prop · H503122 · 2018-03-06 00:00:00 — 2010/11:122 s. 70) gjordes bedömningen att inget av undantagen från förbudet att behandla känsliga personuppgifter i personuppgiftslagen var tillämpligt och att det därför behövdes en särskild bestämmelse som angav att behandling av känsliga personuppgifter som rör hälsa är tillåten i registret. Vidare uttalade regeringen att hälsokrav utgör villkor för att beviljas förarbevis och måste kunna behandlas för att handlägga ärenden om förarbevis. För det andra måste behandling av sådana uppgifter vara tillåten för att kunna lämna ut uppgifter ur förarbevisregistret. Behandling av personuppgifter om hälsa i förarbevisregistret är således enligt regeringens bedömning nödvändig med hänsyn till ett viktigt all- mänt intresse. Lagen om behörighet för lokförare innehåller också be- stämmelser som kan utgöra sådana lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter som dataskydds- förordningen förutsätter, i form av förbud mot vissa sökbegrepp och begränsning av åtkomst till uppgifterna. Mot denna bakgrund bedöms bestämmelsen vara förenlig med dataskyddsförordningen. Den bör dock anpassas till artikel 9. Bestämmelsen är alltjämt en särreglering som ska tillämpas framför de generella bestämmelserna om myndigheters behand- ling av känsliga personuppgifter i den föreslagna dataskyddslagen. För att undvika osäkerhet är det av stor vikt att terminologin som används i den nationella regleringen följer den begreppsutveckling som sker inom unionen. Det är därför ändamålsenligt att hänvisningen till de uttryck som används i artikel 9.1 i dataskyddsförordningen görs dynamisk, dvs. avser förordningen i den gällande lydelsen (jfr prop. 2017/18:105 s. 24–25). Lagen om behörighet för lokförare innehåller, som framgår av före- gående stycke, en bestämmelse om att känsliga personuppgifter inte får användas som sökbegrepp i förarbevisregistret (4 kap. 13 §). En sådan bestämmelse har inte någon direkt motsvarighet i dataskyddsdirektivet eller i personuppgiftslagen och frågan regleras inte heller uttryckligen i dataskyddsförordningen. Dataskyddsförordningen hindrar emellertid inte att mer specifika krav fastställs i nationell rätt när behandlingen grundar sig på en rättslig förpliktelse, en uppgift av allmänt intresse eller myndighetsutövning. Hänvisningen till 13 § personuppgiftslagen måste emellertid tas bort och bestämmelsen anpassas till förbudet mot behand- ling av personuppgifter som avslöjar sådana uppgifter som anges i artikel 9.1 i dataskyddsförordningen. Ändringen innebär att begränsningen av sökbegrepp även omfattar uppgifter om en persons sexuella läggning samt genetiska uppgifter och biometriska uppgifter för att entydigt identi- fiera en fysisk person. Detta innebär således en viss materiell förändring. När det gäller tillägget av sexuell läggning får detta dock redan anses ingå i begreppet sexualliv (jfr prop. 2000/01:126 s. 31 och prop. 2007/08:95 s. 125–129). Enligt regeringen bör bestämmelsen vid anpassningen till artikel 9.1 omformuleras så att den tydligare anger vad som avses med regleringen. Någon ändring i sak är inte avsedd. Att behandla känsliga personuppgifter i sjömansregistret är tillåtet under vissa förutsättningar Enligt mönstringslagen ska Transportstyrelsen med hjälp av automatisk databehandling föra ett register över sjömän och handelsfartyg där sjö- män tjänstgör (sjömansregistret). Genom bestämmelsen uppfylls de krav på att föra ett register som finns i och rådets direktiv /35/EU av om ändring av direktiv /106/EG om minimikrav på utbildning för sjöfolk och i den s.k. (International Convention on Standards of Training, Certification and Watchkeeping for Seafarers). Registret ska bl.a. innehålla uppgifter om de enskilda sjömännens identitet, kvalifika- tioner och statusen på sjömännens behörighetsbevis (23 §). Någon ut- trycklig reglering om att behandling av känsliga personuppgifter är tillåten i registret finns inte i lagen. Datainspektionen har efterfrågat ett klargörande av vilka undantag i dataskyddsförordningen som behandlingen av känsliga personuppgifter enligt mönstringslagen har stöd av och en redovisning av att något undantag är uppfyllt. I den mån det förekommer känsliga uppgifter om hälsa i sjömansregistret bl.a. med anledning av de unionsrättsliga och internationella åtaganden som regleringen om sjömän bygger på har behandling av sådana personuppgifter enligt regeringens bedömning stöd i nationell rätt. Under förutsättning att behandlingen uppfyller villkoren i artiklarna 5 och 6 i dataskyddsförordningen skulle sådan behandling kunna ske om den är nödvändig med hänsyn till ett viktigt allmänt intresse (artikel ). Exempel på sådana lämpliga och särskilda åtgär- der som anges i artikel kan vara bestämmelsen om sökbegrepp vid direktåtkomst till registret (jfr 17 § mönstringsförordningen [1984:831]). Vidare gäller enligt 22 kap. 1 § offentlighets- och sekretesslagen (2009:400) sekretess för uppgift om en enskilds personliga förhållanden, om det av särskild anledning kan antas att den enskilde eller någon när- stående till denne lider men om uppgiften röjs och uppgiften förekommer i verksamhet som avser förande av eller uttag ur sjömansregistret. Även en sådan reglering kan enligt regeringens bedömning vara ett exempel på sådana bestämmelser om lämpliga och särskilda åtgärder som krävs för att säkerställa den registrerades grundläggande rättigheter och intressen. Den personuppgiftsansvarige kommer i vissa fall enligt artikel 35 i data- skyddsförordningen att vara skyldig att göra en konsekvensbedömning innan behandling sker av personuppgifter som sannolikt medför hög risk för fysiska personers rättigheter och friheter. Enligt Datainspektionen bör artikel 35 övervägas i samband med att nationell rätt tas fram med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen vid behandling av käns- liga personuppgifter i stor omfattning. Regeringen ser i motsats till Data- inspektionen inte anledning att i detta sammanhang ta ställning till om en 2017/18:122 konsekvensbedömning enligt artikel 35 krävs. Den behandling av käns- liga personuppgifter om hälsa som förekommer i det ovan nämnda förar- bevisregistret avser ett ganska begränsat antal personer (jfr prop. 2010/11:122 s. 63) och det är fråga om befintliga behandlingar. I enlighet med de riktlinjer som antagits av den s.k. artikel 29-gruppen är kravet på konsekvensbedömning dessutom primärt tillämpligt på sådana behand- lingssituationer som initierats efter att dataskyddsförordningen börjar tillämpas och på befintliga behandlingar där riskerna av något skäl har ändrats (Riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679, WP 248 rev.01). Någon konsekvensbedömning enligt artikel 35 är därmed enligt regeringens mening inte behövlig för de anpassningar som görs i denna proposition. Överföring av personuppgifter till tredjeländer Regeringens bedömning: Bestämmelsen i mönstringslagen som bl.a. innebär en rätt för en stat som har tillträtt att få del av vissa uppgifter från sjömansregistret är förenlig med EU:s Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser har inga in- vändningar mot förslaget. Datainspektionen avstyrker bestämmelser som innebär ett generellt godkännande av överföring till tredjeland. inspektionens bedömning saknas det i artikel 49.1 d i dataskyddsförord- ningen en möjlighet att i nationell rätt generellt tillåta överföring till tredjeland på det sätt som föreslås. Skälen för regeringens bedömning: Överföring av personuppgifter till tredjeländer och internationella organisationer regleras i kapitel V i Det innebär att sådan överföring av person- uppgifter kommer att kunna ske under de förutsättningar som anges där. Bestämmelserna är direkt tillämpliga. Om det inte finns något beslut om adekvat skyddsnivå (artikel 45) eller vidtagna lämpliga skyddsåtgärder (artikel 46) kommer en överföring till tredjeland bl.a. vara möjlig om den är nödvändig av viktiga skäl som rör allmänintresset (artikel 49.1 d). Detta gäller dock endast under förutsättning att allmänintresset är erkänt i unionsrätten eller i den nationella rätt som den personuppgiftsansvarige omfattas av (artikel 49.4). Överföringar av personuppgifter får endast ske i överenstämmelse med regleringen i kapitel V i dataskyddsförordningen. ringslagen om under vilka förutsättningar som andra länder efter begäran har rätt att få ut uppgifter (23 a §) är inte en sådan reglering som generellt tillåter en överföring av personuppgifter till ett tredjeland. bestämmelsen innebär bl.a. en rätt enligt för en stat som har tillträtt konventionen att få uppgifter från sjömansregistret om statusen på behörighetsbevis, intyg om erkännande och dispenser för Det förutsätts därmed att personuppgifter förs över till tredje- länder i vissa fall. Bestämmelsen, som är sekretessbrytande, har införts för att garantera rätten för EU:s medlemsstater och övriga konventions- Prop. 2017/18:122 parter att få ut uppgifter om sjömän ur sjömansregistret enligt och rådets direktiv /106/EG av den 19 novem- ber 2008 om minimikrav på utbildning för sjöfolk. Bestämmelsen ersät- ter de bestämmelser i personuppgiftslagen som reglerar möjligheten att överföra personuppgifter till ett tredjeland. När bestämmelsen infördes bedömde regeringen att regleringen inte står i strid med dataskydds- direktivet (prop. 2013/14:132 s. 13–14). Det aktuella allmänintresset får mot denna bakgrund anses erkänt i både nationell rätt och i unionsrätten. Om det inte finns något beslut om adekvat skyddsnivå enligt artikel 45.3 eller om lämpliga skyddsåtgärder enligt artikel 46 i dataskydds- förordningen, bör alltså en överföring av personuppgifter till ett tredje- land som sker till följd av bestämmelsen i mönstringslagen ha stöd i artikel 49.1 d i nämnda förordning. Enligt regeringens bedömning är således bestämmelsen i mönstringslagen alltjämt förenlig med den unionsrättsliga dataskyddsregleringen. 7 Den registrerades rättigheter Regeringens förslag: Bestämmelser som anger att bestämmelsen om rättelse i personuppgiftslagen gäller för behandling som sker enligt lagen i fråga ska tas bort. Bestämmelser i skogsvårdslagen som anger att ett visst register har till ändamål att tillhandahålla uppgifter för uttag av urval av personuppgifter för direkt marknadsföring, med den begränsning som följer av personuppgiftslagen, ska hänvisa till motsvarande begräns- ning i EU:s dataskyddsförordning. Bestämmelserna i lagen om behörighet för lokförare och lagen om djurskyddskontrollregister som innebär att den registrerade inte har rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten i förarbevisregistret, intygsregister, tillståndsregistret och djurskydds- kontrollregistret ska ges en ny utformning. I bestämmelserna ska det anges att artikel 21.1 i EU:s dataskyddsförordning om rätten att göra in- vändningar inte gäller vid sådan behandling som är tillåten enligt respektive lag eller föreskrifter som har meddelats i anslutning till lagen. Promemorians förslag överensstämmer i huvudsak med regeringens. Promemorian lämnar dock inte något förslag till omformulering av bestämmelser om att den registrerade inte har rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten i förarbevisregistret, intygs- register, tillståndsregistret och djurskyddskontrollregistret. Remissinsatserna har inga synpunkter på bedömningen eller invänd- ningar mot förslagen. 2017/18:122 Skälen för regeringens förslag Den registrerades rätt till rättelse, radering och begränsning av behandling Flera lagar inom ansvarsområden innehåller en reglering som anger att bestämmelsen om rättelse i 28 § personuppgifts- lagen gäller vid behandling av personuppgifter som sker enligt lagen. Bestämmelsen i personuppgiftslagen innefattar även åtgärderna blocke- ring och utplåning. Sådana hänvisningar finns i skogsvårdslagen, lagen om nationella toppdomäner för på Internet, lagen om tillsyn över hundar och katter, lagen om djurskyddskontrollregister och i lagen om behörighet för lokförare. I dataskyddsförordningen är den registrerades rättigheter i stället upp- delade i olika artiklar. Att den registrerade har rätt till rättelse av felaktiga personuppgifter som rör honom eller henne framgår av artikel 16. Rätten till radering och begränsning av behandling regleras i artiklarna 17 och 18. Samtliga artiklar är direkt tillämpliga och det behövs inte någon hänvisning till dem i nationell rätt. Bestämmelser som hänvisar till 28 § personuppgiftslagen ska därför tas bort. Den registrerades rätt att invända I författningar som är en särreglering i förhållande till personuppgifts- lagen förekommer bestämmelser som anger att den registrerade inte kan motsätta sig den behandling av personuppgifter som är tillåten enligt författningen i fråga. Sådana bestämmelser finns i lagen om djurskydds- kontrollregister och i lagen om behörighet för lokförare. Enligt artikel 21.1 har den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på en uppgift av allmänt intresse, myndighetsutövning eller en intresseavvägning, inbegripet profilering som grundar sig på dessa bestämmelser. Artikeln är direkt tillämplig och den personuppgifts- ansvarige får vid en invändning inte längre behandla personuppgifterna om inte denne kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter, eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Artikeln grundar sig, liksom de ovan angivna bestämmelserna, på artikel 14 i dataskyddsdirektivet med vissa förändringar, bl.a. när det gäller bevisbördan. En annan skillnad i jämförelse med direktivet är möjligheten att i nationell rätt göra undantag från rätten att invända mot behandling. Undantag kan enligt dataskyddsförordningen göras under de förutsättningar som anges i artikel 23.1. Nationella begränsningar måste vara nödvändiga, proportionerliga och grunda sig på något av de skäl som artikeln ställer upp. Den behandling av personuppgifter som regleras i lagen om djur- skyddskontrollregister och i lagen om behörighet för lokförare kan vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e i data- skyddsförordningen). Om behandlingen sker med stöd av artikel 6.1 e, är rätten att göra invändningar i artikel 21.1 tillämplig. För att de register som förs med stöd av lagen om djurskyddskontroll- Prop. 2017/18:122 register och lagen om behörighet för lokförare ska tjäna sina syften är det inte möjligt att låta den enskilde avgöra om relevanta uppgifter om honom eller henne ska få dokumenteras i registren eller inte. Mot denna bakgrund bör den registrerade inte heller fortsättningsvis ha någon rätt att motsätta sig behandling som är tillåten enligt lagarna i fråga. En sådan bestämmelse i nationell rätt är enligt regeringens bedömning en begränsning av rätten att invända enligt artikel 21.1 i dataskydds- förordningen. Bestämmelserna i de aktuella lagarna är enligt regeringen en nödvändig och proportionerlig åtgärd i syfte att säkerställa viktiga mål av generellt allmänt intresse (artikel 23.1 e i dataskyddsförordningen). Vidare innehåller lagarna flera specifika bestämmelser som kan utgöra sådana lagstiftningsåtgärder som en författning ska innehålla enligt artikel 23.2 a–h i dataskyddsförordningen t.ex. om ändamålen med be- handlingen och specificering av den personuppgiftsansvarige. Det finns därmed förutsättningar för att behålla bestämmelser som innebär att den registrerade inte kan motsätta sig sådan behandling av personuppgifter som är tillåten enligt lagen. Enligt regeringens mening bör bestämmelserna i de aktuella lagarna dock omformuleras så att det är tydligt hur de förhåller sig till reglering- en i dataskyddsförordningen. I bestämmelserna bör det anges att artikel 21.1 i dataskyddsförordningen om rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till lagen. Någon ändring i sak i förhållande till vad som gäller är inte avsedd. Rätten att invända mot direkt marknadsföring I skogsvårdslagen finns en reglering om direkt marknadsföring i ända- målsbestämmelserna (32 b och 32 c §§). Bestämmelserna innehåller en hänvisning till 11 § personuppgiftslagen. Enligt den bestämmelsen får inte personuppgifter behandlas för ändamål som rör direkt marknads- föring, om den registrerade hos den personuppgiftsansvarige skriftligen anmält att han eller hon motsätter sig sådan behandling. Även data- skyddsförordningen innehåller en rätt för den registrerade att när som helst invända mot behandling av personuppgifter som avser honom eller henne för direkt marknadsföring (artikel 21.2). Om den registrerade in- vänder mot behandling för direkt marknadsföring ska personuppgifterna inte längre behandlas för sådana ändamål (artikel 21.3). Bestämmelserna i skogsvårdslagen ska därmed ändras genom att hänvisningen till person- uppgiftslagen ersätts med en hänvisning till artikel 21.2 och 21.3 i data- skyddsförordningen. Med hänsyn till vikten av att den registrerades intressen upprätthålls, bör det säkerställas att ändringar av förordningen får genomslag. Det är därför ändamålsenligt att hänvisningen till de aktuella artiklarna i dataskyddsförordningen görs dynamisk, dvs. avser förordningen i den gällande lydelsen (jfr prop. 2017/18:105 s. 24–25). 2017/18:122 8 Regeringens förslag: Bestämmelsen i skogsvårdslagen som anger att beslut om avslag på en ansökan om information eller beslut om rättelse enligt personuppgiftslagen får överklagas till allmän förvalt- ningsdomstol ska tas bort. Detsamma gäller bestämmelser i lagar inom ansvarsområden som anger att bestämmelsen om skadestånd i personuppgiftslagen gäller vid behandling av person- uppgifter enligt den aktuella lagen. Promemorians förslag överensstämmer med regeringens. Remissinstanserna har inga invändningar mot förslagen. Skälen för regeringens förslag I kapitel VIII i dataskyddsförordningen finns bestämmelser om rätts- medel, ansvar och sanktioner. I propositionen Ny dataskyddslag föreslår regeringen att dataskyddslagen ska innehålla generella processuella bestämmelser. Enligt förslaget kan beslut som fattas av en personupp- giftsansvarig myndighet med anledning av att en registrerad utövar sin rätt till information och tillgång till personuppgifter, rättelse, radering, begränsning, invändning eller dataportabilitet överklagas till allmän förvaltningsdomstol (7 kap. 2 § dataskyddslagen och artiklarna 12.5 och 15–21 i dataskyddsförordningen). Skogsvårdslagen innehåller en bestämmelse som bl.a. anger att Skogs- styrelsens beslut om avslag på ansökan om information enligt 26 § personuppgiftslagen och beslut om rättelse enligt 28 § samma lag får överklagas hos allmän förvaltningsdomstol (40 §). Eftersom den föreslagna dataskyddslagen kommer att innehålla generella bestämmelser om vilka myndighetsbeslut som kan överklagas är regleringen i skogs- vårdslagen överflödig och ska därför tas bort. Personuppgiftsansvarigas och personuppgiftsbiträdens ansvar samt den registrerades rätt till ersättning regleras i artikel 82 i dataskydds- förordningen. Någon möjlighet till nationella undantag från rätten till ersättning finns inte. Artikeln är direkt tillämplig och omfattar behand- ling som strider mot medlemsstaternas nationella rätt med närmare specifikation av förordningens bestämmelser (jfr skäl 146). I proposi- tionen Ny dataskyddslag föreslås en förtydligande bestämmelse om att rätten till ersättning enligt artikel 82 även gäller vid överträdelser av bestämmelser i dataskyddslagen och andra föreskrifter som kompletterar dataskyddsförordningen (7 kap. 1 §). Flera av lagarna inom departementets ansvarsområden innehåller bestämmelser som innebär att bestämmelsen om skadestånd i person- uppgiftslagen gäller när behandling sker i strid med författningen i fråga. Sådana bestämmelser finns i skogsvårdslagen, lagen om nationella topp- domäner för på Internet, lagen om tillsyn över hundar och katter, lagen om djurskyddskontrollregister och i lagen om behörighet för lok- Prop. 2017/18:122 förare. Anledningen till att det finns sådana bestämmelser är att 48 § personuppgiftslagen endast reglerar skadeståndsskyldigheten i för- hållande till behandling av personuppgifter som skett i strid med person- uppgiftslagen och inte behandling som skett i strid med andra författ- ningar. Att den registrerade har rätt till ersättning vid överträdelser av bestämmelser som kompletterar dataskyddsförordningen framgår numera direkt av artikel 82. Regleringar som anger att bestämmelsen om skade- stånd i personuppgiftslagen gäller ska därför tas bort. 9Anpassning av vissa bestämmelser i lagen om elektronisk kommunikation Regeringens förslag: Begreppen behandling, samtycke och person- uppgiftsansvarig i 6 kap. lagen om elektronisk kommunikation ska ha samma innebörd som i EU:s dataskyddsförordning. Bestämmelsen om hur lagen förhåller sig till annan reglering ska upplysa om att det förutom i 6 kap. finns bestämmelser om behandling av personuppgifter i EU:s dataskyddsförordning och i dataskyddslagen samt i föreskrifter som har meddelats i anslutning till den lagen. Hänvisningen till personuppgiftslagens reglering om rättelse och skadestånd ska ersättas med en hänvisning till motsvarande bestäm- melser i EU:s dataskyddsförordning. Promemorians förslag överensstämmer delvis med regeringens. I promemorian föreslås att artikel 95 i dataskyddsförordningen ska tas in i 6 kap. lagen (2003:389) om elektronisk kommunikation. Vidare föreslås att regleringen i 6 kap. 2 § andra stycket som anger att bestämmelserna i personuppgiftslagen om rättelse och skadestånd även gäller vid behandling av personuppgifter enligt lagen om elektronisk kommunikation tas bort. Remissinstanserna: Majoriteten av remissinstanserna lämnar för- slagen utan synpunkter. Datainspektionen efterfrågar ett klargörande av vilka bestämmelser i lagen om elektronisk kommunikation som kommer att regleras av dataskyddsförordningen. framför inga synpunkter på förslagen men framhåller att det bör förtydligas att den i promemorian nämnda materi- ella förändringen endast gäller i fråga om behandling av personuppgifter och att tillhandahållare av elektroniska kommunikationsnät och elektro- niska kommunikationstjänster som inte är allmänna i övrigt omfattas av bestämmelserna i lagen om elektronisk kommunikation. Skälen för regeringens förslag gäller elektroniska kommunika- tionsnät och kommunikationstjänster med tillhörande installationer och tjänster samt annan radioanvändning. I 6 kap. finns bestämmelser om behandling av trafikuppgifter och integritetsskydd. 2017/18:122 genom bestämmelserna i detta kapitel som och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation ändrat genom direktiv /136/EG, härefter kallat direktivet om integritet och elektronisk kommunikation, har genomförts i svensk rätt. Direktivet preciserar och kompletterar dataskyddsdirektivet och gäller för all behandling av personuppgifter på de områden som direktivet reglerar. För att klargöra förhållandet mellan dataskydds- förordningen och direktivet om integritet och elektronisk kommunikation kommer direktivet att ändras för att säkerställa konsekvens med data- skyddsförordningen (skäl 173 i dataskyddsförordningen). EU- kommissionen har lämnat ett förslag till en ny förordning om integritet och elektronisk kommunikation (COM [2017] 10 final) som ska gälla för tele- och internetoperatörer och ersätta direktivet om integritet och elektronisk kommunikation.