prop · H50395 · 2018-02-27 00:00:00 — Undantaget från rätten till rättelse m.m. i lagen om behandling av uppgifter i beskattningsverksamhet när uppgifter behandlas på grund av visst administrativt samarbete i fråga om beskattning ska omformuleras utan att det innebär någon ändring i sak. Promemorians förslag: Överensstämmer med regeringens förslag. Vissa redaktionella ändringar har dock gjorts. Remissinstanserna: tillstyrker förslagen. avstyrker delvis förslagen. har synpunkter på rättelse- bestämmelserna i lagen om behandling av uppgifter i Kronofogdemyn- dighetens verksamhet och anser bl.a. att den befintliga rättelsebestäm- melsen i paragrafen inte behövs och att det föreslagna tillägget om att det i fråga om personuppgifter finns bestämmelser om rättelse också i dataskyddsförordningen, skapar otydlighet för både myndigheten och enskilda kring enskildas rättigheter. 2017/18:95 en synpunkt som gäller placeringen av en bestämmelse. I övrigt yttrar sig ingen remissinstans särskilt över förslagen. Skälen för regeringens förslag Enligt 28 § PUL är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana person- uppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av den lagen. Paragrafen rubriceras ”rättelse”. Med detta menas rättelse i den vidare bemärkelsen korrigering, som alltså kan ske genom de alternativa metoderna rättelse, blockering och utplåning. Det är i princip den som ska göra korri- geringen, dvs. den personuppgiftsansvarige, som själv väljer mellan alternativen. Av annan lagstiftning, eller av sakens natur, kan det dock följa att vissa korrigeringsmetoder inte kan användas i vissa fall, t.ex. när det gäller korrigering av personuppgifter i bokföring (prop. 1997/98:44 s. 133). En myndighet får inte heller utplåna uppgifter i en allmän handling, om det skulle strida mot andra bestämmelser. Av 28 § PUL framgår därutöver att den personuppgiftsansvarige i vissa fall ska underrätta tredje man, till vilken uppgifterna har lämnats ut, om korrigeringsåtgärden. Bestämmelserna i 28 § PUL genomför artikel 12 b och c dataskyddsdirektiv. I de flesta av de berörda registerförfattningarna har det tagits in paragrafer som innebär att bestämmelserna i personuppgiftslagen om rättelse gäller när personuppgifter behandlas i strid med register- författningarna. Bestämmelser med denna innebörd finns i 3 kap. 3 § lagen om behandling av uppgifter i beskattningsverk- samhet men också i lagen om behandling av personuppgifter i Skatte- verkets folkbokföringsverksamhet, lagen om behandling av uppgifter i verksamhet, lagen om det statliga personadressregistret, lagen om identitetskort för folkbokförda i och lagen om behandling av personuppgifter i äktenskapsregister- och bouppteckningsverksamheter. Med hänsyn till hur bestämmelserna i 28 § PUL är utformade har det ansetts att en särskild hänvisning behövs i särlagstiftning för att bestämmelserna ska gälla för behandling som sker i strid med särlagstiftningen (se t.ex. prop. 2015/16:28 s. 43). Rättelsereglerna i 28 § PUL tillämpas således vid behandling av personuppgifter i de berörda verksamheterna. För Kronofogdemyndig- hetens verksamhet gäller vissa särskilda bestämmelser, vilket behandlas nedan. Dataskyddsförordningens bestämmelser om rättelse, radering och begränsning av behandling Dataskyddsförordningens motsvarigheter till de rättigheter som följer av 28 § PUL finns i artikel 16–19. I artiklarna regleras den registrerades rätt till rättelse, radering och begränsning av behandling samt skyldigheten för den personuppgiftsansvarige att underrätta mottagare av person- uppgifter om vidtagna korrigeringsåtgärder. – Närmare om rätten till rättelse I artikel 16 stadgas en rätt för den registrerade att av den personuppgifts- ansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behand- lingen ska den registrerade också ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett kompletterande ut- låtande. Rätten för den registrerade att på begäran få uppgifter rättade innebär ingen nyhet. Rätten till komplettering saknar uttrycklig motsvarighet dataskyddsdirektiv och personuppgiftslagen. Enligt 9 § PUL gäller dock redan att den personuppgiftsansvarige ska se till att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana person- uppgifter som är felaktiga och ofullständiga med hänsyn till ändamålen med behandlingen. Den bestämmelsen är tillämplig vid behandling enligt nu aktuella registerförfattningar. – Närmare om rätten till radering Enligt artikel 17 ska den registrerade under vissa omständigheter ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina person- uppgifter raderade. Den personuppgiftsansvarige ska under samma omständigheter vara skyldig att utan onödigt dröjsmål radera person- uppgifter. Rätten till radering gäller bl.a. om personuppgifterna är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlas eller om de har behandlats på olagligt sätt. I artikel 17.3 regleras vissa undantag från rätten till radering. Av artikel 17.3 b följer t.ex. att rätten till radering inte gäller i den utsträckning behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighets- utövning som utförs av den personuppgiftsansvarige. – Närmare om rätten till begränsning av behandling I artikel 18.1 ges en rätt för den registrerade att av den personuppgifts- ansvarige kräva att behandlingen begränsas i vissa fall. Rätten gäller i fall den registrerade bestrider personuppgifternas korrekthet, som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta (artikel 18.1 a), i fall behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning (artikel 18.1 b), i fall den personuppgiftsansvarige inte längre behöver personuppgifterna för ändamålen med behandlingen men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk (artikel 18.1 c), och i fall den registrerade har invänt mot behandling i enlighet med artikel 21.1 i väntan på kontroll av huruvida den personuppgifts- ansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl (artikel 18.1.d). En definition av uttrycket begränsning av behandling finns i artikel 4.3. Där framgår att med begränsning av behandling avses markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa i Begränsning av behandling behandlas även i skäl 67. Där anges att sätten att begränsa behandlingen av personuppgifter bland annat kan inbegripa att man tillfälligt flyttar de valda personuppgifterna till ett annat databehandlingssystem, gör de valda uppgifterna otillgängliga för användare eller tillfälligt avlägsnar offentliggjorda uppgifter från en webbplats. I automatiserade register bör begränsningen av behandlingen i princip ske med tekniska medel på ett sådant sätt att personuppgifterna inte blir föremål för ytterligare behandling och inte kan ändras. Det förhållandet att behandlingen av personuppgifterna är begränsad bör klart anges inom systemet. – Skyldighet att underrätta tredje man om vidtagna korrigeringsåtgärder Enligt artikel 19 i dataskyddsförordningen gäller att den personuppgifts- ansvarige ska underrätta varje mottagare till vilken personuppgifter har lämnats ut om eventuella rättelser eller radering av personuppgifter eller begränsningar av behandling som skett i enlighet med artiklarna 16, 17.1 och 18, om inte detta visar sig vara omöjligt eller medföra en opropor- tionell ansträngning. Den personuppgiftsansvarige ska informera den registrerade om dessa mottagare på den registrerades begäran. Bestämmelsen skiljer sig från 28 § PUL genom att utgångspunkten i dataskyddsförordningen är att underrättelse ska lämnas till uppgifts- mottagarna i alla de fall då rättelse, radering eller begränsning av behandling har skett, dvs. inte endast då den enskilde har begärt det eller då mera betydande skada eller olägenhet för den enskilde skulle kunna undvikas. I artikel 4.9 finns en definition av vad som avses med mottagare i dataskyddsförordningens mening. Av bestämmelsen framgår bl.a. att myndigheter som kan komma att motta personuppgifter inom ramen för ett särskilt uppdrag i enlighet med unionsrätten eller medlemsstaternas nationella rätt inte ska betraktas som mottagare. Det behöver inte anges att bestämmelserna i dataskyddsförordningen gäller De hänvisningar till personuppgiftslagens bestämmelser som finns i be- rörda lagar behöver tas bort. Det förslaget behandlas i avsnitt 9.2. Eftersom de rättigheter som följer av dataskyddsförordningen är direkt tillämpliga behövs inga bestämmelser som slår fast att dessa gäller. Någon upplysning om att rättigheterna i dataskyddsförordningen gäller bedöms inte heller behövas. Den utökade rätten till korrigering av vissa missvisande uppgifter hos ska behållas, med upplysning om bestämmelserna i dataskyddsförordningen Vid behandling av uppgifter i verksamhet gäller särskilda regler om korrigering av uppgifter. Bestämmelserna finns i 3 kap. 3 a § första stycket lagen om behandling av uppgifter i Krono- fogdemyndighetens verksamhet. Enligt dessa ska Kronofogdemyndig- heten på begäran av den registrerade rätta, blockera eller utplåna sådana uppgifter som inte har behandlats i enlighet med lagen om behandling av uppgifter i verksamhet eller Därutöver ska sådan korrigering ske på den registrerades begäran beträffande uppgifter som är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser. Rätten att få sådana missvisande uppgifter korrigerade innebär en utökad rätt i förhållande till personuppgiftslagens och även dataskyddsförordningens bestämmelser. Bakgrunden till den särskilda rättelsebestämmelsen är i huvudsak att det kan få långtgående konse- kvenser för den enskilde att förekomma med mål som registrerats i utsöknings- och indrivningsdatabasen, med tanke på uppgifternas spridning och användning utanför . Det har mot den bakgrunden inte ansetts vara rimligt att behöva figurera med sådana uppgifter i fall där det inte behöver ha förelegat någon verklig vare sig ovilja eller oförmåga att betala, se propositionen Rättelse av uppgifter i verksamhet m.m. (prop. 2007/08:116 s. 14). I förarbetena till den aktuella bestämmelsen anfördes att det kunde diskuteras om förslaget innebar en utvidgning av skyldigheten att vidta rättelse, eller bara ett förtydligande av vad som gällde enligt person- uppgiftslagens bestämmelser. Det viktigaste ansågs emellertid vara att ändringen, tillsammans med den utbyggnad av sekretesskyddet som också föreslogs, banade väg för en tillämpning som tillgodosåg såväl kraven på diarieföring som de enskildas berättigade krav på att inte behöva förekomma med uppgifter som ger ett i sak ogrundat intryck av bristande vilja eller förmåga att göra rätt för sig (s. 17 f.). I förarbetena drogs också slutsatsen att blockering var den rättelsemetod som normalt borde komma till användning hos Krono- fogdemyndigheten när det gäller uppgifter som är missvisande men inte är felaktiga i ett rent diarieperspektiv (s. 20). Bestämmelsen i 3 kap. 3 a § gäller inte endast för personuppgifter, utan även för uppgifter om juridiska personer och avlidna. Även i detta avseende saknar bestämmelsen således motsvarighet i dataskyddsförord- ningen. Något hinder mot att behålla den utökade rätten till rättelse av vissa missvisande uppgifter i databaser finns inte i dataskyddsförordningen. Rätten kan därför behållas. anser att den befintliga rättelsebestämmelsen i första stycket inte behövs. Regeringen delar inte denna bedömning då bestämmelsen medför en utökad rätt till rättelse i förhållande till dataskyddsförordningen. I 3 kap. 3 a § andra stycket lagen om behandling av uppgifter i Krono- fogdemyndighetens verksamhet finns också en bestämmelse om att tredje man till vilken uppgifter har lämnats ut i vissa fall ska underrättas om åtgärder som har vidtagits med stöd av bestämmelsens första stycke. Sådan underrättelse ska enligt bestämmelsen ske om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade kan undvikas på detta sätt. Någon underrättelse behöver dock inte lämnas, om detta skulle innebära en oproportionerligt stor arbetsinsats. Även denna bestämmelse saknar fullt ut motsvarighet i dataskyddsförordningen, eftersom den innebär att underrättelse till tredje man ska ske i vissa fall då underrättelse inte behöver lämnas enligt dataskyddsförordningen. Något hinder mot att behålla bestämmelsen finns inte i dataskyddsförordningen. 2017/18:95 De utökade rättigheterna i 3 kap. 3 a § lagen om behandling av uppgifter i verksamhet bör enligt regeringens bedömning behållas. Vissa justeringar bör dock göras i den aktuella bestämmelsen. När det gäller uppgifter om juridiska personer bör samma bestämmelser tillämpas som . För fysiska personer bör de särskilda bestämmelserna för verksamhet gälla vid sidan av de rättigheter som följer av dataskyddsförordningen. Detta bör tydliggöras genom att det i bestämmelsen upplyses om att det i fråga om personuppgifter även finns bestämmelser om rättelse m.m. i dataskydds- förordningen. anser att den upplysningen skapar otydlighet för både myndigheten och enskilda kring enskildas rättigheter. Regeringen konstaterar att den tydliggör att för fysiska personer – till skillnad från juridiska personer – bör de särskilda bestämmelserna om behandling av uppgifter i verksamhet gälla vid sidan av de rättigheter som följer av dataskyddsförordningen. I promemorians förslag får bestämmelsen en ny placering. Förvalt- ningsrätten i anser att bestämmelsen om rättelse även fortsatt bör vara placerad i 3 kap. 3 a § eftersom det är en sådan bestämmelse som ofta åberopas av enskilda och att man i stället ska placera den nya bestämmelsen om invändning mot behandling i en ny 3 § (se avsnitt 9.5.4). Regeringen delar förvaltningsrättens synpunkt och behåller således bestämmelsens nuvarande placering. Förslaget genomförs genom en ändring i 3 kap. 3 a § lagen om behandling av uppgifter i verksamhet. Undantaget vid visst administrativt samarbete i fråga om beskattning ska behållas, men justeras I avsnitt 9.5.2 har redogjorts för 3 kap. 2 a § lagen om behandling av uppgifter i beskattningsverksamhet. De undantag från personuppgiftslagen som regleras i bestämmelsen avser inte endast rätten till information och tillgång till uppgifter, utan även skyldigheten för den personuppgiftsansvarige enligt 28 § PUL att på begäran av den registre- rade i vissa fall rätta, blockera eller utplåna personuppgifter samt att underrätta tredje man om vidtagna korrigeringsåtgärder. Dessa rättig- heter motsvaras av rättigheterna i artikel 16–19 i dataskyddsförord- ningen. Som framgår av avsnitt 9.5.2 infördes bestämmelsen i 3 kap. 2 a § lagen om behandling av uppgifter i beskattningsverk- samhet för att genomföra artikel 25 i handräckningsdirektivet. Bestäm- melsen uppfyller de krav som ställs på en rättighetsbegränsande bestäm- melse enligt artikel 23 i dataskyddsförordningen (se avsnitt 9.5.2). Mot den bakgrunden bör bestämmelsen vara kvar även i den del som gäller begränsning av rätten till rättelse, radering och begränsning av behand- ling i artikel 16–18 och av anmälningsskyldigheten i artikel 19. Av den aktuella bestämmelsen bör därför framgå att de rättigheter och skyldigheter som avses i artikel 16–19 i dataskyddsförordningen inte ska tillämpas om sådana begränsningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen. Förslaget genomförs genom en ändring i 3 kap. 2 a § lagen om behand- ling av uppgifter i beskattningsverksamhet. Rätten till radering behöver inte inskränkas i andra fall Den behandling som sker med stöd av aktuella registerlagar måste anses nödvändig för att utföra sådana uppgifter av allmänt intresse som avses i artikel 17.3 b i dataskyddsförordningen (jfr även avsnitt 7). Eftersom rätten till radering inte gäller i sådana situationer, hindrar bestämmel- serna i artikel 17 inte att uppgifter fortsätter att behandlas i de fall den fortsatta behandlingen av uppgifterna är tillåten enligt de aktuella författ- ningarna. I de fall personuppgifterna är nödvändiga för de ändamål för vilka de behandlats kan dock finnas en rätt till radering enligt artikel 17.1 a. Att uppgifter i sådana fall kan behöva raderas, även utan begäran av den enskilde, följer redan av artikel 5. Av den bestäm- melsen framgår bl.a. att den personuppgiftsansvarige, även utan begäran från den enskilde, ska se till att personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Något behov av att inskränka rätten till radering, utöver vad som anges under föregående rubrik, finns mot den bakgrunden inte. Rätten till begränsning av behandling behöver inte inskränkas i andra fall Bestämmelsen i artikel 18.1 d, som reglerar begränsning av behandling när den enskilde har invänt mot behandling, får ingen betydelse vid behandling som är tillåten enligt de berörda registerlagarna, eftersom rätten att invända mot behandling inte föreslås gälla i dessa fall (se avsnitt 9.5.4). Någon rätt att få behandling begränsad med stöd av artikel 18.1 d kommer därför inte att finnas vid behandling som är tillåten enligt de aktuella lagarna. I de övriga fall som avses i artikel 18.1 innebär dataskyddsförordningen att den registrerade har en rätt att få behand- lingen begränsad. De verksamheter och den personuppgiftsbehandling som de berörda lagarna avser måste regelmässigt bedömas utföras för skäl som rör sådana viktiga allmänna intressen som avses i artikel 18.2. Den behandling av personuppgifter som är tillåten enligt de berörda lagarna är en förutsättning för att de aktuella myndigheterna ska kunna bedriva sin verksamhet på ett korrekt, rättssäkert och effektivt sätt. Till att börja med kan därför konstateras att den behandling som myndigheterna får utföra enligt författningarna är tillåten även om behandlingen av uppgifterna har begränsats enligt artikel 18.1. Regleringen i artikel 18.1 b och c bör enligt regeringens bedömning innebära att uppgifter som annars skulle raderas ska bevaras av den personuppgiftsansvarige. I dessa fall bör det inte föreligga några större problem med att utföra sådana åtgärder som kan krävas för att be- handlingen ska anses vara begränsad. I de fall som avses i artikel 18.1 är regeringens utgångspunkt att kraven på att behandlingen ska begränsas inte ska medföra att det blir svårare att utföra den tillåtna behandling som myndigheterna behöver utföra. Eftersom uppgifterna får fortsätta att behandlas av myndigheterna med stöd av artikel 18.2 är regeringens 2017/18:95 bedömning att kravet på att behandlingen ska begränsas inte innebär att uppgifterna t.ex. måste avlägsnas till ett annat tekniskt system eller att tillgången till dem måste begränsas. Det bör enligt regeringen räcka med mindre ingripande åtgärder, som visar att behandlingen är begränsad i enlighet med artikel 18.1 (jfr skäl 67, som endast anger exempel på åtgärder). Eftersom rätten till begränsning mot den bakgrunden inte bör innebära några betydande problem för myndigheterna, finns inte skäl att införa några inskränkningar av den rätt som följer av artikel 18.1, utöver det undantag som behandlas under en föregående rubrik. Anmälningsskyldigheten i artikel 19 bör inte inskränkas i andra fall Skyldigheten att underrätta mottagare till vilka personuppgifter har lämnats ut om åtgärder som har vidtagits med stöd av artikel 16, 17.1 och 18 innebär vissa nya skyldigheter för den personuppgiftsansvarige. Det undantag som finns i artikeln, för situationer då underrättelse är omöjlig eller medför en oproportionerlig ansträngning, får anses vara ett rimligt och tillräckligt undantag vid sådan behandling som omfattas av lagarna. Någon inskränkning av den personuppgiftsansvariges skyldigheter enligt bestämmelsen bör därför inte införas, utöver det tidigare undantaget. 9.5.4Rätten att göra invändningar Regeringens förslag: Bestämmelser i berörda lagar om att tillåten behandling får utföras även om den enskilde motsätter sig behand- lingen ska ges en ny utformning. I bestämmelserna ska det anges att artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invänd- ningar inte gäller vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. En sådan bestämmelse ska även införas i lagen om det statliga personadressregistret tillsammans med en upplysning om att bestäm- melser om rätten att göra invändningar mot behandling för direkt marknadsföring finns i artikel 21.2 i dataskyddsförordningen. Promemorians förslag: Överensstämmer i sak med regeringens förslag. Promemorians förslag är något annorlunda utformade och place- rade. Remissinstanserna: tillstyrker förslagen. avstyrker förslagen, utan att lämna någon närmare motivering. Förvalt- ningsrätten i anser att de överväganden som har gjorts kring den föreslagna bestämmelsen i bl.a. lagen om behandling av uppgifter i beskattningsverksamhet, som hindrar rätten att göra invändningar, borde förtydligas. Förvaltningsrätten anser också att bestämmelsen bör ges en annan placering. ifrågasätter om det finns tillräckligt starka skäl för att införa bestäm- melser som anger att rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen inte gäller vid sådan behandling som är tillåten enligt de aktuella författningarna. I övrigt yttrar sig ingen remissinstans särskilt över förslagen. Skälen för regeringens förslag I artikel 14 dataskyddsdirektiv finns en rätt för den regist- rerade att motsätta sig behandling av personuppgifter. Av bestämmelsen framgår att medlemsstaterna ska tillförsäkra den registrerade rätten att, bl.a. i de fall när behandling sker på grund av att den är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller för att den är ett led i myndighetsutövning, när som helst av avgörande och berättigade skäl som rör den registrerades personliga situation motsätta sig behandling av uppgifter som rör honom eller henne, utom när den nationella lagstift- ningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter. Vidare framgår att den registrerade ska ges rätt att efter anmodan och utan kostnader motsätta sig behandling av personuppgifter som rör honom eller henne och som den registeransvarige bedömer kan komma att behandlas för ändamål som rör direkt marknadsföring, eller att bli informerad innan personuppgifter lämnas ut till tredje man eller används för tredje mans räkning för ändamål som rör direkt marknadsföring, och att uttryckligen få erbjudande om att utan kostnader motsätta sig ett sådant utlämnande eller sådan användning. Artikel 14 dataskyddsdirektiv har genomförts i svensk rätt genom bl.a. 11 och 12 §§ PUL. Vid genomförandet gjorde bedömningen att det inte fanns tillräckliga skäl för att föreslå en generell rätt att motsätta sig en behandling som var befogad enligt de regler som kommittén föreslog, se betänkandet Integritet, offentlighet, informationsteknik (SOU 1997:39 s. 366). I 11 § PUL anges att person- uppgifter inte får behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling.