prop · H503111 · 2018-02-20 00:00:00 — Dataskyddsförordningen kommer att utgöra den generella rättsliga grunden för personuppgiftsbehandling inom EU. Förordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll men medför även nyheter. Till exempel ökar skyldigheten att informera den re- gistrerade och det införs administrativa sanktionsavgifter. För att förord- ningen ska tillämpas konsekvent i hela EU, inrättas Europeiska data- skyddsstyrelsen som kommer att bestå av representanter för de nationella dataskyddsmyndigheterna. Förordningen ska, i likhet med det som anges i dataskyddsdirektivet, Prop. 2017/18:111 tillämpas på all behandling av personuppgifter, om uppgifterna rör en fysisk person och behandlingen helt eller delvis sker på automatisk väg eller avser personuppgifter som ingår i eller kommer att ingå i ett register. Från tillämpningsområdet görs dock ett antal undantag, bl.a. för behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. Förordningen är direkt tillämplig i medlemsstaterna. Den ger dock ett förhållandevis stort utrymme för särregleringar för sådan personuppgifts- behandling som är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse eller utföra en uppgift av allmänt intresse eller är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.2). 4.2Anpassning av nationell reglering Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204), förkortad PUL. PUL är tillämplig även utanför direktivets tillämpningsområde. Dataskyddsförordningen kommer att tillämpas direkt i . 2017/18:105 lämnas förslag på hur svensk rätt på ett övergripande plan ska anpassas till förordningen, bl.a. genom att PUL upphävs. Det föreslås en lag med kompletterande bestämmelser till EU:s dataskyddsförordning, nedan kallad dataskyddslagen. Det finns på många områden sektorsspecifik dataskyddsreglering. Så är fallet inom de fastighetsrättsliga, associationsrättsliga, transporträttsliga och immaterialrättsliga områdena. Vid införandet av den nuvarande dataskyddsregleringen bedömdes dessa områden omfattas av dataskydds- direktivets tillämpningsområde. Eftersom tillämpningsområdet för den nya dataskyddsregleringen är oförändrat är utgångspunkten för de överväganden som görs i denna proposition att områdena omfattas av dataskyddsförordningens tillämpningsområde. I propositionen föreslås de anpassningar av lagstiftningen inom de aktuella områdena som är nödvändiga att göra med anledning av dataskyddsförordningen. 5 Krav på behandling av personuppgifter Dataskyddsförordningen förutsätter att det finns en rättslig grund för behandling av personuppgifter (artikel 6). En sådan grund är t.ex. om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som den personuppgiftsansvarige har (artikel 6.1 c). En annan är att behand- lingen behövs för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Personuppgifter får också behandlas om det är nödvändigt för ändamål 2017/18:111 som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn (artikel 6.1 f). De rättsliga grunderna för behandling av personuppgifter överens- stämmer i stora drag med artikel 7 i dataskyddsdirektivet och 10 § PUL. En skillnad är dock att vissa grunder för behandlingen ska vara fast- ställda i enlighet med unionsrätten eller nationell rätt. Ett sådant krav gäller behandling som är nödvändig för att fullgöra en rättslig för- pliktelse som den personuppgiftsansvarige har (artikel 6.1 c) och för behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e). Kravet på att den rättsliga grunden ska fastställas avser den verksamhet som bedrivs och inte behandlingen av personuppgifter som sådan (prop. 2017/18:105 s. 49). Det finns även ett krav på att syftet med behandlingen ska vara fastställt i den rättsliga grunden eller vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning. Slutligen måste unionsrätten eller medlemsstaternas nationella rätt uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Utöver kravet på rättslig grund innehåller dataskyddsförordningen vissa grundläggande principer för personuppgiftsbehandling som ska vara uppfyllda, t.ex. i fråga om ändamålsbegränsning, uppgifts- och lagringsminimering samt konfidentialitet (artikel 5). Personuppgifter ska vidare behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Det är den personuppgiftsansvarige som ansvarar för, och ska kunna visa, att de grundläggande principerna följs. 5.2 Dataskyddsförordningens krav på behandling av personuppgifter som rör fällande domar i brottmål och överträdelser I dataskyddsförordningen finns särskilda krav för behandling av person- uppgifter som rör fällande domar i brottmål och överträdelser. personuppgifter får endast behandlas under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättig- heter och friheter fastställts (artikel 10). Artikeln överensstämmer i stora drag med motsvarande bestämmelse i dataskyddsdirektivet (artikel 8.5). har dock ett smalare tillämpningsområde, bl.a. eftersom den inte omfattar personuppgifter som rör brottmålsdomar överlag utan enbart fällande Dessutom är det osäkert om bestämmelserna även framöver ska anses innefatta uppgifter som endast rör misstankar om brott (jämför 2017/18:105 s. 98 och 99). Frågan är ytterst upp till För de bedömningar som görs i denna proposition finns emellertid anledning att utgå från att dataskyddsförordningen inte innebär någon förändring i detta avseende (se avsnitt 5.3). också anledning att utgå från att begreppet överträdelser i dataskydds- förordningen är likvärdigt det snävare uttryck som används i person- Prop. 2017/18:111 uppgiftslagen och i de immaterialrättsliga lagarna, dvs. som innefattar brott (se prop. 2017/18:105 s. 98). Regeringens förslag: I de fastighetsrättsliga, associationsrättsliga och transporträttsliga lagarna ska hänvisningar till personuppgiftslagen tas bort och i vissa fall ersättas med hänvisningar till dataskydds- förordningen. I de immaterialrättsliga lagarna ska hänvisningar till personuppgiftslagen ersättas med hänvisningar till dataskyddslagen eller dataskyddsförordningen. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås att det i bestämmelserna om informations- föreläggande ska anges att både den informationsskyldige och sökanden har en skyldighet att behandla personuppgifter i enlighet med data- skyddsförordningens bestämmelser samt att domstolen i ett beslut om informationsföreläggande ska påminna om detta och om att båda kan vara personuppgiftsansvariga (se promemorian s. 105, 117, 125 och 159). Remissinstanserna: Flertalet remissinstanser lämnar förslagen utan invändning eller avstår från att yttra sig. Datainspektionen efterfrågar, när det gäller den fastighetsrättsliga, associationsrättsliga och transport- rättsliga lagstiftningen, ett tydligare utpekande av de rättsliga grunderna och en analys av om lagstiftningen är proportionell mot det legitima mål som eftersträvas. () och ifrågasätter om det är lämpligt att, i bestämmelserna om informations- föreläggande, ålägga domstolen en informationsskyldighet som varken krävs enligt dataskyddsförordningen eller förekommer på andra liknande områden. Skälen för regeringens förslag Det finns rättsligt stöd för nödvändig personuppgiftsbehandling inom fastighetsrätten, associationsrätten och transporträtten Inom fastighetsrätten och associationsrätten finns ett antal lagar som ger såväl myndigheter som privata aktörer uppgifter och förpliktelser som kräver behandling av personuppgifter. Som exempel kan nämnas Bolags- verkets skyldighet att föra ett aktiebolagsregister (27 kap. 1 § aktie- bolagslagen [2005:551]) och inskrivningsmyndighetens skyldighet att föra ett register över inskrivningsärenden (19 kap. 3 och 8 §§ jordabal- ken). Ett annat exempel är ekonomiska föreningars styrelsers skyldighet att föra en medlemsförteckning (3 kap. 6 § lagen [1987:667] om ekono- miska föreningar) och kollektiva förvaltningsorganisationers skyldighet att föra ett register över sina medlemmar (4 kap. 4 § lagen [2016:977] om kollektiv förvaltning av upphovsrätt). Liknande bestämmelser om skyl- dighet att föra register finns också på transporträttens område, t.ex. Transportstyrelsens skyldighet att föra ett inskrivningsregister för 2017/18:111 luftfartyg samt ett fartygsregister (1 a § lagen [1955:227] om inskrivning av rätt till luftfartyg respektive 1 kap. 2 § sjölagen [1994:1009]). Datainspektionen efterfrågar ett tydligt utpekande av de rättsliga grunderna för personuppgiftsbehandlingen och hur de är fastställda i den Det är knappast möjligt att ange samtliga bestämmelser som kan utgöra grund för en personuppgiftsbehandling. gripande plan kan det dock framhållas att de uppgifter som myndigheters och enskildas personuppgiftsbehandling avser har en grund i nationell Uppgifterna utgör ofta en del av en omfattande reglering som tillvaratar viktiga intressen för enskilda och det allmänna. bl.a. om uppgifter som behöver fullgöras för att associationer ska kunna fungera effektivt, t.ex. dokumentation av medlemskap, eller som har betydelse för hur uppgifter om ägande eller säkerhet i egendom doku- I de flesta fall är det fråga om uppgifter som utgör rättsliga förpliktelser för den personuppgiftsansvarige. I fråga om myndigheter kan det även vara fråga om myndighetsutövning. får de uppgifter som behandlingen av personuppgifter avser genom- gående anses vara av allmänt intresse. Regeringen anser således att det finns en laglig grund för den personuppgiftsbehandling som sker inom de här berörda områdena. Datainspektionen efterfrågar även en analys av om lagstiftningen är proportionell i förhållande till det legitima mål som eftersträvas. skyddsförordningens krav i detta avseende speglar det krav som Europa- konventionen ställer på lagstiftaren i en rättsstat. inkorporerad i svensk rätt. Det bör vara mycket ovanligt att svensk rätt inte uppfyller krav (se prop. 2017/18:105 s. 50). Som framgår ovan syftar behandlingen av personuppgifter på de aktuella områdena till att viktiga intressen för både enskilda och det allmänna ska Det finns ett reellt behov av att behandla personuppgifterna i den utsträckning som sker för dessa ändamål. om personuppgiftsbehandling får därför anses vara proportionerliga i förhållande till den enskildes intresse av skydd för sin personliga integritet på det sätt som förutsätts enligt artikel 6.3 i dataskyddsförord- Regeringen bedömer således att den personuppgiftsbehandling som i dag sker inom fastighetsrätten, associationsrätten och transporträtten är förenlig med dataskyddsförordningen. De lagändringar som behövs i denna del begränsas därför i huvudsak till att hänvisningar till PUL tas bort då den lagen upphävs. Det är i de flesta fall inte nödvändigt att ersätta dem med hänvisningar till dataskyddsförordningen då förord- ningen har direkt tillämplighet (se Ds 2017:19 s. 125 och 159–161). finns dock fall där hänvisningar till dataskyddsförordningen behövs, som i 27 c § revisorslagen (2001:883) och i 2 § lagen (2000:224) om fastig- hetsregister (se Ds 2017:19 s. 162 och 163). Även om det finns en rättslig grund för behandling av personuppgifter är den personuppgiftsansvarige skyldig att försäkra sig om att den kon- kreta behandlingen sker lagligt, dvs. att det rör sig om nödvändig be- handling med rättsligt stöd, och att övriga krav på personuppgifts- De hänvisningar till dataskyddsförordningen som föreslås är dyna- miska, dvs. avser den gällande lydelsen av förord- ningen, i likhet med det som föreslås för den nya dataskyddslagen inom dataskyddsförordningens tillämpningsområde. Det finns rättsligt stöd för nödvändig personuppgiftsbehandling även på immaterialrättens område finns i de immaterialrättsliga lagarna bestämmelser om s.k. informationsföreläggande. Bestämmelserna innebär att en domstol på ansökan av en rättsinnehavare kan förelägga vissa aktörer att lämna information om intrångsgörande varors ursprung och distributionsnät. Den information som ligger till grund för en ansökan om informations- föreläggande innehåller ofta personuppgifter. Detsamma gäller den infor- mation som lämnas ut med anledning av ett föreläggande. Ofta rör det sig om uppgifter om lagöverträdelser som innefattar brott. Det kan t.ex. handla om uppgifter om vilka IP-adresser som har använts för att begå intrång på internet och vilka abonnenter som kan kopplas till dessa adresser. För att göra det möjligt att behandla också sådana uppgifter görs i de immaterialrättsliga lagarna ett undantag från det allmänna förbudet mot sådan behandling (21 § PUL). Undantaget innebär att personuppgifter om lagöverträdelser som innefattar brott får behandlas om det är nödvändigt för att ett rättsligt anspråk ska kunna fastställas, göras gällande eller försvaras. Såväl rättsinnehavaren som den informationsskyldige kan alltså komma att behandla personuppgifter. För rättsinnehavarens del är personupp- giftsbehandlingen nödvändig för ändamål som rör hans eller hennes berättigade intressen. För att den behandlingen ska vara tillåten krävs att det intresset väger tyngre än den registrerades intressen eller grund- läggande rättigheter och friheter (artikel 6.1 f). Den som lämnar ut upp- gifter till följd av ett informationsföreläggande gör det i syfte att uppfylla en rättslig förpliktelse som är fastställd i nationell rätt (artikel 6.1 c). Som framgått krävs i dessa fall att de nationella bestämmelserna uppfyller ett mål av allmänt intresse och är proportionerliga i förhållande till det legi- tima mål som eftersträvas. Eftersom uppgifterna kan röra överträdelser krävs dessutom – i förhållande till all personuppgiftsbehandling som sker i anslutning till en ansökan om informationsföreläggande – att lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs i nationell rätt (artikel 10). Den information en rättsinnehavare kan få del av till följd av ett informationsföreläggande är helt avgörande för att han eller hon ska kunna vidta åtgärder mot den som begår intrång och därmed tillvarata sin rätt till egendom. Ansökan prövas av domstol och sökanden måste visa sannolika skäl för att ett intrång har begåtts. Den information som lämnas ut måste också antas underlätta utredningen av intrånget. Dessutom krävs att åtgärden är proportionerlig. Skälen för åtgärden ska uppväga den olägenhet eller det men i övrigt som den innebär för den som drabbas eller för något annat motstående intresse. Bestämmelserna infördes i svensk rätt i samband med genomförandet av och rådets direktiv /48/EG av om säkerställande av skyddet för immateriella rättigheter, kallat det civilrättsliga sanktionsdirektivet. I det lagstiftningsärendet konstaterades att innehavaren av immateriella rättigheter har ett berättigat intresse av 2017/18:111 att kunna tillvarata sin rätt till egendom och få information om den misstänkte intrångsgöraren. i förhållande till rätten till privatliv och förenliga med dataskydds- När det gäller den intresseavvägning som ska göras mellan å ena sidan rättsinnehavarens intressen och å andra sidan den registrerades intressen innebär dataskyddsförordningen (artikel 6.1 f) inte några ytterligare krav i förhållande till dataskyddsdirektivet. Det finns inte någon anledning att nu göra en annan bedömning i den frågan än den som gjordes i samband med genomförandet av det civilrättsliga sanktionsdirektivet. melserna om informationsföreläggande syftar vidare till att uppfylla ett mål av allmänt intresse och det regelverk som redogjorts för måste anses uppfylla dataskyddsförordningens krav på proportionalitet i förhållande till det målet. För personuppgifter som rör lagöverträdelser som inne- fattar brott, är utgångspunkten att de endast får behandlas för att ett rättsligt anspråk ska kunna fastställas, göras gällande eller försvaras. beslut om informationsföreläggande föregås dessutom alltid av en domstolsprövning och en proportionalitetsbedömning. Det innebär att det finns lämpliga skyddsåtgärder som tar tillvara den registrerades intressen (artikel 10). Inte heller i detta avseende innebär dataskyddsförordningen någon egentlig förändring i förhållande till hittillsvarande ordning. Det finns alltså rättslig grund för den personuppgiftsbehandling som kan ske i anslutning till en ansökan om informationsföreläggande och det samlade regelverket uppfyller också de ytterligare krav som dataskydds- förordningen ställer upp, bl.a. när det gäller behandling av personupp- gifter om lagöverträdelser som innefattar brott. Att PUL nu upphävs innebär att hänvisningarna till den lagen i den bestämmelse som möjliggör behandling av personuppgifter om lagöver- trädelser som innefattar brott måste tas bort. I förhållande till prome- förslag bör det emellertid – som pekar på – tydliggöras att tillämpningsområdet för bestämmelsen ska vara detsamma som enligt hittillsvarande ordning. Det bör ske genom att bestämmelsen i stället för till PUL hänvisar till dataskyddslagens allmänna bestämmelser om behandling av personuppgifter om lagöverträdelser som innefattar Tingsrätten lyfter även frågan om det därutöver bör klargöras att inte bara rättsinnehavaren utan även den informationsskyldige har rätt att behandla personuppgifter om lagöverträdelser som innefattar brott. Regeringen konstaterar för sin del att den ändring som föreslås inte förändrar bestämmelsens räckvidd i det avseendet. framhållas att eventuell personuppgiftsbehandling hos den informa- tionsskyldige sker för att efterkomma ett föreläggande som meddelats av domstol med stöd i lag. För att den behandlingen ska vara tillåten krävs inte något ytterligare lagstöd (jämför prop. 2017/18:105 s. 100). I de immaterialrättsliga lagarna påminns vidare om att det i PUL finns bestämmelser som begränsar hur uppgifter som mottagits enligt ett informationsföreläggande får användas (se t.ex. 53 d § lagen [1960:729] om upphovsrätt till litterära och konstnärliga verk [upphovsrättslagen]). Den information som man kan få del av med stöd av ett informations- föreläggande kan vara av känslig natur, bl.a. i de fall den rör uppgifter om identiteten på personer som innehar ett abonnemang som använts för t.ex. upphovsrättsintrång på internet. Enligt regeringens uppfattning finns det därför anledning att även fortsättningsvis påminna om de bestäm- Prop. 2017/18:111 melser som reglerar hur den mottagna informationen får användas. Däremot finns det inte något behov av en sådan mer allmän upplysnings- bestämmelse som föreslås i promemorian. När det slutligen gäller promemorians förslag om en skyldighet för domstol att lämna viss information om personuppgiftsbehandling i samband med ett beslut om informationsföreläggande finns det, som påpekar, inte någon motsvarande skyldighet i andra lik- nande sammanhang, t.ex. vid domstolsbeslut om editionsföreläggande. Dataskyddsförordningen kräver inte heller detta. Enligt regeringens uppfattning bör domstolen därför inte heller i detta sammanhang åläggas en sådan skyldighet. 6 Den registrerades rättigheter Regeringens förslag: För register där särskilda förutsättningar gäller för rättelse av uppgifter ska det göras undantag från rätten till rättelse och rätten till begränsning av behandling enligt dataskydds- förordningen. Den personuppgiftsansvarige ska alltid kunna pröva frågor om rättelse. Promemorians förslag överensstämmer delvis med regeringens. I promemorian föreslås i fråga om vissa register med viktiga rättsverk- ningar att rätten till rättelse ska utökas och att rätten till begränsning av behandling enligt dataskyddsförordningen endast delvis ska inskränkas (se promemorian s. 132, 140, 144, 146–148 och 156). Remissinstanserna: De flesta av remissinstanserna tillstyrker försla- gen eller invänder inte mot dem. avstyrker förslaget att det ska finnas en på dataskyddsförordningen grundad rätt till rättelse av personuppgifter i de register som myndigheten ansvarar för så länge en sådan rättelse kan ske utan skada för den registrerade eller andras rättigheter och friheter. Verket anser att det i praktiken inte är möjligt att avgöra om någon berörs i ett enskilt fall. anser även att rätten till begränsning av behandling inte i någon del bör gälla för upp- gifter i sådana register. Datainspektionen efterfrågar generella förtydli- ganden av på vilket sätt de begränsningar som föreslås är förenliga med artikel 23.2 i dataskyddsförordningen. Skälen för regeringens förslag Bestämmelser om rättelse av uppgifter i viktiga register bör behållas Den registrerade har enligt dataskyddsförordningen rätt att utan onödigt dröjsmål få felaktiga personuppgifter rättade av den personuppgifts- ansvarige (artikel 16). En nyhet i förhållande till dataskyddsdirektivet är att den registrerade har rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande. Dataskyddsdirektivets bestämmelse om rättelse är genomförd genom 28 § PUL. På de fastighetsrättsliga, associationsrättsliga och transporträttsliga områdena finns det flera lagar som hänvisar till PUL i fråga om rättelse (t.ex. 3 kap. 9 § lagen om ekonomiska föreningar). ningens bestämmelser om rätt till rättelse kommer att gälla i fråga om sådan personuppgiftsbehandling och hänvisningar till PUL bör därför tas Det finns även flera lagar med egna rättelsebestämmelser som omfattar personuppgifter, bl.a. de lagar som reglerar fastighetsregistrets inskriv- ningsdel och dess allmänna del, företagsinteckningsregistret, inskriv- ningsregistret för luftfartyg och fartygsregistret. heten ska rätta en uppenbar oriktighet i registren, om oriktigheten beror på skrivfel, liknande förbiseende eller på ett tekniskt fel. de flesta fall föregås av att vissa berörda ges tillfälle att yttra sig (se t.ex. 19 kap. 22 och 24 §§ jordabalken, 4 kap. 21 § lagen [2008:990] företagshypotek, 48 § lagen om inskrivning av 2 kap. 29 § sjölagen). När det gäller fastighetsregistrets allmänna del tas även hänsyn till om åtgärden kan orsaka skada för en fastighetsägare eller rättighetshavare, såvida inte oriktigheten beror på ett tekniskt fel (19 kap. 4 § fastighetsbildningslagen). De nämnda rättelsereglerna utgör inskränkningar av rätten till rättelse enligt dataskyddsförordningen då en rättelse av en uppgift i dessa register förutsätter att oriktigheten är uppenbar och, i de flesta fall, att oriktig- heten beror på skrivfel, liknande förbiseende eller tekniska fel. rättelse kan begränsas i unionsrätten eller medlemsstaternas nationella rätt, om en sådan begränsning sker med respekt för andemeningen i de grundläggande fri- och rättigheterna och utgör en nödvändig och propor- tionell åtgärd i ett demokratiskt samhälle för att säkerställa vissa angivna syften (artikel 23). Sådana godtagbara syften är skydd av den registrerade eller andras rättigheter och friheter (23.1.i) och andra av unionens eller en medlemsstats viktiga mål av generellt intresse (23.1.e). gränsande bestämmelser ska, när så är relevant, uppfylla vissa krav som framgår av punkten 2 i artikeln. När de särskilda rättelsebestämmelserna infördes bedömdes de vara förenliga med dataskyddsdirektivet med hänsyn till de viktiga rättsverk- ningar som är förenade med införande i dessa register (jämför prop. 2000/01:88 s. 52 och prop. 2008/09:17 s. 32). rätten till rättelse är inte mindre enligt dataskyddsförordningen jämfört