i dataskyddsförordningen. I första stycket anges att dataskyddsförordningen ska tillämpas vid behandling av personuppgifter enligt kasinolagen och att den senare lagen innehåller kompletterande bestämmelser om sådan behandling. Av andra stycket framgår att den föreslagna dataskyddslagen också är tillämplig vid behandling av personuppgifter som omfattas av kasinolagen. Dataskyddslagen är dock subsidiär till kasinolagen och föreskrifter som meddelats i anslutning till denna. Bestämmelsen behandlas i avsnitt 14. Av bestämmelsen framgår att lagen träder i kraft . 16.2Förslaget till lag om ändring i lagen (2001:99) om den officiella statistiken Paragrafen behandlas i avsnitt 8.6.1. I tredje stycket läggs 16 § till i uppräkningen över vilka bestämmelser som ska gälla vid framställning av annan statistik än officiell statistik hos en statistikansvarig myndighet. I 16 § regleras utlämnande av personuppgifter som inte direkt kan hänföras till en enskild och möjligheten att förse dessa med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna. Denna möjlighet är avgörande för att lämna ut uppgifter till undersökningar som sträcker sig . Av 17 § framgår att sådana uppgifter endast får lämnas ut för att behandlas för forskning eller statistik. Paragrafen behandlas i avsnitt 7.2. Ändringen i första stycket innebär att en hänvisning till PUL utgår och ersätts av en hänvisning till dataskyddsförordningen och en upplysning om att lagen om den officiella statistiken innehåller bestämmelser som Prop. 2017/18:107 kompletterar regleringen i förordningen. I andra stycket införs en hänvisning till bestämmelserna i den föreslagna dataskyddslagen, som kompletterar regleringen i dataskyddsförordningen. Av hänvisningen framgår att regleringen i dataskyddslagen är subsidiär till bestämmelserna i lagen om den officiella statistiken och de föreskrifter som meddelats i anslutning till den. Med behandling av personuppgifter avses detsamma som i dataskyddsförordningen. Paragrafen behandlas i avsnitt 7.2. I paragrafen har tredje stycket upphävts, som innehöll en upplysning om bestämmelser i . Paragrafen behandlas i avsnitt 7.2 och 8.2. I första stycket tas en hänvisning till PUL bort. Det tredje stycket är nytt och klargör att en statistikansvarig myndighet kan vara personuppgiftsbiträde åt en annan statistikansvarig myndighet, utan hinder av bestämmelsen i det första stycket, som anger att en statistikansvarig myndighet är personuppgiftsansvarig vid framställning av statistik. Med personuppgiftsbiträde avses detsamma som i dataskyddsförordningen. Bestämmelsen aktualiseras när en statistikansvarig har i uppdrag att bedriva uppdragsverksamhet åt andra statistikansvariga myndigheter. Paragrafen behandlas i avsnitt 8.3 och 8.6.2. Paragrafen innehåller bestämmelser om när känsliga personuppgifter och personuppgifter om lagöverträdelser får behandlas. I första stycket ersätts en hänvisning till PUL av en hänvisning till aktuella bestämmelser i dataskyddsförordningen. När det gäller behandling av personuppgifter som rör lagöverträdelser har bestämmelsen i artikel 10 i dataskyddsförordningen en något annan innebörd än tidigare reglering, som utgick från dataskyddsdirektivet, då tillämpningsområdet enligt förordningen begränsats till enbart fällande domar i brottmål och överträdelser samt därmed sammanhängande säkerhetsåtgärder. Andra stycket är nytt och reglerar när det är tillåtet att behandla känsliga personuppgifter och personuppgifter om lagöverträdelser vid framställning av annan statistik än officiell statistik. Enligt bestämmelserna är detta tillåtet om behandlingen är nödvändig för statistiska ändamål och samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som 2017/18:107 behandlingen kan innebära, eller om behandlingen ingår i ett forskningsprojekt och behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. För att behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser ska kunna ske krävs dock även att den statistikansvariga myndigheten har en rättslig grund för behandlingen. Paragrafen behandlas i avsnitt 8.4. Paragrafen är ny och innehåller undantag från två av de rättigheter som genom dataskyddsförordningen tillkommer den registrerade. Av paragrafen framgår att rättigheterna i artiklarna 16 och 18 i dataskyddsförordningen, dvs. rätten till rättelse och rätten till begränsning av behandlingen av personuppgifter, inte gäller vid behandling av personuppgifter enligt lagen. Paragrafen har utformats i enlighet med Lagrådets förslag. Paragrafen behandlas i avsnitt 7.2. Ändringen, som innebär att hänvisningen till straffstadgandet i PUL tas bort, är en följdändring av att PUL upphör att gälla. Bestämmelsen behandlas i avsnitt 14. Av bestämmelsen framgår att lagen träder i kraft . 16.3Förslaget till lag om ändring i lagen (2006:378) om lägenhetsregister Paragrafen behandlas i avsnitt 7.2. Ändringen i andra stycket innebär att en hänvisning till PUL utgår och ersätts av en hänvisning till dataskyddsförordningen och en upplysning om att lagen om lägenhetsregister innehåller bestämmelser som kompletterar regleringen i förordningen. I tredje stycket införs en hänvisning till bestämmelserna i den föreslagna dataskyddslagen, som kompletterar regleringen i dataskyddsförordningen. Av hänvisningen framgår att regleringen i dataskyddslagen är subsidiär till bestämmelserna i lagen om lägenhetsregister och de föreskrifter som meddelats i anslutning till den. Med behandling av personuppgifter avses detsamma som i dataskyddsförordningen. Paragrafen behandlas i avsnitt 7.2. I bestämmelsen anges att den statliga lantmäterimyndigheten, dvs. Lantmäteriet, är personuppgiftsansvarig för registret. Ändringen innebär att en hänvisning till PUL tas bort. Med personuppgiftsansvarig avses detsamma som i dataskyddsförordningen. Paragrafen behandlas i avsnitt 9.2. Genom införandet av paragrafen, som är ny, undantas den rätt till begränsning av behandling av personuppgifter som annars tillkommer den registrerade i vissa fall i enlighet med artikel 18 i dataskyddsförordningen. Bestämmelsen möjliggör för registerföraren, dvs. Lantmäteriet, att fortsätta behandla personuppgifter utan samtycke från den registrerade. Rubriken närmast före paragrafen har utformats i enlighet med Lagrådets förslag. Bestämmelsen behandlas i avsnitt 14. Av bestämmelsen framgår att lagen träder i kraft . 16.4Förslaget till lag om ändring i lagen (2014:484) om en databas för övervakning av och tillsyn över finansmarknaderna Paragrafen behandlas i avsnitt 11. Ändringen innebär att en hänvisning till PUL ersätts av en hänvisning till dataskyddsförordningen. Bestämmelsen behandlas i avsnitt 14. Av bestämmelsen framgår att lagen träder i kraft . Sammanfattning av promemorian Ändringar i vissa författningar inom ansvarsområde med anledning av EU:s dataskyddsreform (Ds 2017:40) antogs och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Genom förordningen införs enhetliga, generella krav på behandling av personuppgifter. Förordningen ersätter och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet), som i har genomförts genom personuppgiftslagen (1998:204) samt ett stort antal specifika författningar med särskilda bestämmelser om behandling av personuppgifter inom ett särskilt område. Med anledning av de nya EU-bestämmelserna redovisas i denna promemoria bedömningar och förslag till författningsändringar inom delar av ansvarsområde, bl.a. avseende den officiella statistiken. Vidare föreslås vissa författningsändringar för att bl.a. förbättra statistikansvariga myndigheters förutsättningar att framställa statistik. De flesta författningsändringarna föreslås träda i kraft , vilket är som dataskyddsförordningen ska börja tillämpas. Lagförslag i promemorian Ändringar i vissa författningar inom ansvarsområde med anledning av EU:s dataskyddsreform lag om upphävande av lagen (1979:217) om allmän folk- och bostadsräkning Härigenom föreskrivs att lagen (1979:217) om allmän folk- och bostadsräkning ska upphöra att gälla . lag om upphävande av lagen (1984:531) om 1985 års folk- och bostadsräkning Härigenom föreskrivs att lagen (1984:531) om 1985 års folk- och bostadsräkning ska upphöra att gälla . lag om upphävande av lagen (1989:329) om en folk- och bostadsräkning Härigenom föreskrivs att lagen (1989:329) om en folk- och bostadsräkning ska upphöra att gälla .