prop · H503142 · 2018-03-13 00:00:00 — Tystnadsplikten enligt 4 kap. 14 § försäkringsrörelselagen kan sägas utgöra ett skydd för försäkringstagarens rätt att hålla sådana dispositioner som avses i bestämmelsen hemliga för förmånstagaren, vilken aktuali- serar begränsningsbestämmelsen i artikel 23.1 i i dataskyddsförordningen om skydd för den registrerades eller andras rättigheter och friheter. Denna bestämmelse i försäkringsrörelselagen bedöms liksom de ovan nämnda bestämmelserna i övrigt vara förenlig med dataskyddsförord- ningen. Hänvisningen till PUL bör emellertid ersättas med en hänvisning till dataskyddsförordningen. I artikel 12 b i dataskyddsdirektivet stadgas en rätt till rättelse för den registrerade. I artikel 13.1 finns regler om undantag från denna rättighet. Artikel 6.1 d i direktivet innehåller därtill en skyldighet för medlems- staterna att föreskriva att personuppgifter ska vara riktiga och om nöd- vändigt aktuella, samt en skyldighet att vidta alla rimliga åtgärder för att säkerställa att personuppgifter som är felaktiga eller ofullständiga rättas – vad som kallas kravet på korrekthet – som i dataskyddsförordningen motsvaras av artikel 5.1 d, se nedan. Nuvarande bestämmelser i registerförfattningar som utgör undantag från de rättigheter och skyldigheter som föreskrivs i PUL, däribland rätten till rättelse, har ofta sin grund i artikel 13.1 i dataskyddsdirektivet (SOU 2017:39 s. 201). I dataskyddsförordningen finns motsvarigheten till den artikeln i artikel 23, se nedan. Enligt 28 § PUL är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana person- uppgifter som inte har behandlats i enlighet med PUL eller föreskrifter som har utfärdats med stöd av PUL. Rubriken närmast före paragrafen lyder ”Rättelse”. Med detta menas rättelse i den vidare bemärkelsen korrigering, som alltså kan ske genom de alternativa metoderna rättelse, blockering och utplåning. Det är den som ska göra korrigeringen, dvs. den personuppgiftsansvarige, som ska välja mellan alternativen (se prop. 1997/98:44 s. 86). Av någon annan lag, eller av sakens natur, kan det dock följa att vissa korrigeringsmetoder inte kan användas i vissa fall, t.ex. när det gäller korrigering av personuppgifter i bokföring. myndighet får inte heller utplåna uppgifter i en allmän handling, om det 2017/18:142 skulle strida mot andra bestämmelser. Av 28 § PUL framgår därutöver att den personuppgiftsansvarige i vissa fall ska underrätta en tredje man, till vilken uppgifterna har lämnats ut, om korrigeringsåtgärden. Paragrafen gäller bara när personuppgifter har behandlats i strid med PUL (eller föreskrifter som utfärdats med stöd av den lagen). Detta innebär bl.a. att korrigering enligt 28 § PUL inte kan ske vid över- trädelser av sektorsspecifika bestämmelser om behandling av person- uppgifter. I den mån de sektorsspecifika bestämmelserna reglerar frågan om rättelse innehåller de därför särskilda bestämmelser om rättelse eller hänvisningar till andra bestämmelser om rättelse. På finansmarknadsområdet finns det flera författningar som hänvisar till PUL:s bestämmelse om rättelse. När det gäller lagar finns sådan hän- visning i 6 kap. 8 § lagen (2010:751) om betaltjänster och 5 kap. 10 § penningtvättslagen. Bestämmelsen om rättelse i kontoföringslagen I kontoföringslagen finns en särskild bestämmelse om rättelse, enligt vilken en registrering på avstämningskonto ska rättas, om den innehåller någon uppenbar oriktighet till följd av att den som vidtagit registrerings- åtgärden eller någon annan har gjort sig skyldig till skrivfel, räknefel eller liknande förbiseende eller till följd av något tekniskt fel (5 kap. 4 §). Den vars rätt berörs ska ges möjlighet att yttra sig, om inte rättelsen är till förmån för denne eller yttrande annars är uppenbart obehövligt. Enligt artikel 16 i dataskyddsförordningen har den registrerade rätt att utan onödigt dröjsmål få felaktiga personuppgifter rättade av den person- uppgiftsansvarige. Med beaktande av ändamålet med behandlingen, ska den registrerade vidare ha rätt att komplettera ofullständiga personupp- gifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande. Enligt artikel 5.1 d gäller därutöver som princip för behandling av personuppgifter att de ska vara korrekta och om möjligt uppdaterade och att alla rimliga åtgärder måste vidtas för att säkerställa att person- uppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Av artikel 23 i dataskyddsförordningen följer att rätten till rättelse kan begränsas i unionsrätten eller medlemsstaternas nationella rätt, om en sådan begränsning sker med respekt för andemeningen i de grund- läggande fri- och rättigheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att säkerställa vissa i artikeln angivna syften. Ett sådant syfte är andra av unionens eller en medlems- stats viktiga mål av generellt allmänt intresse (artikel 23.1 e). Ett annat är skydd av den registrerade eller andras rättigheter och friheter (artikel 23.1 i). Sådana begränsande lagstiftningsåtgärder ska emellertid åtmin- stone, när så är relevant, uppfylla vissa krav, som anges i artikel 23.2. Anpassningar av bestämmelser om rättelse Regeringens bedömning: Den särskilda bestämmelsen om rättelse i kontoföringslagen bör behållas. Regeringens förslag: Bestämmelser i lagarna på finansmarknads- området med hänvisningar till bestämmelsen om rättelse i person- uppgiftslagen ska tas bort. I bestämmelsen om rättelse i kontoförings- lagen ska det tas in en upplysning om att den bestämmelsen gäller i stället för bestämmelsen om rättelse i artikel 16 i EU:s dataskydds- förordning. Promemorians bedömning och förslag överensstämmer delvis med regeringens bedömning och förslag. I promemorian föreslås inte något tillägg av en upplysning i bestämmelsen om rättelse i kontoföringslagen. Remissinstanserna: Flertalet remissinstanser tillstyrker bedömningen och förslaget eller har inget att invända mot dem. Datainspektionen och efterfrågar ett förtydligande av behovet och proportionali- teten i begränsningen av rätten till rättelse. Datainspektionen efterfrågar vidare generella förtydliganden av på vilket sätt den begränsning som föreslås är förenlig med artikel 23.2 i dataskyddsförordningen. Om begränsningen av rätten till rättelse ska kvarstå anser Datainspektionen att det i lagtext bör förtydligas att den utgör en begränsning av rätten till rättelse enligt dataskyddsförordningen. avstyrker att begränsningen av rätten till rättelse ska kvarstå. Skälen för regeringens bedömning och förslag Hänvisningar till personuppgiftslagen bör tas bort De bestämmelser i lagarna på finansmarknadsområdet i vilka det anges att bestämmelsen om rättelse i PUL ska tillämpas vid behandling av personuppgifter enligt lagen i fråga måste ändras, eftersom PUL kommer att upphävas. Hänvisningen till PUL är nödvändig för att rättelse- bestämmelsen i PUL ska kunna tillämpas i de fall behandlingen av personuppgifter sker enligt bestämmelserna i de lagarna. Någon hänvis- ning till dataskyddsförordningen är inte nödvändig i lagarna på finans- marknadsområdet, eftersom förordningen är direkt tillämplig på behand- ling av personuppgifter som sker inom ramen för dessa lagar. Det är därför tillräckligt att hänvisningarna till bestämmelsen om rättelse i PUL tas bort. Bestämmelsen i kontoföringslagen om rätten till rättelse bör behållas Bestämmelserna om registreringsåtgärder i kontoföringslagen, inbegripet bestämmelsen om rättelse i 5 kap. 4 §, har överförts i stort sett oförändrade från den numera upphävda aktiekontolagen (1989:827). Rättelsebestämmelsen i aktiekontolagen hade i sin tur förebild i bl.a. 4 kap. 22 § lagen (1984:649) om företagshypotek och 26 § förvaltnings- lagen (1986:223) (se prop. 1988/89:152 s. 106) och t.ex. regleringen av fastighetsregister (jfr NJA II 1984 s. 365). Rättelse enligt kontoförings- lagen förutsätter att oriktigheten är uppenbar till följd av att den som vid- tagit registreringsåtgärden eller någon annan har gjort sig skyldig till 2017/18:142 skrivfel, räknefel eller Regeringen konstaterar att bestämmelserna i dataskyddsförordningen om rättelse motiveras av integritetsskäl. I förhållande till registrering på avstämningskonto måste dessa skäl vägas mot att sådan registrering är förenad med flera viktiga rättsverkningar. bl.a. en presumtion om äganderätt för den som är antecknad som ägare till det finansiella instrumentet, tidpunkt för överlåtelses rättsverkan mot tredje man och behörighet att ta emot betalning (se 6 kap. kontoförings- ger även insynsrätt för varje registrerad vars rätt berörs av kontots innehåll (8 kap. 1 §), samt i viss mån åt allmän- heten (13 kap. 3 §). Det är därför av mycket stor vikt att uppgifterna i registret är tillförlitliga och att en ändring av uppgifter i registret måste ske på ett sätt som är förenligt med dess grundläggande funktion. Liknande överväganden ligger bakom de bestämmelser som har utgjort förebild för rättelsebestämmelsen i kontoföringslagen. typ av särskilda rättelsebestämmelser är alltså, primärt, att skydda (jfr prop. s. 120 f. och 2000/01:88 s. 51). Begränsning av rätten till rättelse till sådana fall där oriktigheten är uppenbar och beror på vissa orsaker bygger på att ändringar i registrets innehåll som avser uppgifter som inte är uppenbart oriktiga ska kunna göras enbart efter en mer ingående rättslig prövning. har bedömts nödvändig för att skydda enskildas ägarintressen, eller intressen av annat slag, som utgår från uppgifter i registret (jfr prop. 2017/18:111 s. 44–46). Nuvarande bestämmelse i kontoföringslagen om rättelse bör ge utrymme för att ändra de uppgifter som inte förutsätter en mer ingående prövning. Det har heller inte framkommit något som tyder på att den kan leda till att uppgifter förblir oriktiga på ett sätt som kan sägas vara problematiskt av hänsyn till de registrerades integritet. Datainspektionen och efterfrågar förtydligande av be- hovet och proportionaliteten av begränsningen i bestämmelsen i konto- föringslagen om rättelse. Regeringen anser mot bakgrund av det anförda att den särskilda bestämmelsen om rättelse utgör en nödvändig och pro- portionell begränsning av rätten till rättelse enligt dataskyddsförord- Datainspektionen efterfrågar även förtydligande av på vilket sätt begränsningen är förenlig med kraven i artikel 23.2 i förordningen. hänsyn till att kontoföringslagen innehåller relevanta bestämmelser bl.a. om ändamålen med behandlingen och specificering av personuppgifts- ansvarig, får begränsningen anses förenlig med dessa krav. sätter bestämmelsen i kontoföringslagen som utgångspunkt att kommu- nikation sker inför rättelsen, medan dataskyddsförordningen kräver att rättelse sker utan onödigt dröjsmål. Med hänsyn till att införande i det nu aktuella registret är förenat med viktiga rättsverkningar, bedöms att kommunikation som föregår rättelsen enligt bestämmelsen medför ett Bestämmelsen om kommunikation bedöms därför förenlig med dataskyddsförordningen. Regeringen bedömer därför, till skillnad från , att bestämmelsen i kontoföringslagen om rättelse bör kvarstå. Regeringen instämmer med Datainspektionen att det finns skäl att göra ett tillägg i kontoföringslagen med en upplysning om att bestämmelsen om rättelse i den lagen gäller i stället för bestämmelsen om rättelse i Prop. 2017/18:142 artikel 16 i dataskyddsförordningen. Rätten till komplettering omfattas av rätten till rättelse Rätten till rättelse enligt dataskyddsförordningen omfattar även rätten till komplettering av ofullständiga uppgifter. Komplettering av ofullständiga uppgifter enligt den ovan nämnda bestämmelsen i kontoföringslagen får anses kunna ske under samma förutsättningar som rättelse av direkta felaktigheter, dvs. i den mån ofullständigheten är uppenbar och beror på förbiseende (jfr JO 1990/91 s. 135). Rätten till komplettering enligt artikel 16 i dataskyddsförordningen föranleder därför inte några särskilda författningsändringar. Regeringens bedömning: Rätten till radering av personuppgifter enligt EU:s dataskyddsförordning kräver inte några lagändringar på finansmarknadsområdet. Promemorians bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna tillstyrker bedömningen eller har inget att invända mot den. Skälen för regeringens bedömning: Rätten till radering eller, som den också kallas, rätten att bli bortglömd, finns i artikel 17 i dataskydds- förordningen. Den ersätter rätten till utplåning i artikel 12 b i dataskydds- direktivet, som i svensk rätt har genomförts genom 28 § PUL, tillsam- mans med rätten till rättelse och blockering (se avsnitt 7.3.1). Rätten till utplåning finns inte uttryckligen i de författningar på finansmarknads- området enligt vilka bestämmelserna om rättelse i förvaltningslagen eller särskilda bestämmelser om rättelse gäller i stället för 28 § PUL. Artikel 17 i dataskyddsförordningen är, liksom övriga artiklar i förord- ningen som behandlar den registrerades rättigheter, direkt tillämplig. Rätten till radering enligt artikeln kommer emellertid att få mycket begränsad betydelse för den behandling av personuppgifter som sker inom finansmarknadsområdet. Enligt artikel 17.3 b i dataskyddsförord- ningen gäller nämligen inte rätten till radering om behandling av de aktuella personuppgifterna är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt, utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Så är det regelmässigt för behandling av personuppgifter som sker med stöd av författningar på finansmark- nadsområdet, eftersom den behandlingen sker med stöd av artikel 6.1 c eller e i dataskyddsförordningen (se avsnitt 5.1). Sammanfattningsvis föranleder rätten till radering enligt artikel 17 i dataskyddsförordningen därför inte några författningsändringar på finansmarknadsområdet. Rätten till begränsning av behandling Regeringens bedömning: Rätten till begränsning av behandling av personuppgifter enligt EU:s dataskyddsförordning kräver inte några lagändringar på finansmarknadsområdet. Promemorians bedömning överensstämmer med regeringens bedöm- Remissinstanserna tillstyrker bedömningen eller har inget att invända Skälen för regeringens bedömning: Enligt artikel 18 i dataskydds- förordningen har den registrerade rätt att under vissa förutsättningar kräva att behandlingen av personuppgifter begränsas. avses dels åtgärd i form av markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa (artikel 4.3 i förord- ningen), dels, när det gäller denna framtida hantering, att sådana person- uppgifter med undantag för lagring, endast behandlas med den registre- rades samtycke eller för att fastställa, göra gällande eller försvara rätts- liga anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt allmänintresse för unionen eller för en medlemsstat (artikel 18.2). Rätten till begränsning ersätter den åtgärd som i artikel 12 b i data- skyddsdirektivet benämns som blockering och som i svensk rätt har genomförts genom 28 § PUL, tillsammans med rätten till rättelse och radering (se avsnitt 7.3.1). I kontoföringslagen finns en särskild bestämmelse om rättelse som gäller i stället för 28 § PUL (se avsnitt 7.3). I den bestämmelsen i konto- föringslagen finns det inte någon uttrycklig rätt till blockering. Artikel 18 i dataskyddsförordningen är, liksom övriga artiklar i förord- ningen som behandlar den registrerades rättigheter, direkt tillämplig. Enligt dataskyddsförordningen (artikel 18.1 a–c) får begränsning av behandling av personuppgifter bl.a. ske – som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta, om den registrerade bestrider personuppgifternas korrekthet, – om behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras – om den personuppgiftsansvarige inte längre behöver personuppgift- erna för ändamålen med behandlingen men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk. I kontoföringslagen, där det med hänsyn till avstämningsregisters vikt bör finnas en inskränkning av den rätt till rättelse som annars gäller enligt artikel 16 i dataskyddsförordningen (se avsnitt 7.3.3), finns det inte något behov av att även inskränka rätten till begränsning av behandling De ovan redovisade förutsättningarna för begräns- ning av behandling av personuppgifter som anges i förordningen framstår som proportionerliga i förhållande till ett avstämningsregisters funktion. När det gäller möjlighet till begränsning som den person- uppgiftsansvarige behöver för att kontrollera korrektheten hos person- uppgifter när den registrerade bestritt denna, måste det enligt regeringens uppfattning avse sådan tid som behövs för en kontroll enligt den sär- Prop. 2017/18:142 skilda bestämmelse i kontoföringslagen om rättelse som enligt förslaget i denna proposition ska gälla även i fortsättningen. Därtill kommer att om behandlingen har begränsats med anledning av att någon av nu nämnda förutsättningar är uppfyllda, får sådana person- uppgifter enligt artikel 18.2 i förordningen dock behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller försvara ett rättsligt anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör något viktigt allmänintresse för unionen eller en medlemsstat. De beaktansvärda intressen som kan finnas emot begränsning av behandling av personuppgifter i ett avstämningsregister är i förevarande fall således tillgodosedda genom de direkt tillämpliga bestämmelserna i artikel 18 i dataskyddsförordningen. Rätten till begränsning enligt artikel 18 i förordningen föranleder därför inte någon lagändring på finansmarknadsområdet. Regeringens bedömning: Rätten till dataportabilitet enligt EU:s data- skyddsförordning kräver inte några lagändringar på finansmarknads- området. Promemorians bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna tillstyrker bedömningen eller har inget att invända mot den. Skälen för regeringens bedömning: Dataportabilitet innebär att upp- gifter flyttas från ett nätverk till ett annat. Den registrerade har rätt till dataportabilitet enligt artikel 20 i dataskyddsförordningen. Rätten förut- sätter att behandlingen grundar sig på samtycke eller avtal. Behandling av personuppgifter som regleras i författningarna på finansmarknads- området sker emellertid regelmässigt på andra rättsliga grunder (se avsnitt 5.1). Rätten till dataportabilitet enligt artikel 20 i förordningen föranleder därför inte några författningsändringar på detta område. Det ska ändå påpekas att artikeln är direkt tillämplig och kan få betydelse när behandlingen av personuppgifter sker med stöd av samtycke eller avtal. Regeringens bedömning: Rätten till invändningar mot behandling av personuppgifter enligt EU:s dataskyddsförordning kräver inte några lagändringar på finansmarknadsområdet. Promemorians bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna tillstyrker bedömningen eller har inget att invända mot den. Skälen för regeringens bedömning Rätten till invändningar regleras i artikel 14 i dataskyddsdirektivet, som i svensk rätt har genomförts genom 11 och 12 §§ PUL. Enligt 11 § PUL får personuppgifter inte behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgifts- ansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Enligt 12 § PUL har den registrerade vidare rätt att när som helst åter- kalla sitt samtycke till behandlingen av personuppgifter. Ytterligare personuppgifter får därefter inte behandlas, om samtycket är en nöd- vändig förutsättning för behandlingen. Rätten gäller dock endast sam- tycke enligt 10 § (samtycke för att behandlingen överhuvudtaget ska vara tillåten), enligt 15 § (samtycke till behandling av känsliga personupp- gifter) och enligt 34 § (samtycke till överföring av personuppgifter till tredjeland). Fortsatt behandling av redan insamlade personuppgifter får dessutom ske under förutsättning att övriga krav på behandlingen följs. Av 12 § andra stycket PUL följer att en registrerad, utöver det som följer av 12 § första stycket och 11 §, inte har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt PUL. Möjligheterna för den registrerade att motsätta sig behandling är alltså begränsade enligt PUL. Enligt artikel 21 i dataskyddsförordningen har den registrerade rätt att, under vissa förutsättningar, invända mot den personuppgiftsansvariges behandling av personuppgifter. För personuppgifter som behandlas för att utföra en uppgift av allmänt intresse, som ett led i myndighetsutövning eller efter en intresseavväg- ning (dvs. behandling enligt artikel 6.1 första stycket e eller f i data- skyddsförordningen) får en invändning göras när som helst. Görs en invändning, får den personuppgiftsansvarige fortsätta att behandla personuppgifterna bara om han eller hon kan påvisa ”tvingande berättigade skäl (”compelling legitimate grounds” i den engelska språk- versionen) som väger tyngre än den registrerades intressen, rättigheter och friheter, eller om behandlingen sker för fastställande, utövande eller försvar av rättsliga anspråk. För personuppgifter som behandlas för direkt marknadsföring får en invändning också göras när som helst. Görs en invändning, får person- uppgifterna inte längre behandlas för sådana ändamål. Någon intresse- avvägning ska alltså inte göras i de fallen. För personuppgifter som behandlas för vetenskapliga och historiska forskningsändamål eller statistiska ändamål gäller rätten till invänd- ningar, om behandlingen inte är nödvändig för att utföra en uppgift av allmänt intresse. Artikel 21 i dataskyddsförordningen är direkt tillämplig men tillämp- ningsområdet kan begränsas i enlighet med artikel 23. På finansmarknadsområdet finns ett flertal register som förs av hänsyn till viktiga allmänintressen. För att dessa register ska kunna fortsätta att föras och fylla sina syften kan rätten till invändningar inte gälla för dem. Eftersom de registerförande aktörerna är skyldiga att föra dessa register och förteckningar, vilka ska ha ett visst innehåll, utför de nödvändig behandling av personuppgifter för att fullgöra en rättslig förpliktelse. Det rör sig alltså om behandling enligt artikel 6.1 första stycket c i data- skyddsförordningen. I de fallen gäller inte rätten till invändningar. Artikel 21 i dataskyddsförordningen föranleder därför inte några författ- ningsändringar på finansmarknadsområdet. 7.8Rätten att motsätta sig automatiserat individuellt beslutsfattande Regeringens bedömning: Rätten att motsätta sig automatiskt individuellt beslutsfattande enligt EU:s dataskyddsförordning kräver inte några lagändringar på finansmarknadsområdet. Promemorians bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna tillstyrker bedömningen eller har inget att invända mot den. Skälen för regeringens bedömning: Enligt artikel 22 i dataskydds- förordningen har den registrerade i vissa fall en rätt att motsätta sig beslut som grundas enbart på automatiserad behandling, inbegripet profilering, om beslutet har rättsliga följder för den registrerade eller på liknande sätt i betydande grad påverkar denne. Det är fråga om att den enskilde inte ska behöva tåla att sådana viktiga beslut fattas utan mänsk- lig inblandning. Med profilering avses automatisk behandling av person- uppgifter för att bedöma vissa personliga egenskaper hos en fysisk person (artikel 4.4 i dataskyddsförordningen). Rätten att motsätta sig automatiskt individuellt beslutsfattande finns även i artikel 15 i dataskyddsdirektivet, som i svensk rätt har genomförts genom 29 § PUL.