prop · H503105 · 2018-02-20 00:00:00 — Det kommer också att krävas ökade resurser till utbildningsinsatser och eventuellt nyrekryteringar till tjänster som dataskyddsombud. Å andra sidan bedömde , i sin konsekvensbedömning av förslaget till dataskyddsförordning, att reformen kommer att stärka den inre marknaden och enbart vad gäller administrativa bördor göra det möjligt för företagen att sammanlagt spara ca (SEK[2012] 73 final). Oaktat hur det förhåller sig med detta kan regeringen konstatera att konsekvenserna av dataskyddsförordningens direkt tillämpliga bestämmelser inte påverkar behovet, lämpligheten och konsekvenserna av de förslag som lämnas i detta lagstiftningsärende. Dessa konsekvenser redovisas därför inte här. Av relevans för analysen är vidare endast sådana förslag som medför förändringar för företag och andra enskilda organ, i relation till vad som gäller . De förslag som lämnas i detta lagstiftningsärende medför inga sådana förändringar. Om dataskyddsförordningens direkt tillämpliga bestämmelser leder till en ökad benägenhet att efterleva regelverket som helhet är det givetvis positivt. De eventuella kostnadsökningar som detta medför kan dock inte beaktas, eftersom utgångspunkten måste vara att samtliga aktörer redan följer gällande rätt. Mot denna bakgrund kan regeringen, i likhet med , inte se att förslagen i detta lagstiftningsärende leder till några kostnadsökningar eller någon ökad administrativ börda för enskilda. 2017/18:105 19.3 Regeringens bedömning: Förslagen förväntas förbättra skyddet för enskildas personliga integritet. De förväntas inte få några andra konsekvenser. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna kommenterar inte utredningens bedömning i Skälen för regeringens bedömning: Förslagen innebär bl.a. att det införs särskilda bestämmelser om myndigheternas behandling av känsliga personuppgifter. Avsikten med förslagen i denna del är inte att utvidga möjligheterna till behandling i relation till vad som gäller , utan att i stort sett möjliggöra behandling i motsvarande utsträckning som enligt personuppgiftslagen och personuppgiftsförordningen. Det föreslås dock också ett förbud för myndigheter som behandlar uppgifter med stöd av dessa bestämmelser att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Sökbegräns- ningen saknar motsvarighet . Regeringen bedömer att det förslaget gynnar enskildas personliga integritet. Dataskyddsförordningens bestämmelser innebär en förstärkning av enskildas rätt till information och tillgång till personuppgifter jämfört med motsvarande reglering i personuppgiftslagen. De undantag regeringen föreslår från förordningens bestämmelser i detta avseende motsvarar de befintliga undantagen i personuppgiftslagen, trots att mer långtgående undantag i och för sig hade varit möjliga. Regeringen bedömer därför att regleringen sammantaget innebär en förstärkning av skyddet för enskildas personliga integritet. Vidare bör den föreslagna möjligheten att besluta om sanktionsavgifter mot myndigheter när det gäller felaktig behandling av enskildas personuppgifter öka skyddet för enskildas personliga integritet. Den föreslagna tystnadsplikten för dataskyddsombud innebär slutligen också ett stärkt skydd för den personliga integriteten. Förslagen kommer att gälla även för personuppgiftsbehandling som sker hos kommuner och landsting, men får inte några särskilda konsekvenser för dessa organ eller för den kommunala självstyrelsen. Författningsförslagen är könsneutralt utformade och förväntas inte få några konsekvenser för jämställdheten mellan kvinnor och män. 20.1Förslaget till lag med kompletterande bestämmelser till EU:s dataskyddsförordning 1 § Denna lag (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Termer och uttryck i denna lag har samma betydelse som i EU:s dataskydds- Paragrafen, som har utformats i enlighet med Lagrådets förslag, anger Övervägandena finns i avsnitt 5.1. I första stycket anges att lagen innehåller kompletterande bestämmelser Detta innebär att lagen inte kan tillämpas fristående, utan endast tillsammans med dataskyddsförordningen. innehåller de kompletterande bestämmelser som gäller på ett generellt Det finns även sektorsspecifika författningar som innehåller bestämmelser som kommer att komplettera dataskyddsförordningen för vissa myndigheter eller inom vissa områden. Som exempel kan nämnas patientdatalagen, studiestödsdatalagen och utlänningsdatalagen. ningarna i lagen till dataskyddsförordningen är med undantag för 2 § och 6 kap. 2 och 3 §§ dynamiska, dvs. avser förordningen i den vid varje tidpunkt gällande lydelsen. Av andra stycket framgår att de termer och uttryck som används i lagen ska förstås på samma sätt som i dataskyddsförordningen. innebär bl.a. att definitionerna i artikel 4 i dataskyddsförordningen även gäller vid tillämpningen av lagen. Också sådana termer och uttryck som används i dataskyddsförordningen utan att definieras där, ska tolkas och tillämpas på samma sätt när de förekommer i lagen. nämnas uttrycket tredjeland (se kommentaren till 1 kap. 5 §). Utvidgad tillämpning av bestämmelserna i 2 § Bestämmelserna i dataskyddsförordning, i den ursprungliga lydelsen, och denna lag ska gälla även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten och i verksamhet som omfattas av avdelning V kapitel 2 i fördraget om Europeiska unionen. Genom paragrafen, som saknar motsvarighet i personuppgiftslagen, utsträcks det materiella tillämpningsområdet för dataskyddsförord- Rubriken har utformats enligt Lagrådets förslag, medan paragrafens utformning delvis följer förslaget. finns i avsnitt 6.1.1. Av paragrafen framgår att dataskyddsförordningens och lagens bestämmelser ska gälla även vid personuppgiftsbehandling som utförs som ett led i en verksamhet som inte omfattas av unionsrätten och i 2017/18:105 verksamhet som utförs inom ramen för den gemensamma utrikes- och säkerhetspolitiken. Förordningens bestämmelser gäller alltså som svensk rätt även vid personuppgiftsbehandling som utförs i sådan verksamhet som enligt artikel 2.2 a och 2.2 b i dataskyddsförordningen är undantagen från förordningens tillämpningsområde. Verksamhet som inte omfattas av unionsrättens tillämpningsområde är enligt skäl 16 bl.a. verksamhet som rör nationell säkerhet. Som exempel kan nämnas verksamhet på försvarsområdet. Det finns bestämmelser i förordningen som inte kan tillämpas i rent nationella sammanhang. Som exempel kan nämnas bestämmelserna som rör uppförandekoder och certifiering, till den del de avser kommissionens och Europeiska dataskyddsstyrelsens roll (t.ex. artiklarna 40.11 och 42.8). De bestämmelser som ger kommissionen befogenheter i fråga om överföring till tredjeland (artikel 45) är inte tillämpliga och inte heller bestämmelserna som ålägger kommissionen skyldigheter i fråga om uppföljande åtgärder (artiklarna 97 och 98). Vidare är det inte möjligt att genom nationell rätt ålägga tillsynsmyndigheter i andra länder att samarbeta med den svenska tillsynsmyndigheten. Det är inte heller möjligt att ge Europeiska dataskyddsstyrelsen behörighet att t.ex. utfärda riktlinjer och rekommendationer eller att ge kommissionen rätt att anta delegerade akter inom detta område. Kapitel VII och kapitel X i dataskyddsförordningen är därför inte tillämpliga inom det utsträckta tillämpningsområdet. Hänvisningen till dataskyddsförordningen är statisk, dvs. avser den ursprungliga lydelsen av förordningen. 3 § Bestämmelserna i 2 § gäller inte i verksamhet som omfattas av 1.lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst, 2.lagen (2007:259) om behandling av personuppgifter i Försvarets radio- anstalts försvarsunderrättelse- och utvecklingsverksamhet, eller 3.6 kap. polisdatalagen (2010:361). Paragrafen, som saknar motsvarighet i personuppgiftslagen, reglerar undantag från 2 §, som utsträcker dataskyddsförordningens tillämpnings- område. Övervägandena finns i avsnitt 6.1.1. I paragrafen anges att 2 § inte gäller i verksamhet som omfattas av lagen om behandling av personuppgifter i Försvarsmaktens försvars- underrättelseverksamhet och militära säkerhetstjänst, lagen om behand- ling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet eller 6 kap. polisdatalagen. Detta innebär att dataskyddsförordningens och lagens bestämmelser inte gäller i sådan verksamhet. Även i sektorsspecifika författningar som avser verksamhet utanför dataskyddsförordningens egentliga tillämpningsområde kan det före- skrivas undantag från bestämmelsen i 2 §, se 6 §. Det kan i sådana författningar också anges att endast vissa av dataskyddsförordningens bestämmelser inte ska gälla inom just det området. 4 § Artiklarna 33 och 34 i EU:s dataskyddsförordning tillämpas inte i fråga om personuppgiftsincidenter som ska rapporteras enligt säkerhetsskyddslagen (1996:627) eller föreskrifter som har meddelats i anslutning till den lagen. Paragrafen, som saknar motsvarighet i personuppgiftslagen, reglerar Prop. 2017/18:105 undantag från 2 §, som utsträcker dataskyddsförordningens tillämpnings- område, när det gäller vissa personuppgiftsincidenter. Övervägandena finns i avsnitt 6.1.2. Enligt paragrafen ska dataskyddsförordningens bestämmelser i artiklarna 33 och 34 om personuppgiftsincidenter inte tillämpas i fråga om incidenter som ska rapporteras enligt säkerhetsskyddslagen eller föreskrifter som har meddelats i anslutning till den lagen. Detta innebär att sådana incidenter som enligt 10 a § första stycket säkerhetsskydds- förordningen ska anmälas till den myndighet som utövar tillsyn över säkerhetsskyddet, dvs. Försvarsmakten eller Säkerhetspolisen, inte också ska rapporteras till tillsynsmyndigheten enligt dataskyddsförordningen. Vid en sådan incident gäller inte heller skyldigheten enligt dataskydds- förordningen att informera de registrerade. 5 § Denna lag gäller vid behandling av personuppgifter som utförs inom ramen för verksamhet som bedrivs vid personuppgiftsansvarigas eller personuppgifts- biträdens verksamhetsställen i . Lagen gäller även vid behandling av personuppgifter som utförs av personuppgiftsansvariga som inte är etablerade i , men på en plats där svensk rätt gäller enligt folkrätten. Lagen gäller också vid behandling av personuppgifter som utförs av personuppgiftsansvariga eller personuppgiftsbiträden som endast är etablerade i tredjeland, om behandlingen avser registrerade som befinner sig i och har anknytning till 1.utbjudande av varor eller tjänster till sådana registrerade, eller 2.övervakning av deras beteende i . Bestämmelsen i 2 kap. 4 § gäller vid behandling av personuppgifter som avser barn som bor i , oavsett var de personuppgiftsansvariga eller person- uppgiftsbiträdena är etablerade. I paragrafen, som delvis motsvarar 4 § PUL, finns bestämmelser om lagens territoriella tillämpningsområde. Paragrafen och rubriken har utformats enligt Lagrådets förslag. Övervägandena finns i avsnitt 6.2. Huvudregeln i första stycket första meningen anger att lagen gäller vid behandling av personuppgifter som utförs inom ramen för verksamhet som bedrivs vid personuppgiftsansvarigas eller personuppgiftsbiträdens verksamhetsställen i . Det saknar betydelse var den faktiska behandlingen sker. Lagen är däremot, enligt huvudregeln, inte tillämplig vid behandling av personuppgifter som sker endast inom ramen för verksamhet vid ett verksamhetsställe i ett annat land, även om behand- lingen avser uppgifter om personer i och även om den personuppgiftsansvarige också har ett verksamhetsställe i . Med begreppet verksamhetsställe avses detsamma som i dataskyddsförord- ningen (jfr skäl 22). Personuppgiftsansvariga och personuppgiftsbiträden bör således anses ha ett verksamhetsställe i om de bedriver en faktisk och reell verksamhet med hjälp av en stabil struktur här i landet. Det kan t.ex. vara fråga om ett dotterbolag eller en filial, men den rättsliga formen för en sådan struktur bör inte vara en avgörande faktor. Enligt första stycket andra meningen gäller lagen också för personuppgiftsansvariga som inte är etablerade i , men på en plats 2017/18:105 där svensk rätt gäller enligt folkrätten. Med detta begrepp avses detsamma som i dataskyddsförordningen (jfr skäl 25). Det innebär exempelvis att behandling av personuppgifter som sker vid svenska utlandsmyndigheter omfattas av lagens bestämmelser. Genom andra stycket klargörs att lagen under vissa förutsättningar också gäller för personuppgiftsansvariga och personuppgiftsbiträden som endast är etablerade i tredjeland, i den mån dessa behandlar personuppgifter om registrerade som befinner sig i . Med tredje- land avses detsamma som i dataskyddsförordningen. Andra medlems- stater inom EU utgör således inte tredjeländer i lagens mening. För det fall att dataskyddsförordningen införlivas i avtalet om Europeiska ekono- miska samarbetsområdet (EES) kommer inte heller stater som är parter i att utgöra tredjeländer. För att lagen ska vara tillämplig krävs att behandlingen rör antingen utbjudande av varor eller tjänster till sådana registrerade eller övervakning av deras beteende i . Med övervakning av registrerades beteende avses detsamma som i data- skyddsförordningen. Av skäl 24 till förordningen framgår att det, för att avgöra om en viss behandling kan anses övervaka beteendet hos de registrerade, bör fastställas om fysiska personer spåras på internet, i synnerhet om syftet är att fatta beslut rörande dessa personer eller att analysera eller förutsäga deras personliga preferenser, beteende och attityder. Genom tredje stycket görs undantag från etableringslandsprincipen i fråga om bestämmelsen om barns samtycke i 2 kap. 4 §. Den åldersgräns som anges där gäller vid behandling av personuppgifter som avser barn som bor i , oavsett var de personuppgiftsansvariga eller person- uppgiftsbiträdena är etablerade (se kommentaren till 2 kap. 4 §). Avvikande bestämmelser i annan författning 6 § Om en annan lag eller en förordning innehåller någon bestämmelse som avviker från denna lag, tillämpas den bestämmelsen. Paragrafen reglerar lagens förhållande till avvikande bestämmelser i andra författningar. Paragrafen motsvarar 2 § PUL. Övervägandena finns i avsnitt 5.1.3. I paragrafen anges att om en annan lag eller en förordning innehåller någon bestämmelse som avviker från lagen tillämpas den bestämmelsen. Avvikande bestämmelser som finns i en annan lag eller i en förordning ska alltså ha företräde framför lagen. Det kan t.ex. vara bestämmelser som specificerar eller begränsar rätten att behandla känsliga person- uppgifter i en viss verksamhet eller särskilda förfaranderegler. Sådana avvikande bestämmelser som avses i paragrafen finns ofta i författningar som helt eller delvis innehåller bestämmelser om behandling av person- uppgifter hos en viss myndighet, inom en viss sektor eller i ett visst sammanhang. Författningar av detta slag förekommer främst för den offentliga sektorn. Som exempel kan nämnas patientdatalagen, studie- stödsdatalagen och utlänningsdatalagen. Med lag jämställs EU- förordningar. Begränsningen i bestämmelsen till avvikande bestämmelser i lag och Prop. 2017/18:105 förordning innebär att myndighetsföreskrifter inte har företräde framför Bestämmelsen innebär endast en möjlighet att avvika från lagen och inte en möjlighet att införa bestämmelser som avviker från dataskydds- förordningen. Förhållandet till tryck- och yttrandefriheten 7 § EU:s dataskyddsförordning och denna lag ska inte tillämpas i den utsträck- ning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihets- grundlagen. Artiklarna 5–30 och 35–50 i EU:s dataskyddsförordning samt 2–5 kap. denna lag ska inte tillämpas vid behandling av personuppgifter som sker för journa- listiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Paragrafen, som reglerar dataskyddsförordningens och lagens förhållande till tryckfrihetsförordningen och yttrandefrihetsgrundlagen, motsvarar 7 § och 8 § första stycket PUL. Övervägandena finns i avsnitt 7. I paragrafens första stycke anges att dataskyddsförordningen och lagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihets- förordningen eller yttrandefrihetsgrundlagen. Bestämmelsen tydliggör att tryckfrihetsförordningen och yttrandefrihetsgrundlagen har företräde framför dataskyddsförordningens och lagens bestämmelser. I andra stycket, som har sin grund i artikel 85.2 i dataskydds- förordningen, anges att artiklarna 5–30 och 35–50 i dataskyddsförord- ningen och 2–5 kap. i lagen inte ska tillämpas vid behandling av person- uppgifter för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande utanför det grundlagsreglerade området. Bestäm- melsen innebär att endast bestämmelserna om syfte, tillämpningsområde och definitioner (kapitel I), om samarbete med tillsynsmyndigheten och säkerhet för personuppgifter (artiklarna 31–34 i kapitel IV), om oberoende tillsynsmyndigheter (kapitel VI), om samarbete och enhetlig- het (kapitel VII) samt om rättsmedel, ansvar och sanktioner (kapitel VIII) är tillämpliga vid behandling för de nämnda ändamålen. Bestämmelserna om tillsyn, rättsmedel, ansvar och sanktioner är därmed i praktiken tillämpliga enbart såvitt avser tillsyn över eller överträdelser av bestäm- melserna om säkerhet för personuppgifter. 8 § Den som fullgör uppgift som dataskyddsombud enligt artikel 37 i EU:s data- skyddsförordning får inte obehörigen röja det som han eller hon vid fullgörandet av sin uppgift har fått kännedom om. I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400) i stället för första stycket. Paragrafen, som saknar motsvarighet i personuppgiftslagen, reglerar tystnadsplikt för dataskyddsombud. Övervägandena finns i avsnitt 15.2. Paragrafen har sin grund i artikel 38.5 i dataskyddsförordningen. Enligt första stycket gäller tystnadsplikt för det som den som fullgör uppgift som dataskyddsombud får kännedom om vid fullgörandet av sin 2017/18:105 uppgift. Tystnadsplikten är dock begränsad till obehörigt röjande av uppgifter. Det innebär att uppgifter får lämnas ut till exempelvis tillsyns- myndigheten eller annars som en följd av en skyldighet i lag eller annan författning, eftersom ett sådant röjande inte kan anses vara obehörigt. Med tystnadsplikten följer ett straffansvar enligt 20 kap. 3 § . Andra stycket innehåller en erinran om att offentlighets- och sekretess- lagen tillämpas i det allmännas verksamhet. Om ett dataskyddsombud innehar en sådan anställning eller ett sådant uppdrag som avses i 2 kap. 1 § andra stycket OSL och deltar i myndighetens verksamhet, omfattas han eller hon av den sekretess som gäller hos myndigheten. Ett data- skyddsombud som har utnämnts av en myndighet får i allmänhet anses delta i myndighetens verksamhet på ett sådant sätt som förutsätts i den bestämmelsen. Rättslig grund för behandling av personuppgifter 1 § Personuppgifter får behandlas med stöd av artikel 6.1 c i EU:s data- skyddsförordning, om behandlingen är nödvändig för att den personuppgifts- ansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Paragrafen anger förutsättningarna för att en rättslig förpliktelse ska ut- göra rättslig grund för behandling av personuppgifter. Paragrafen saknar motsvarighet i personuppgiftslagen. Övervägandena finns i avsnitt 8.3. Bestämmelsen har sin grund i artikel 6.3 första stycket i dataskydds- förordningen. Enligt artikeln måste en rättslig förpliktelse vara fastställd i enlighet med unionsrätten eller den nationella rätten för att kunna läggas till grund för behandling av personuppgifter. Paragrafen är avsedd att ge vägledning för rättstillämpningen i . I paragrafen tydliggörs att en rättslig förpliktelse utgör rättslig grund för behandling av personuppgifter enligt artikel 6.1 c i dataskyddsförord- ningen, om förpliktelsen följer av lag eller annan författning, av kollek- tivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Förpliktelsen måste alltså vara fastställd i enlighet med gällande rätt, men behöver inte framgå direkt av en författning. Som en följd av den svenska arbetsmarknadsmodellen kan en rättslig förpliktelse även följa av kollektivavtal. Vidare kan en rättslig förpliktelse enligt svensk rätt även följa av t.ex. regeringsbeslut, myndighetsbeslut eller dom. Med lag jämställs EU-förordningar. Vid bedömningen av om något följer av exempelvis en lagbestämmelse kan bl.a. förarbetsuttalanden, bestämmelsens syfte och den rättsliga kontext bestämmelsen befinner sig i behöva beaktas. Det är alltså inte bara lagtextens ordalydelse som är av relevans för att avgöra om något följer av lag. Den rättsliga förpliktelsen behöver inte heller återfinnas direkt i t.ex. en lag eller ett kollektivavtal. Det kan också vara fråga om förpliktelser som även har sin grund i särskilt reglerade avtal, såsom försäkringsavtal. I sådana avtal finns ofta förpliktelser som kan härledas från krav i t.ex. lag eller kollektivavtal och som inte bara gäller mellan Prop. 2017/18:105 avtalsparterna och som förutsätter behandling av personuppgifter. För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 c måste den också vara nödvändig för att fullgöra den rättsliga förpliktelsen. Detta innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig. Behandlingen kan anses nödvändig och därmed tillåten enligt artikel 6, om behandlingen leder till effektivitetsvinster. Att behandlingen skulle kunna ske manuellt, dvs. utan tekniska hjälpmedel, medför därför normalt inte att automatisk behandling inte anses nödvändig. Uppgift av allmänt intresse och myndighetsutövning 2 § Personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskydds- förordning, om behandlingen är nödvändig 1.för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller 2.som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Paragrafen anger förutsättningarna för att en uppgift av allmänt intresse och myndighetsutövning ska utgöra rättslig grund för behandling av Paragrafen saknar motsvarighet i personuppgiftslagen. Övervägandena finns i avsnitt 8.4 och 8.5. Bestämmelsen har sin grund i artikel 6.3 första stycket i data- skyddsförordningen där det anges att en uppgift av allmänt intresse respektive myndighetsutövning måste fastställas i enlighet med unions- rätten eller den nationella rätten för att kunna läggas till grund för behandling av personuppgifter. Paragrafen är avsedd att ge vägledning för rättstillämpningen i . I paragrafen anges att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig. Detta innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig, se kommentaren till 1 §. I punkt 1 tydliggörs att en uppgift av allmänt intresse utgör en rättslig grund för behandling av personuppgifter enligt artikel 6.1 e i dataskydds- förordningen, om uppgiften följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller Det är alltså inte tillräckligt att uppgiften är av allmänt intresse – uppgiften måste också vara fastställd i enlighet med gällande I fråga om vad som kan behöva beaktas vid bedömningen av om en uppgift följer av exempelvis en lagbestämmelse, se kommentaren till 1 §. Detta innebär inte att uppgiften måste framgå direkt av en författning.