prop · H50395 · 2018-02-27 00:00:00 — 3.andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Uppgifter får behandlas i data- Uppgifter får behandlas i data- basen för tillhandahållande av information som behövs i Krono- information som behövs i Krono- 1.handläggningen av konkurstillsynsärenden och mål enligt löne- garantilagen (1992:497), 2.förebyggande av överskuldsättning och information om skuld- sanering och F-skuldsanering, och 3.tillsyn, kontroll, uppföljning och planering av verksamheten. Uppgifter som får behandlas en- ligt första stycket får även behandlas i databasen för till- handahållande av information som behövs i verksamhet för handläggning av ärenden om skuldsanering och F- skuldsanering. Uppgifter får utöver det som anges i 20 § behandlas i databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning. 8Senaste lydelse 2016:685. 9Senaste lydelse 2016:779. 2. att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, och behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. får ta ut avgifter för att lämna ut uppgifter ur en databas enligt de närmare föreskrifter som meddelas av regeringen. Rätten att ta ut avgifter enligt Rätten att ta ut avgifter får inte första stycket får inte innebära innebära en inskränkning i inskränkning i rätten att ta del av 1. rätten att ta del av och mot och mot fastställd avgift få kopia fastställd avgift få kopia eller eller utskrift av allmän handling utskrift av en allmän handling artikel 12.5 i EU:s dataskydds- förordning. Rätten att göra invändningar Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. ska på begäran av den registrerade rätta, blockera eller utplåna sådana uppgifter som 1.inte har behandlats i enlighet med denna lag eller anslutande författningar, eller 2.är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser. 10Senaste lydelse 2006:733. 11Senaste lydelse 2008:213. Om uppgifterna lämnats ut till tredje man, ska Kronofogde- Prop. 2017/18:95 myndigheten underrätta denne om åtgärd enligt första stycket, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade kan undvikas på detta sätt. Någon underrättelse behöver dock inte lämnas, om detta skulle innebära en oproportionerligt stor arbetsinsats. I fråga om personuppgifter finns bestämmelser om rättelse m.m. också i EU:s dataskydds- förordning. som skall lämnas enligt 26 § (1998:204) får överklagas Andra beslut enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. 1.Denna lag träder i kraft . 2.Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet. 2.5Förslag till lag om ändring i lagen (2001:185) om behandling av uppgifter i verksamhet Härigenom föreskrivs i fråga om lagen (2001:185) om behandling av uppgifter i verksamhet dels att 3 kap. 1–4 §§ ska upphöra att gälla, dels att rubrikerna närmast före 3 kap. 1, 3 och 4 §§ ska utgå, dels att 1 kap. 2–4, 5 och 7 §§, 2 kap. 11 § och rubriken närmast före 1 kap. 2 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 3 kap. 1 §, och närmast före 3 kap. 1 § en ny rubrik av följande lydelse. Förhållandet till annan reglering Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204). förordning (EU) 2016/679 av den om skydd för fysiska personer med avseende på be- om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), här benämnd En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag. Vid behandling av person- enligt denna lag eller enligt andra uppgifter enligt denna lag gäller stöd av lagen gäller person- uppgiftslagens (1998:204) bestäm- föreskrifter som har meddelats i 1. definitioner i 3 §, anslutning till den lagen, om inte 2. förhållandet till offentlighets- annat följer av denna lag eller principen m.m. i 8 §, 1 Senaste lydelse 2005:790. Uppgifter som behandlas enligt 4 § får även behandlas för1. att tillhandahålla information som behövs i författningsreglerad verksamhet hos någon annan än föra) fastställande av underlag för 3. grundläggande krav på anslutning till lagen. handling i 9 §, med undantag för vad som sägs i första stycket i och 4. säkerheten vid behandling i 30–32 §§, 5. överföring av personuppgifter till tredje land i 33–35 §§, 6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§, om vissa behandlingar i 42 §, befogenheter i 43 och 47 §§, och 9. straff i 49 §. Vid behandling av person- uppgifter som inte sker i databasen Uppgifter får behandlas för att som behövs hos för 1.bestämmande, redovisning, betalning och återbetalning av tull, annan skatt och avgifter, 2.övervakning, revision och annan analys- eller kontrollverksamhet, 3.fullgörande av ett åliggande som följer av ett för bindande internationellt åtagande, och 4.tillsyn, kontroll, uppföljning och planering av verksamheten. Uppgifter som behandlas enligt första stycket får även behandlas för tillhandahållande av informa- tion som behövs i brottsbekämpande verksamhet en- ligt 2 kap. 5 § tullbrottsdatalagen (2017:447). 5 §3 Uppgifter får behandlas för att tillhandahålla information som behövs i författningsreglerad verk- samhet hos någon annan än för 1. fastställande av underlag för 2Senaste lydelse 2017:449. 3Senaste lydelse 2016:780. 2017/18:95 samt bestämmande, redovisning, betalning och återbetalning av skatter eller avgifter, 2.revision och annan analys- eller kontrollverksamhet, 3.tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning, och 4.utsökning och indrivning. Uppgifter får även behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning. samt bestämmande, redovisning, betalning och återbetalning av skatter eller avgifter, b)revision och annan analys- eller kontrollverksamhet, c)tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning, och d)utsökning och indrivning, 2. att tillhandahålla information som behövs i brottsbe- kämpande verksamhet enligt 2 kap. 5 § tullbrottsdatalagen (2017:447), 3.att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, och 4.andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. anges i 13 § personuppgiftslagen artikel 9.1 i EU:s dataskydds- lagöverträdelser m.m. som anges i uppgifter) och uppgifter om lag- överträdelser som innefattar brott, endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap. får ta ut avgifter för att lämna ut uppgifter ur databasen enligt de närmare föreskrifter som meddelas av regeringen. Rätten att ta ut avgifter enligt Rätten att ta ut avgifter får inte innebära en inskränkning i inskränkning i rätten att ta del av 1. rätten att och mot fastställd avgift få kopia eller utskrift av allmän handling artikel 12.5 i EU:s dataskydds- Rätten att göra invändningar Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. 1.Denna lag träder i kraft . 2.Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet. 2.6Förslag till lag om ändring i lagen (2015:898) om behandling av personuppgifter i äktenskapsregister- och bouppteckningsverksamheter Härigenom föreskrivs i fråga om lagen (2015:898) om behandling av personuppgifter i äktenskapsregister- och boupptecknings- verksamheter dels att 3 och 10 §§ ska upphöra att gälla, dels att rubriken närmast före 10 § ska utgå, dels att 4, 6 och 7 §§ och rubriken närmast före 4 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 10 §, och närmast före 10 § en ny rubrik av följande lydelse. Förhållandet till annan reglering Vid behandling av person- uppgifter som omfattas av denna lag gäller personuppgiftslagen (1998:204), om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Denna lag innehåller bestäm- melser som kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller före- skrifter som har meddelats i anslutning till lagen. om det behövs i äktenskapsregister- och bouppteckningsverksamheter. enligt första stycket får också enligt första stycket får också behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204). sker i överensstämmelse med lag Sådana uppgifter får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Känsliga personuppgifter som anges i 13 § personuppgiftslagen (1998:204) får behandlas i en handling som har lämnats i ett ärende. Sådana uppgifter får behandlas även i en handling som har upprättats i ett ärende, om de är nödvändiga för ärendets hand- läggning. Personuppgifter som avses i artikel 9.1 i EU:s dataskydds- förordning (känsliga person- uppgifter) får behandlas i en handling som har lämnats i ett ärende. Sådana uppgifter får behandlas även i en handling som har upprättats i ett ärende, om de är nödvändiga för ärendets handläggning. Rätten att göra invändningar Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Denna lag träder i kraft . 2.7Förslag till lag om ändring i lagen (2015:899) om identitetskort för folkbokförda i Härigenom föreskrivs i fråga om lagen (2015:899) om identitetskort för folkbokförda i dels att 9 och 18 §§ ska upphöra att gälla, dels att rubriken närmast före 18 § ska utgå, dels att 10, 12, 13 och 17 §§ och rubriken närmast före 10 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 18 §, och närmast före 18 § en ny rubrik av följande lydelse. personuppgifts- Förhållandet till annan reglering Vid behandling av person- uppgifter i databasen gäller personuppgiftslagen (1998:204) om inte annat följer av denna lag eller föreskrifter som har med- delats i anslutning till lagen. Denna lag innehåller bestäm- melser som kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Personuppgifter får behandlas i databasen om det behövs i den utfärdande myndighetens verksamhet för utfärdande av identitetskort. enligt första stycket får också enligt första stycket får också behandlas om det behövs för att behandlas om det behövs för att sker i överensstämmelse med lag sker i överensstämmelse med lag I övrigt gäller 9 § 13 §Känsliga personuppgifter som Personuppgifter som avses i anges i 13 § personuppgiftslagen artikel 9.1 i EU:s dataskydds- (1998:204) får behandlas i en förordning (känsliga person- handling som har lämnats i ett uppgifter) får behandlas i en ärende. Sådana uppgifter får handling som har lämnats i ett behandlas även i en handling som ärende. Sådana uppgifter får har upprättats i ett ärende, om de behandlas även i en handling som är nödvändiga för ärendets hand- har upprättats i ett ärende, om de läggning. är nödvändiga för ärendetshandläggning.17 §Ansiktsbilden enligt 2 § 1 och 14 § får inte användas vid sökning med hjälp av automatiserad behandling.Känsliga personuppgifter som Känsliga personuppgifter som avses i 13 § och uppgifter om avses i 13 § och uppgifter om lagöverträdelser som avses i 21 § lagöverträdelser som innefattar personuppgiftslagen (1998:204) brott, domar i brottmål, straff- får inte användas som sökbegrepp. processuella tvångsmedel elleradministrativa frihetsberövanden får inte användas som sökbegrepp.Rätten att göra invändningar18 §Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.Denna lag träder i kraft den 25 maj 2018.första stycket d och andra stycket personuppgiftslagen (1998:204).får behandlas även för andra Prop. 2017/18:95 ändamål, under förutsättning attuppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Ärendet och dess beredning I en promemoria (dnr Fi/2017/02899/S3) som remitterades 2017 har lämnat förslag till anpassade regler om personuppgiftsbehandling inom skatt, tull och exekution med anledning förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförord- ning), här kallad EU:s dataskyddsförordning. ska börja tillämpas . De lagar som det föreslås ändringar i är s.k. registerförfattningar, dvs. författningar om behandling av person- uppgifter, som reglerar , och Kronofogdemyn- dighetens behandling av personuppgifter i deras olika verksamheter. Promemorians lagförslag finns i bilaga 1. behandlats och en förteckning av remissinstanserna finns i bilaga 2. Fi/2017/02899/S3). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 3. Lagrådets yttrande finns i bilaga 4. Lagrådet har lämnat förslagen utan erinran. I förhållande till lagråds- remissen har vissa smärre ändringar av redaktionell och språklig karaktär gjorts i lagtexten. Den allmänna regleringen om behandling av personuppgifter inom EU dag i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter, här kallat dataskyddsdirektiv. till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av person- uppgifter mellan medlemsstaterna i EU. genomförts i svensk rätt genom personuppgiftslagen (1998:204), förkor- tad PUL, som är generellt tillämplig vid behandling av personuppgifter. Därtill finns ett antal sektorsspecifika författningar som reglerar behand- ling av personuppgifter hos framför allt myndigheter, registerförfatt- lade Europeiska kommissionen fram ett förslag till en refor- merad dataskyddsreglering i EU. Förslaget avsåg dels en förordning med allmänna EU-regler om skydd av personuppgifter som skulle ersätta dataskyddsdirektiv, dels ett direktiv med regler om skydd av Prop. 2017/18:95 personuppgifter som behandlas i samband med förebyggande, utredning, avslöjande eller lagföring av brott och därmed förbunden rättslig verksamhet. antogs EU:s dataskyddsförordning. Den är en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta dataskyddsdirektiv när den börjar tillämpas . Enligt artikel 288 andra stycket i fördraget om Europe- iska unionens funktionssätt ska en EU-förordning ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat. Till skillnad från EU-direktiv ska alltså förordningar inte genomföras i nationell rätt. Även om dataskyddsförordningen, till skillnad års dataskyddsdirektiv, är direkt tillämplig innehåller den många bestäm- melser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Förordningen har därmed i vissa delar en direktivliknande karaktär. med dataskyddsförordningen antogs ett nytt dataskydds- direktiv med bestämmelser om behandling av personuppgifter inom den brottsbekämpande sektorn, och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller verkställa straffrättsliga på- följder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, här kallat det nya dataskyddsdirektivet. Sådan behandling som omfattas av det nya dataskyddsdirektivet är undantagen från dataskyddsförordningens tillämpningsområde. 4.2Författningsarbete med anledning av dataskyddsreformen En utredning har föreslagit de anpassningar och kompletterande författ- ningsändringar på generell nivå som EU:s dataskyddsförordning ger anledning till för svenskt vidkommande, (Ju 2016:04, dir. 2016:15). Utredningen lämnade sitt betänkande Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). I betänkandet föreslås bl.a. att personuppgiftslagen ska upphävas och att det ska införas en lag med kompletterande bestämmelser till EU:s dataskyddsförordning, här kallad dataskyddslagen. I propositionen Ny dataskyddslag (prop. 2017/18:105) följer regeringen huvudsakligen betänkandets lagförslag. arbete och betänkande har inte omfattat en översyn eller förslag till förändringar av sådan sektorsspecifik reglering om behandling av personuppgifter som finns bl.a. i de särskilda register- författningarna för myndigheter eller i andra författningar som rör sektorsspecifik behandling av personuppgifter. Arbetet med att anpassa sådan reglering till den nya förordningen har i stället utförts på andra sätt. Ett antal utredningar har sett över behovet av författningsändringar med avseende på vissa specifika sektorer. På vissa områden har översyns- arbetet bedrivits inom . 2017/18:95 En utredning tillsattes även för att genomföra det nya dataskydds- direktivet (Utredningen om 2016 års dataskyddsdirektiv, Ju 2016:06). Utredningen lämnade delbetänkande och slutbetänkande . Förslagen bereds inom . Det kan också nämnas att även Utredningen om tillsynen över den personliga integriteten har lämnat förslag på anpassningar med anledning av dataskyddsreformen i betänkandet Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65). Det föreslås bl.a. att Data- inspektionen ska utses till svensk nationell tillsynsmyndighet enligt dataskyddsförordningen och det nya dataskyddsdirektivet. Betänkandet bereds inom . 4.3Översynen som ligger till grund för denna proposition På skatte- och tullavdelningen vid har det gjorts en översyn av vilka ändringar i avdelningens författningar som föranleds av EU:s dataskyddsförordning. De författningar som berörs av översynen rör i huvudsak behandling av personuppgifter hos , Tull- verket och , dock inte personuppgiftsbehandling vid brottsbekämpande verksamhet. Översynen ledde till den promemoria som har remitterats (dnr Fi/2017/02899/S3) och som ligger till grund för denna proposition. I propositionen lämnas förslag till de lagändringar som bedöms nödvändiga eller lämpliga. Vissa överväganden som har gjorts, men som inte har lett till författningsförslag, redovisas också. Som framgår ovan medför även det nya dataskyddsdirektivet att författningar ses över. Utredningen om 2016 års dataskyddsdirektiv har haft i uppdrag att föreslå de ändringar som behövs för att anpassa vissa centrala författningar om rättsväsendets personuppgiftsbehandling till direktivets förpliktelser. Skattebrottsdatalagen (2017:452) och tullbrotts- datalagen (2017:447) är exempel på sådana författningar. Trots att de avser och personuppgiftsbehandling omfattas dessa författningar därför inte av den översyn som ligger till grund för denna proposition. Vissa författningar berör både sådan behandling som omfattas av dataskyddsförordningen och det nya dataskyddsdirektivet. Av den anledningen behandlas i denna proposition vissa frågor som har koppling till direktivet. I det följande redogörs kort för den centrala nu gällande EU-rättsakt som dataskyddsförordningen ersätter, nämligen dataskyddsdirektiv, och för personuppgiftslagen som tillsammans med ett stort antal registerförfattningar har genomfört dataskyddsdirektiv. skyddsutredningens betänkande finns en närmare redogörelse av interna- Prop. 2017/18:95 tionell och svensk rätt på dataskyddsområdet (SOU 2017:39 avsnitt 3). dataskyddsdirektiv syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Enligt direktivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligt angivna vid tiden för insam- ling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen. dataskyddsdirektiv gäller inte för behandling av person- uppgifter på områden som faller utanför gemenskapsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Direktivet har genomförts i svensk rätt huvudsakligen genom person- uppgiftslagen. Bestämmelserna i personuppgiftslagen har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. De följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om personupp- giftsansvar, grundläggande krav för behandling av personuppgifter, information till den registrerade, skadestånd och straff. Personuppgiftslagen är tillämplig även utanför område och gäller både för myndigheter och enskilda som behandlar personuppgifter. Personuppgiftslagen är subsidiär, vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Det finns en stor mängd sådana bestäm- melser i sektorsspecifika författningar som främst reglerar hur olika myndigheter får behandla personuppgifter, se t.ex. i avsnittet nedan. Personuppgiftslagen kompletteras också av bestämmelser i person- uppgiftsförordningen (1998:1191) som bl.a. anger Datainspektionen som tillsynsmyndighet. 5.2Registerförfattningar på skatte- och tullavdelningens område Skatte- och tullavdelningen vid ansvarar för myn- digheterna , och . För var och en av dessa myndigheter finns registerförfattningar. Inom , och förekom- mer också viss personuppgiftsbehandling som inte omfattas av de särskilda registerförfattningarna. Sådan behandling sker med stöd av den generella regleringen i personuppgiftslagen.