prop · H503122 · 2018-03-06 00:00:00 — Däremot måste behandlingen av personuppgifter vara nödvändig i förhållande till den rättsliga grunden (artikel 6.1 b–f) och följa principerna i artikel 5. Regeringens bedömning är att de aktuella lagarna genom de ändringar som föreslås i denna proposition är förenliga med dataskydds- förordningen. En annan sak är att den personuppgiftsansvarige för varje behandling under alla omständigheter är skyldig att försäkra sig om att behandlingen av personuppgifter sker lagligt och i enlighet med de principer som dataskyddsförordningen ställer upp. Samtycke som integritetshöjande åtgärd Behandling av personuppgifter är bl.a. laglig enligt dataskyddsförord- ningen om den registrerade har lämnat sitt samtycke till att personupp- gifterna behandlas för ett eller flera specifika ändamål (artikel 6.1 a). Vid den aktuella genomgången har en lag identifierats som ställer upp ett samtyckeskrav. Enligt 6 § lagen om nationella toppdomäner för på Internet ska domänadministratören föra ett register över tilldelade domännamn och löpande upprätta säkerhetskopior av registeruppgifterna. Av bestämmel- sen framgår bl.a. att uppgifterna i registret ska kunna hämtas utan avgift via internet (tredje stycket) och att personuppgifter endast får göras till- gängliga på detta sätt om den registrerade har samtyckt till det (fjärde stycket). I promemorian görs bedömningen att det är fråga om samtycke som rättslig grund. Datainspektionen anser att det behöver klargöras om samtycket i denna bestämmelse utgör en rättslig grund för behandlingen, eller om det är den enskilde som avgör om behandlingen får utföras eller inte. I det senare fallet behöver det även klargöras om den enskildes samtycke ska ses som en integritetshöjande åtgärd. Dataskyddsförordningen ger utrymme för att behålla eller införa kom- pletterande nationella bestämmelser om behandling av personuppgifter. Det utrymmet omfattar inte behandling som stöder sig på samtycke enligt artikel 6.1 a. Den behandling av personuppgifter som följer av skyldigheten för domänadministratören att föra registret har i förarbetena bedömts vara nödvändig för att utföra en arbetsuppgift av allmänt intresse (jfr 10 § d personuppgiftslagen och artikel 7 e i dataskyddsdirektivet). Enligt rege- ringens mening skulle det emellertid krävas samtycke från den registre- rade för att personuppgifter ska få göras tillgängliga via internet (prop. 2004/05:175 s. 251). Att personuppgifter endast får göras tillgängliga på internet med den registrerades samtycke är enligt regeringens bedömning en integritetshöjande åtgärd, så som Datainspektionen påpekat, och inte en rättslig grund enligt artikel 6.1 a i dataskyddsförordningen. bestämmelse om behandling av personuppgifter utgör en tillåten kom- Prop. 2017/18:122 plettering enligt artikel 6.2 i dataskyddsförordningen. 6Bestämmelser om behandling av personuppgifter och övrig dataskyddsreglering Regeringens förslag: Bestämmelserna i rennäringslagen, lagen om nationella toppdomäner för på Internet, lagen om tillsyn över hundar och katter, lagen om djurskyddskontrollregister och lagen om behörighet för lokförare som anger hur respektive författning förhåller sig till personuppgiftslagen ska upplysa om att lagen innehåller kom- pletterande bestämmelser till EU:s dataskyddsförordning. Bestämmel- serna ska också ange hur lagen förhåller sig till dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen. I övriga upplysningsbestämmelser, som innehåller hänvisningar till personuppgiftslagen, ska hänvisningen ersättas med en hänvisning till EU:s dataskyddsförordning och till dataskyddslagen. Bestämmelsen i postlagen som syftar till att klargöra förhållandet mellan postlagens bestämmelser om tystnadsplikt och personuppgifts- lagens bestämmelser vid utlämnande av personuppgifter ska tas bort. Promemorians förslag överensstämmer i huvudsak med regeringens. Promemorians förslag har dock en annan lagteknisk utformning. Vidare föreslås inte att bestämmelsen i postlagen ska tas bort. Remissinstanserna: Alla remissinstanser utom Datainspektionen till- styrker förslaget eller har inget att invända mot det. Datainspektionen påpekar att det av författningsförslagen tydligt bör framgå om en regle- ring kompletterar eller förtydligar en artikel i dataskyddsförordningen. Skälen för regeringens förslag Dataskyddsförordningen kommer att vara den generella regleringen för behandling av personuppgifter som nationella dataskyddsbestämmelser måste förhålla sig till. Förordningen kommer att gälla oberoende av om förhållandet till förordningen regleras i nationell rätt. Något behov av att i samtliga lagar som innehåller data- skyddsbestämmelser inom ansvarsområden införa en bestämmelse som klargör förhållandet till dataskyddsförordningen finns enligt regeringens bedömning inte. Däremot finns det skäl att för tydlighets skull behålla befintliga upplysningsbestämmelser i relevanta fall. När dataskyddsförordningen börjar tillämpas kommer personuppgifts- lagen att upphävas, vilket innebär att hänvisningar till personuppgifts- lagen inte kan finnas kvar. Dataskyddsförordningen är direkt tillämplig i 2017/18:122 varje medlemsstat, vilket innebär att den automatiskt blir en del av den svenska rättsordningen. I vissa avseenden förutsätter respektive tillåter förordningen att medlemsstater inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag (jfr avsnitten 4 och 5). Det kan bl.a. handla om specificerande bestäm- melser om behandling av personuppgifter eller undantag i förhållande till de rättigheter som de registrerade har enligt förordningen. Den generella dataskyddsregleringen kommer inte bara att finnas i dataskyddsförordningen utan även i den lag som regeringen föreslår i propositionen Ny dataskyddslag (prop. 2017/18:105). Dataskyddslagen föreslås bli subsidiär i förhållande till avvikande bestämmelser i andra lagar och förordningar. Enligt förslaget innehåller lagen bl.a. processu- ella bestämmelser, kompletterande bestämmelser om myndigheters be- handling av personuppgifter liksom vissa undantag från dataskydds- förordningens bestämmelser. Bestämmelser om förhållandet till personuppgiftslagen I några av lagarna inom departementets ansvarsområden finns bestäm- melser som klargör lagens förhållande till personuppgiftslagen vid behandling av personuppgifter. Sådana bestämmelser finns bl.a. i 3 § lagen om djurskyddskontrollregister och i 4 kap. 1 § lagen om behörighet för lokförare. Ovan nämnda lagar har karaktären av registerförfattningar och inne- håller ett flertal bestämmelser om personuppgiftsbehandling som kom- pletterar dataskyddsförordningen både i form av preciseringar och i form av undantag. För att undvika intrycket av att den primära regleringen om personuppgiftsbehandling finns i dessa lagar bör befintliga upplysnings- bestämmelser behållas och i stället formuleras så att det, på det sätt som Datainspektionen efterfrågat, tydligt framgår att lagen i fråga om behandling av personuppgifter innehåller bestämmelser som komplette- rar dataskyddsförordningen. Bestämmelser om hur lagen förhåller sig till personuppgiftslagen finns också i 74 § rennäringslagen, 3 § lagen om nationella toppdomäner för på Internet och 7 § lagen (2007:1150) om tillsyn över hundar och katter. Dessa lagar innehåller till skillnad från lagen om djur- skyddskontrollregister och lagen om behörighet för lokförare endast en eller ett fåtal kompletterande bestämmelser till dataskyddsförordningen om behandling av personuppgifter. Även i förhållande till dessa lagar finns behov av att tydliggöra att den primära regleringen om personupp- giftsbehandling finns i dataskyddsförordningen. Upplysningsbestämmel- serna i dessa lagar bör därför behållas men formuleras så att det tydligt framgår vilka bestämmelser i respektive lag som är kompletterande bestämmelser till dataskyddsförordningen vid behandling av personupp- gifter. Då hänvisningarna till dataskyddsförordningen är av upplysande karaktär är det för att undvika osäkerhet ändamålsenligt att dessa görs dynamiska, dvs. avser förordningen i den gällande lydelsen (jfr prop. 2017/18:105 s. 24–25). I samtliga lagar som nämnts ovan finns det även anledning att upplysa om att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt lagen om inte annat följer av den aktuella lagen eller föreskrifter som har med- Prop. 2017/18:122 delats i anslutning till den. Om det inte finns några avvikande bestäm- melser i lagen eller i den anslutande förordningen, är det således data- skyddslagens bestämmelser och bestämmelser i föreskrifter som har meddelats i anslutning till den lagen som gäller utöver vad som direkt framgår av dataskyddsförordningen. Av tydlighetsskäl bör även andra typer av upplysningsbestämmelser än de som redovisats ovan och som hänvisar till personuppgiftslagen behållas. Det gäller exempelvis upplysningar om att personuppgiftslagen innehåller bestämmelser om behandling av personuppgifter eller att det finns tillsynsbestämmelser i personuppgiftslagen. Sådana bestämmelser ska ändras genom att hänvisningen till personuppgiftslagen ersätts med en hänvisning till dataskyddsförordningen och till den föreslagna data- skyddslagen. Ändringar som dessa föreslås i lagen (2013:315) om intelligenta transportsystem vid vägtransporter och lagen (2013:1164) om elektroniska vägtullssystem. Då hänvisningarna till dataskyddsförord- ningen är av upplysande karaktär är det för att undvika osäkerhet ändamålsenligt att dessa görs dynamiska, dvs. avser förordningen i den gällande lydelsen (jfr prop. 2017/18:105 s. 24–25). I 2 kap. 17 § andra stycket postlagen (2010:1045) finns en reglering som syftar till att klargöra förhållandet mellan 14 § första och tredje styckena samma lag om tystnadsplikt och bestämmelserna i personuppgiftslagen. Bestämmelsen är enligt förarbetena motiverad av regleringen om tyst- nadsplikt och den i 15 § postlagen reglerade skyldigheten att lämna ut uppgifter i vissa situationer (jfr prop. 1993/94:38 s. 85 och 159 och prop. 1997/98:97 s. 51 och 189). Bestämmelsen i postlagen är enligt regeringens bedömning endast av klargörande karaktär. En sådan upplysning är enligt regeringens mening inte längre behövlig i lagen. Till skillnad från vad som föreslås i promemorian bedömer regeringen att det inte finns något behov att av tydlighetsskäl upplysa om dataskyddsförordningens tillämplighet vid utlämnanden av personuppgifter som inte omfattas av tystnadsplikten i postlagen. Regleringen i 2 kap. 17 § andra stycket ska därför tas bort. Regeringens förslag: Hänvisningarna till personuppgiftslagen i anslutning till ändamålsbestämmelserna i lagen om djurskydds- kontrollregister och lagen om behörighet för lokförare ska ersättas med bestämmelser som anger att personuppgifter som behandlas enligt ändamålsbestämmelserna i lagen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Promemorians förslag överensstämmer i sak med regeringens. Promemorians förslag har dock en annan lagteknisk utformning. Remissinstanserna har inga invändningar mot förslaget. Skälen för regeringens förslag: Det är en allmän dataskyddsrättslig princip att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt den s.k. finalitetsprincipen får uppgifterna inte senare behandlas för något annat ändamål som är oförenligt med insamlingsändamålen. Detta kommer till uttryck i bl.a. 9 § första stycket c och d personuppgiftslagen. När dataskyddsförordningen börjar tillämpas kommer finalitets- principen att följa av artikel 5.1 b i förordningen. I artikeln anges även att ytterligare behandling för arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de Sådan behandling är således tillåten enligt dataskyddsförordningen under förutsättning att lämpliga skyddsåtgärder för den registrerades rättigheter och friheter vidtas. denna reglering finns i 9 § andra stycket personuppgiftslagen. Utgångspunkten i dataskyddsregleringen är att det är den person- uppgiftsansvarige som bestämmer ändamålen för personuppgifts- Det är dock i registerförfattningar vanligt förekommande att lagstiftaren anger för vilka ändamål personuppgifter får behandlas. Bestämmelser om vilka uppgifter som får registreras och ändamålen med behandlingen utgör tillsammans ramen för vilken behandling som är Dataskyddsförordningen ställer inte några krav på att de sär- skilda ändamålen ska vara fastställda i en författning, men det finns heller ingenting som hindrar att ändamålen fastställs av lagstiftaren. Oavsett om ändamålen fastställts i författning eller inte är det dock alltid den personuppgiftsansvarige som ansvarar för och ska kunna visa att principerna i artikel 5.1 följs (artikel 5.2). I fråga om personuppgifter finns ändamålsbestämmelser i bl.a. lagen om djurskyddskontrollregister och lagen om behörighet för lokförare. Sådana bestämmelser är en typ av specifika bestämmelser som anpassar tillämpningen av dataskyddsförordningen och säkerställer en laglig och rättvis behandling enligt artikel 6.2 och 6.3. I anslutning till ändamålsbestämmelserna i lagen om djurskydds- kontrollregister och lagen om behörighet för lokförare finns hänvisningar till 9 § första stycket d och andra stycket personuppgiftslagen. hänvisning finns för att förtydliga att redan insamlade uppgifter får behandlas för andra ändamål än dem för vilka de har samlats in, under förutsättning att de nya ändamålen är förenliga med de ursprungliga ändamålen och att insamlade personuppgifter även får behandlas för historiska, statistiska eller vetenskapliga ändamål. Finalitetsprincipen är även fortsättningsvis den yttersta ram inom vilken personuppgifter får behandlas enligt ovan nämnda lagar. memorian har detta uttryckts genom en hänvisning till artikel 5.1 b i Det står visserligen klart att finalitetsprincipen enligt artikel 5.1 b gäller vid aktuell behandling. ger dock till skillnad från regleringen i 9 § första stycket d och andra stycket personuppgiftslagen inte endast uttryck för finalitetsprincipen utan också för under vilka förutsättningar personuppgifter får samlas in. Regeringen gör därför bedömningen att det av tydlighetsskäl finns anled- Prop. 2017/18:122 ning att införa en bestämmelse i lagarna som anger att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med insamlings- ändamålen. Någon ändring i sak i förhållande till vad som gäller är inte avsedd. Regeringens förslag: Hänvisningar till personuppgiftslagen i be- stämmelser som pekar ut vem som är personuppgiftsansvarig ska tas bort. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Majoriteten av remissinstanserna har inte lämnat några synpunkter på förslaget i promemorian. frågar en analys av vilka konsekvenser ett utpekande av den personupp- giftsansvarige kan få. Inspektionen framhåller att det är viktigt att den aktör som anges som ansvarig faktiskt har möjlighet att utöva sitt ansvar och att en ny analys bör göras då förordningen innehåller nya skyldig- heter för de ansvariga. Skälen för regeringens förslag: Det förekommer att det i en författ- ning anges vem som är personuppgiftsansvarig för en viss behandling av sådana bestämmelser bl.a. i rennäringslagen, skogsvårdslagen (1979:429), lagen om nationella toppdomäner för på Internet, lagen om tillsyn över hundar och katter, lagen om djurskyddskontroll- register, lagen om behörighet för lokförare, lagen om elektroniska väg- tullssystem och i lagen (2014:52) om infrastrukturavgifter på väg. Enligt definitionen i artikel 4.7 i dataskyddsförordningen är en person- uppgiftsansvarig en fysisk eller juridisk person, myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. anges att om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den person- uppgiftsansvarige, eller de särskilda kriterierna för hur denne ska utses, föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. nande formulering finns i dataskyddsdirektivet (artikel 2 d). Det är således enligt dataskyddsförordningen tillåtet, men inte ett krav, att i nationell rätt ange vem som är personuppgiftsansvarig. regeringen tillräckligt vid en anpassning av bestämmelserna att konsta- tera att dataskyddsförordningen inte innebär någon ändring av definitio- nen av begreppet personuppgiftsansvarig. Innebörden av ett sådant ansvar framgår av dataskyddsförordningens reglering. bedömer mot denna bakgrund att de nuvarande bestämmelserna om vem som är personuppgiftsansvarig kan behållas och att dessa endast bör ändras på så sätt att hänvisningen till personuppgiftslagen tas bort. Datainspektionen efterfrågar en analys av vilka konsekvenser ett angivande av den personuppgiftsansvarige kan få. innebär förändringar i regelverket om behandling av personuppgifter har det enligt regeringen inte framkommit skäl att anta att den som anges 2017/18:122 som personuppgiftsansvarig i lag inte har möjligheter att uppfylla det ansvar som följer av dataskyddsförordningen. En analys av varje person- uppgiftsansvarigs faktiska möjligheter att uppfylla sitt ansvar bedöms därmed inte som nödvändig. Regeringens förslag: Förbudet mot behandling av känsliga person- uppgifter i lagen om djurskyddskontrollregister och begränsningen av sökbegrepp i lagen om behörighet för lokförare ska även omfatta upp- gifter om en persons sexuella läggning samt genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person. Bestämmelsen i lagen om behörighet för lokförare som tillåter behandling av känsliga personuppgifter om hälsa i förarbevisregistret ska anpassas efter terminologin i dataskyddsförordningen. Promemorians förslag överensstämmer i huvudsak med regeringens. Promemorian innehåller dock inget förslag till språklig anpassning av 4 kap. 9 § lagen om behörighet för lokförare. Remissinstanserna: Remissinstanserna tillstyrker promemorians för- slag eller har inga invändningar mot förslaget. Datainspektionen efter- frågar ett klargörande av vilka undantag i dataskyddsförordningen som behandlingen av känsliga personuppgifter enligt mönstringslagen har stöd av. I de fall då undantag görs med stöd av artikel i dataskydds- förordningen efterfrågas en redovisning av det viktiga allmänintresse som avses samt en analys som visar att behandlingen står i proportion till det eftersträvade syftet och är förenlig med det väsentliga innehållet i rätten till dataskydd. Skälen för regeringens förslag Behandling av känsliga personuppgifter finns genom personuppgiftslagen ett förbud mot behand- ling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter om hälsa eller om en fysisk persons sexualliv. En nyhet i dataskyddsförordningen är att uppräkningen av särskilda kategorier av personuppgifter utvidgas till att även omfatta genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning (artikel 9.1). Detta innebär således en viss materiell förändring. När det gäller tillägget av sexuell läggning får detta dock redan anses ingå i begreppet sexualliv (jfr prop. 2000/01:126 s. 31 och prop. 2007/08:95 s. 125–129). I propositionen Ny dataskyddslag gör regeringen bedömningen att det väl inarbetade begreppet känsliga personuppgifter bör användas som samlingsbegrepp för sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som räknas upp i artikel 9.1 i dataskyddsförordningen (prop. 2017/18:105 s. 74). Regeringen bedömer att en sådan ordning är lämplig även i den sektorsspecifika reglering som finns inom Närings- Prop. 2017/18:122 departementets ansvarsområden. I artikel 9.2 i dataskyddsförordningen finns föreskrifter om i vilka situationer känsliga personuppgifter får behandlas trots förbudet mot behandling. Det är exempelvis tillåtet att behandla känsliga person- uppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, som står i proportion till det eftersträvade syftet. Unionsrätten eller medlemsstaternas nationella rätt ska också vara förenlig med det väsent- liga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Regeringen bedömer i propositionen Ny dataskyddslag att undantagen i artikel 9.2 är direkt tillämpliga men att det även krävs annat stöd i rättsordningen utöver det som dataskyddsförordningen ger när undantagen hänvisar till nationell rätt eller unionsrätten (prop. 2017/18:105 s. 74). Något ut- rymme för medlemsstaterna att föreskriva ytterligare undantag från förbudet i artikel 9.1 lämnas inte. Som regeringen konstaterat i avsnitten 4 och 5 möjliggör dataskydds- förordningen nationella bestämmelser som uppställer särskilda krav på vilka uppgifter som får behandlas när behandlingen sker med stöd av någon av de rättsliga grunderna i artikel 6.1 c eller e i dataskyddsförord- ningen (jfr artikel 6.2 och 6.3). Medlemsstaterna får i dessa fall dessutom specificera bestämmelser om behandling av känsliga personuppgifter (skäl 10). Att behandla känsliga personuppgifter i djurskyddskontrollregistret är inte tillåtet I 6 § lagen om djurskyddskontrollregister anges att sådana känsliga upp- gifter som avses i 13 § personuppgiftslagen inte får behandlas i registret. Det är enligt regeringen förenligt med dataskyddsförordningen att be- hålla en bestämmelse som anger att känsliga personuppgifter inte får behandlas i ett visst register. Hänvisningen till personuppgiftslagen ska dock ersättas med en hänvisning till artikel 9.1 i dataskyddsförordningen. Detta innebär en viss materiell förändring på så sätt att det inte kommer att vara tillåtet att i djurskyddskontrollregistret behandla uppgifter om en persons sexuella läggning samt genetiska uppgifter och biometriska upp- gifter för att entydigt identifiera en fysisk person. Några sådana uppgifter behandlas inte i registret så i praktiken får ändringen inte någon betydelse. När det gäller tillägget av sexuell läggning får detta redan anses ingå i begreppet sexualliv (jfr prop. 2000/01:126 s. 31 och prop. 2007/08:95 s. 125–129). För att undvika osäkerhet är det av stor vikt att terminologin som används i den nationella regleringen följer den begreppsutveckling som sker inom unionen. Det är därför ändamålsenligt att hänvisningen till de uttryck som används i artikel 9.1 i dataskydds- förordningen görs dynamisk, dvs. avser förordningen i den vid varje tid- punkt gällande lydelsen (jfr prop. 2017/18:105 s. 24–25). Att behandla känsliga personuppgifter om hälsa i förarbevisregistret är tillåtet under vissa förutsättningar I 4 kap. 9 § lagen om behörighet för lokförare regleras under vilka förut- sättningar uppgifter om en persons fysiska och psykiska hälsa får behandlas i det s.k. förarbevisregistret. Registret förs av Transport- styrelsen. Känsliga personuppgifter som rör den registrerades hälsa får behandlas i registret om uppgifterna är nödvändiga för handläggningen av ett ärende, eller för något av de ändamål som anges i 8 § samma lag, om det är nödvändigt med hänsyn till ändamålet. I förarbetena (prop.