prop · H503171 · 2018-03-19 00:00:00 — kommer att ingå i ett register. Ett register är enligt definitionen i artikel 4.6 i dataskyddsförordningen en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Med personuppgifter avses enligt artikel 4.1 i dataskyddsförordningen varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvis- ning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift, onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Tillämpningsområdet anges i det nu gällande dataskyddsdirektivet i relevanta delar på samma sätt som i dataskyddsförordningen. personuppgiftslagen används inte ordet register, utan en modifierad formulering av dataskyddsdirektivets definition av ett register, nämligen en strukturerad samling av personuppgifter som är tillgängliga för sök- ning eller sammanställning enligt särskilda kriterier. Enligt 3 § person- uppgiftslagen avses med personuppgifter all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Registerförfattningarna omfattar i allmänhet samma typer av behand- lingar och personuppgifter som dataskyddsdirektivet, personuppgifts- lagen och dataskyddsförordningen. skränkt till att avse bara viss typ av behandling, t.ex. automatiserad, eller typ av personuppgift och ibland är tillämpningsområdet utvidgat till att avse ytterligare uppgifter, t.ex. uppgifter om avlidna eller juridiska per- Registerförfattningar reglerar vidare bara behandling inom en viss i författningen angiven verksamhet. Dataskyddsförordningen hindrar inte att medlemsstaterna fritt be- tillämpningsområdet för nationell lagstiftning. ligger utanför dataskyddsförordningens tillämpningsområde kan således Prop. 2017/18:171 regleras i en författning som kompletterar dataskyddsförordningen, och en sådan författning behöver inte reglera alla typer av behandlingar eller personuppgifter som dataskyddsförordningen reglerar. Det innebär att den nationella registerlagstiftningen för den verksamhet som regleras kan ha ett vidare eller snävare tillämpningsområde än dataskyddsförord- ningen och t.ex. omfatta sådan behandling som inte omfattas av dataskyddsförordningen samt uppgifter om avlidna personer. Att med- lemsstaterna får fastställa bestämmelser för behandlingen av personupp- gifter avseende avlidna personer framgår dessutom av skäl 27 i data- skyddsförordningen. De registerförfattningar som gäller för uppgifter om avlidna per- soner eller juridiska personer kan således även fortsättningsvis tillämpas på sådana uppgifter. slutsats är att be- stämmelser i registerförfattningar som reglerar vilka typer av behand- lingar och uppgifter författningen ska tillämpas på inte behöver ändras med anledning av dataskyddsförordningen. Regeringen instämmer i denna bedömning. I fråga om författningen som omfattar behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten så ska enligt artikel 2.2 d i dataskyddsförordningen förordningen inte tillämpas. I stället ska dataskyddsdirektivet tillämpas. Det innebär att det finns myndigheter som kommer att behöva tillämpa regleringen i dataskyddsförordningen, och den kompletterande nationella lagstiftningen, för behandling av personuppgifter. Det gäller framför allt myndigheterna inom rättskedjan men även andra myndigheter kan ha uppdrag som i någon del innebär brottsbekämpning, lagföring eller verk- ställigheten av påföljder. Hur denna gränsdragningsfråga bör hanteras redogörs för i avsnitten 6.3, 7.1 och 7.4. 6.3Registerförfattningarnas förhållande till annan dataskyddsreglering Regeringens bedömning: Registerförfattningarna bör innehålla en upplysning om att författningarna kompletterar EU:s dataskyddsför- ordning. Dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen bör gälla, om inte annat följer av registerförfatt- ningen eller föreskrifter som har meddelats med stöd av den. Dataskyddsförordningen tillämpas inte när det är fråga om person- uppgiftsbehandling som en behörig myndighet utför i syfte att före- bygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt före- bygga och förhindra hot mot den allmänna säkerheten (artikel 2.2 d i EU:s dataskyddsförordning). bedömning: Överensstämmer i allt väsentligt med regeringens. Utredningens förslag innehåller dock inte formuleringen föreskrifter som har meddelats i anslutning till data- Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen anser att samma terminologi bör användas i all nationell reglering som rör behandling av personuppgifter, vilket även innefattar vilken förkortning som används. I författningsförslagen i be- tänkandet används förkortningen och rådets förord- ning (EU) nr 2016/679. Datainspektionen konstaterar att i förslaget till den kompletterande dataskyddslagen används förkortningen dataskydds- förordningen, jfr 1 kap. 1 § förslaget till kompletterande dataskyddslag. I den mån både dataskyddsförordningen och brottsdatalagen kan bli tillämplig inom en viss verksamhet är det av stor vikt att lagstiftaren tyd- liggör för verksamheterna vilka bestämmelser som ska tillämpas i vilken Inom hälso- och sjukvården och inom finns det delar av verksamheten som utgör verkställighet av påföljder inom rätts- Den personuppgiftsbehandling som utförs för dessa ändamål omfattas inte av dataskyddsförordningen utan i stället av ett direktiv, som i genomförs genom en brottsdatalag. Detta kommer att ställa stora krav på verksamheterna i deras arbete med personuppgiftsbehand- Behandlingen av personuppgifter inom dessa verksamheter måste vid varje givet tillfälle vara i enlighet med det regelverk som är tillämpligt på den behandling som utförs . bakgrund av detta söka tydliggöra för verksamheterna och de registrerade vilket regelverk som är tillämpligt när, och i den mån det är möjligt, harmonisera regelverken för att underlätta en korrekt behandling. mån en författning innehåller bestämmelser om dels verksamheten som sådan, dels personuppgiftsbehandling måste det vara tydligt vilka be- stämmelser som har sin grund i dataskyddsförordningen. Även Justitiekanslern har anfört att det är mycket angeläget att samma allmänna utgångspunkter tillämpas och likartade lagtekniska lösningar väljs för alla de författningar som tillkommer eller ses över med anled- ning av EU:s dataskyddsreform. Det gäller t.ex. en sådan fråga som i vilken mån det behövs upplysningsparagrafer som hänvisar till data- skyddsförordningens bestämmelser och hur sådana ska utformas. Skälen för regeringens bedömning Upplysningsbestämmelser om förhållandet till annan I registerförfattningarna finns det ofta en bestämmelse som anger hur författningen förhåller sig till personuppgiftslagen. I samband med att dataskyddsförordningen och den föreslagna dataskyddslagen börjar till- lämpas kommer personuppgiftslagen att upphävas. I propositionen Ny dataskyddslag (avsnitt 5.1.3) föreslår regeringen i dataskyddslagen (1 kap. 6 §) att om en annan lag eller en annan förord- ning innehåller bestämmelse som avviker från den lagen tillämpas den Dataskyddslagen kommer därmed att vara subsidiär i förhållande till annan lagstiftning om behandling av personuppgifter. Regeringen betonar att bestämmelsen om subsidiaritet kommer att få en betydligt mer begränsad betydelse än dess motsvarighet i 2 § personupp- giftslagen, även om dess innebörd är densamma. Detta beror på att data- skyddslagen, till skillnad från personuppgiftslagen, inte är heltäckande. Dataskyddslagen utgör endast ett komplement till dataskyddsförord- ningen och reglerar bara vissa frågor. Bestämmelsen om att annan lag eller förordning ska ha företräde framför dataskyddslagen utvidgar inte utrymmet för att göra nationella undantag från de direkt tillämpliga bestämmelserna i dataskyddsförordningen. Principen om unionsrättens företräde innebär att en bestämmelse i en sektorsspecifik författning får tillämpas endast om den är förenlig med dataskyddsförordningen och avser en fråga som enligt förordningen får särregleras eller specificeras genom nationell rätt (prop. 2017/18:105 s. 27). Registerförfattningarna kommer endast att innehålla bestämmelser som kompletterar eller tar över bestämmelserna i dataskyddsförordningen, när det är tillåtet. För att tillämparen ska få en tydligare uppfattning av vilken reglering som gäller bör en bestämmelse med en upplysning om att data- skyddsförordningen gäller tas in i registerförfattningarna. Hänvisningen till dataskyddsförordningen ska vara dynamisk och gälla oavsett lydelse. Lagrådet har uttalat att en konsekvensanalys bör göras vid valet av hän- visningsteknik och redovisas för var och en av de hänvisningar som görs (prop. 2015/16:156 s. 34). Eftersom dataskyddsförordningen är direkt tillämplig och syftet med hänvisningen i det här fallet endast är att upp- lysa om att dataskyddsförordningen gäller, framstår det som lämpligast att tillämpa en dynamisk hänvisning. På verksamhetsområde finns det ingen register- författning som gäller i stället för personuppgiftslagen, utan författ- ningarna gäller utöver den lagen och innehåller bara de särbestämmelser som ansetts nödvändiga på det aktuella området. – att registerförfattningen gäller utöver den generella nationella regleringen av behandling av personuppgifter – kan och bör behållas. Eftersom dataskyddslagen som nämnts är tänkt att vara subsidiär be- hövs ingen materiell bestämmelse för att uppnå detta. Registerförfatt- ningarna innehåller dock ändå ofta en bestämmelse om förhållandet till den generella lagen (tidigare personuppgiftslagen som kommer att er- sättas av dataskyddslagen). Normalt är det en upplysning om att den generella personuppgiftslagen gäller om inte annat följer av register- författningen eller föreskrifter som har meddelats i anslutning till författ- ningen. I linje med de bedömningar som gjorts när sådana bestämmelser införts, anser regeringen att det är lämpligt att uttryckligen upplysa om inte bara att registerförfattningen kompletterar dataskyddsförordningen utan också att det kan finnas tillämpliga bestämmelser om behandling av personuppgifter i dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen, om inte annat följer av lagen eller före- skrifter som har meddelats i anslutning till den. Registerförfattningarna bör därför innehålla en sådan upplysning. När dataskyddslagen är tillämplig, är också bestämmelser som regeringen meddelat i anslutning till dataskyddslagen tillämpliga. Detta innebär att eventuella förordnings- bestämmelser om undantag från dataskyddslagens tillämplighet gäller. Bestämmelser om förhållandet till dataskyddsförordningen och data- skyddslagen har i flera lagstiftningsärenden som avser anpassningar till EU:s dataskyddsförordningen fått följande utformning: Denna lag inne- håller bestämmelser som kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskydds- förordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskydds- förordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Bestämmelser om förhållandet till personuppgiftslagen finns även i vissa författningar som i huvudsak innehåller reglering av en viss verk- samhet men som i anslutning till den regleringen också anger vad som gäller i fråga om viss behandling av personuppgifter. Även sådana be- stämmelser bör ändras i enlighet med vad som anges ovan. Socialdata- skyddsutredningen bedömer att eftersom dessa typer av författningar även reglerar annat än behandling av personuppgifter, bör det dock läggas till att lagen i dessa fall kompletterar dataskyddsförordningen endast vid behandling av personuppgifter. Regeringen anser dock att ett sådant tillägg inte behövs utan att detta framgår av bestämmelsens ovan angivna utformning. Förhållandet till nya dataskyddsdirektivet och den föreslagna brottsdatalagen Vid behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten gäller inte dataskyddsförordningen utan det nya dataskyddsdirektivet (artikel 2.2 d i dataskyddsförordningen). Regeringen föreslår i lagrådsremissen Brottsdatalag att EU:s nya data- skyddsdirektiv i huvudsak ska genomföras genom en ny ramlag, brotts- datalagen. Den föreslagna ramlagen gäller vid behandling som utförs av en behörig myndighet i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrätts- liga påföljder. Den nya lagen ska vara generellt tillämplig inom det område som direktivet reglerar. Särregler i annan lag eller förordning ska dock gälla framför den nya lagen. I lagrådsremissen Brottsdatalag avsnitt 6.7, redovisas gränsdragnings- frågor som hör till tillämpningsområdet. Vid bedömning av om en viss personuppgiftsbehandling faller under ramlagens eller dataskyddsförord- ningens tillämpningsområde har det avgörande betydelse om den som behandlar personuppgifter är en behörig myndighet och i vilket syfte uppgiften behandlas. Mot bakgrund av den gränsdragning som EU valt att göra mellan dataskyddsdirektivets och dataskyddsförordningens till- lämpningsområden, där syftet med en behandling av personuppgifter är avgörande, är det ofrånkomligt att båda regelverken kommer att kunna bli tillämpliga i samma arbetsmoment för olika syften. delar regeringen de bedömningar som Utredningen om 2016 års data- Prop. 2017/18:171 skyddsdirektiv gjort när det gäller tillvägagångssätt i gränsdragnings- Ytterligare vägledning kring gränsdragningsfrågor finns i delbe- tänkandet (SOU 2017:29). Regeringen gör bedömningen att frågor om gränsen mellan dataskyddsförordningens och dataskyddsdirektivets tillämpningsområde aktualiseras vid viss personuppgiftsbehandling inom verksamhetsområde. Detta gäller patientdatalagen (2008:355), se vidare avsnitt 7.1, och lagen (2001:454) om behandling av personuppgifter inom , se vidare avsnitt 7.4. Regeringen anser att patientdatalagen och lagen om behandling av personuppgifter inom inte bör bli subsidiära i förhållande till den före- slagna brottsdatalagen, om det inte finns starka skäl för att ha en sådan reglering. För den som behandlar personuppgifter inom exempelvis hälso- och sjukvården eller i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot det allmänna, skulle det knappast underlätta bedömningen av vilken lag- stiftning som gäller för en viss behandling. För sådan personuppgiftsbe- handling bör den föreslagna brottsdatalagen tillämpas. Behandling av personuppgifter som inte omfattas av dataskyddsförordningen och nya dataskyddsdirektivet Det förekommer vidare behandling av personuppgifter som inte omfattas av vare sig dataskyddsförordningen eller det nya dataskyddsdirektivet. Ett exempel är behandling av personuppgifter inom hälso- och sjukvård i vissa delar av Försvarsmaktens verksamhet. I propositionen Ny dataskyddslag föreslår regeringen att bestämmel- serna i EU:s dataskyddsförordning, i den ursprungliga lydelsen, och data- skyddslagen ska gälla även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten och i verksam- het som omfattas av avdelning V kapitel 2 i fördraget om Europeiska unionen (1 kap. 2 § dataskyddslagen). Bestämmelserna i 1 kap. 2 § gäller inte i verksamhet som omfattas av lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst, lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet eller 6 kap. polisdata- lagen (2010:361), (1 kap. 3 § dataskyddslagen). En författning som reglerar behandling av personuppgifter som inte omfattas av vare sig dataskyddsförordningen eller det nya dataskydds- direktivet kommer i många fall att kompletteras av dataskyddsförord- ningen på grund av bestämmelsen i 1 kap. 2 § dataskyddslagen. Regeringens bedömning: De grundläggande principerna för behand- ling av personuppgifter är tvingande och gäller t.ex. även när det av en registerförfattning framgår att personuppgifter får behandlas för ett visst ändamål (artikel 5 i EU:s dataskyddsförordning). 2017/18:171 bedömning: Överensstämmer i allt väsentligt med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Skälen för regeringens bedömning: I artikel 5 i dataskydds- förordningen finns ett antal principer som gäller för all behandling av personuppgifter. Det rör sig om principen om laglighet, korrekthet och öppenhet (a), principen om ändamålsbegränsning (b), principen om uppgiftsminimering (c), principen om korrekthet (d), principen om lagringsminimering (e) och principen om integritet och konfidentialitet (f). Principerna motsvarar i stort sett de principer som framgår av artikel 6 i dataskyddsdirektivet och de grundläggande krav på behandling av personuppgifter som gäller enligt 9 § personuppgiftslagen. Dataskyddsförordningen är direkt tillämplig och tvingande i de delar den inte tillåter nationell reglering. Enligt artikel 23 i dataskyddsförord- ningen är det under vissa förutsättningar möjligt att införa en nationell lagstiftningsåtgärd som begränsar tillämpningsområdet för artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22. Om någon begränsning inte har införts i den nationella lagstiftningen, ska dock artikel 5 tillämpas även när en regi- sterförfattning är tillämplig. Att artikel 5 i dataskyddsförordningen gäller vid sidan av regleringen i en registerförfattning innebär ingen förändring i förhållande till vad som gäller . Även om personuppgiftslagen är subsidiär i förhållande till registerförfattningarna, har utgångspunkten för de allra flesta registerför- fattningar varit att 9 § personuppgiftslagen huvudsakligen ska tillämpas. Att det av en registerförfattning framgår att personuppgifter får behand- las för ett visst ändamål, innebär således inte att t.ex. irrelevanta eller onödigt många personuppgifter får behandlas för ändamålet. Oavsett om ändamålet för behandling av personuppgifter har fastställts i författning eller inte är det alltid den personuppgiftsansvarige som enligt artikel 5.2 i dataskyddsförordningen ansvarar för och ska kunna visa att principerna i artikel 5 följs. Rättslig grund för behandling av Laglig behandling av personuppgifter vid rättslig förpliktelse, allmänt intresse och Regeringens bedömning: Ändamålsbestämmelser i registerförfatt- ningar som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning har stöd i Det krävs inte ytterligare analys av vilket stöd redan befintliga ändamål har för att konstatera att behandlingen är laglig och har nödvändigt författningsstöd. registerförfattningar som tillåter behandling av personuppgifter kan och bör behållas. bedömning: Överensstämmer i allt väsentligt med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Datainspektionen anser att det inte är förenligt med dataskyddsförord- ningen att luta sig mot bedömningar som har gjorts för länge sedan enligt ett annat regelverk utan att ta hänsyn till de omständigheter som råder . Det är inte tillräckligt att hänvisa till de proportionalitetsbedöm- ningar som utförts i tidigare lagstiftningsarbete, utan att det sker någon bedömning av dessa. Eftersom det är frågan om inskränkning i den enskildes rättigheter som bara får ske under förutsättning att den är pro- portionell, krävs det en aktiv bedömning. Vidare finns det förändringar mellan dataskyddsdirektivet och dataskyddsförordningen såsom exem- pelvis att det i vissa fall krävs en i nationell rätt fastställd rättslig grund (artikel 6.3 första stycket), att intresseavvägning inte kan användas som rättslig grund för myndigheter när de fullgör sina uppgifter (artikel 6.1 andra stycket) och att det är tydligare i dataskyddsförordningen att möj- ligheten för offentlig verksamhet att använda samtycke är mycket be- gränsad (skäl 43). delar utredningens uppfattning att de ändamål som fastställts i befintliga registerförfattningar med stöd av artikel 7 c och e i dataskyddsdirektivet i samband med tidigare författningsarbeten har be- dömts relevanta och proportionerliga i förhållande till det integritets- intrång de kan innebära och att det finns mål av allmänt intresse. För vissa registerförfattningar finns inte några förarbetsuttalanden att tillgå och att det i andra författningar finns förarbetsuttalanden som är från den tid då dataskyddsdirektivet genomfördes i svensk rätt. Det är därför önskvärt med förtydliganden i det fortsatta lagstiftningsarbetet vad gäller de olika registerförfattningarnas förenlighet med kraven på proportiona- litet i artikel 6.3 andra stycket sista meningen och kraven i skäl 41 i dataskyddsförordningen. Myndigheten ska inte behöva göra dessa be- dömningar när det redan finns författningsstöd. anför att myndighetens verksamhet regleras av instruktionen, socialförsäkringsbalken, lagen och förordningen om den officiella statistiken och annan offentligrättslig reglering såsom förvalt- ningslagen, arkivlagen och bestämmelser om offentlighet och sekretess samt särskilda regeringsbeslut. Den samlade regleringen uppställer tyd- liga ramar för vad myndigheten har för uppgifter och hur de ska utföras. Den behandling av personuppgifter som myndigheten utför har sin grund i en uppgift av allmänt intresse, myndighetsutövning och i vissa fall en rättslig skyldighet. En tillämpning av det sammantagna regelverket, till- sammans med artikel 5 i förordningen, gör det möjligt att enkelt fastställa tydliga och lagenliga ändamål för behandlingen av personuppgifter. Någon särskild, kompletterande författningsreglering av ändamålen för myndighetens behandling av personuppgifter behövs inte. Bestämmel- serna i 114 kap. 7–9 §§ socialförsäkringsbalken är inte sådana nationella mer specifika bestämmelser som avses i artikel 6.2 i dataskyddsförord- ningen, utan får betraktas som upplysningsbestämmelser om den uppgift av allmänt intresse som slås fast i andra föreskrifter. Artikel 5 i data- skyddsförordningen gäller oavsett förekomsten av nationell reglering av tillåtna ändamål. Detta medför att har en indirekt 2017/18:171 lagprövningsskyldighet av de nationellt reglerade ändamålen jämfört med vad som framgår av regelverket för myndighetens verksamhet och artikel 5.