prop · H503120 · 2018-03-06 00:00:00 — Dataskyddslagen innehåller även generella be- gränsningar av den registrerades rättigheter (5 kap. 1 och 2 §§). Den innehåller också processuella bestämmelser (6 och 7 kap.). 5 § Kreditupplysningsverksamhet ska bedrivas så att den inte leder till otillbör- ligt intrång i personlig integritet genom innehållet i de upplysningar som för- medlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. För sådan behandling av personuppgifter som omfattas av EU:s dataskyddsförordning gäller i stället artikel 5 i den förordningen. Uppgifter om fysiska personer får samlas in endast för kreditupplysnings- ändamål. Vid helt eller delvis automatiserad behandling av uppgifter om juridiska personer ska den som bedriver kreditupplysningsverksamhet vidta lämpliga tek- niska och organisatoriska säkerhetsåtgärder för att hindra att behandlingen sker på ett otillåtet sätt och att uppgifterna utsätts för otillåten insyn. Bestämmelser om säkerheten vid behandling av personuppgifter finns i EU:s dataskyddsförord- ning. I kreditupplysningsverksamhet får personuppgifter behandlas utan samtycke. Den registrerade har inte rätt att göra invändningar enligt artikel 21.1 i EU:s dataskyddsförordning mot behandlingen. Andra stycket tillämpas inte i den utsträckning det skulle strida mot bestäm- melserna i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. 2017/18:120 I paragrafen finns bestämmelser om hur kreditupplysningsverksamhet ska bedrivas. Övervägandena finns i avsnitt 6.3, 6.8 och 6.9. I den andra meningen i första stycket ersätts hänvisningen till person- uppgiftslagen (1998:204) med en hänvisning till dataskyddsförordningen. För sådan behandling av personuppgifter som omfattas av dataskydds- förordningen gäller alltså inte de allmänna krav på kreditupplysnings- verksamhet som finns i första meningen, utan i stället de principer för be- handling av personuppgifter som föreskrivs i artikel 5 i förordningen. Av den artikeln framgår bl.a. att uppgifter ska samlas in för särskilda, ut- tryckligt angivna och berättigade ändamål och att uppgifter inte får för- varas i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Föreskrifter som kompletterar artikel 5 i dessa delar finns i 5 § andra stycket respektive 8 §. De allmänna kraven i första meningen är fortsatt tillämpliga utanför dataskyddsförordningens tillämpningsom- råde, t.ex. för behandling av uppgifter om juridiska personer och för sådan behandling av personuppgifter som inte omfattas av dataskydds- förordningen (dvs. i praktiken behandling av personuppgifter som inte ingår eller kommer att ingå i ett register). Även i andra meningen i tredje stycket ersätts hänvisningen till person- uppgiftslagen med en hänvisning till dataskyddsförordningen. Av hän- visningen framgår att bestämmelser om säkerheten vid behandling av personuppgifter finns i dataskyddsförordningen (främst i kapitel IV). I fjärde stycket, som bl.a. reglerar rätten att invända mot behandlingen av personuppgifter i kreditupplysningsverksamhet, tas hänvisningen till personuppgiftslagen bort. Vidare anpassas terminologin till dataskydds- förordningen och den berörda artikeln i förordningen anges. Anpass- ningen av terminologin innebär inte någon förändring i sak. Begräns- ningen av rätten att invända mot behandling har stöd i artikel 23 i data- skyddsförordningen. Hänvisningarna till dataskyddsförordningen avser förordningen i den gällande lydelsen, s.k. dynamiska hänvisningar. 6 § Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (käns- liga personuppgifter) får inte behandlas i kreditupplysningsverksamhet. Uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden får inte utan medgivande av Datainspektionen behandlas i kreditupplysningsverksamhet. Ett medgivande får lämnas endast om det finns synnerliga skäl för det. Andra stycket hindrar inte att uppgifter om betalningsförsummelser, kredit- missbruk eller näringsförbud behandlas i kreditupplysningsverksamhet. Paragrafen reglerar bl.a. behandlingen av känsliga personuppgifter och uppgifter om lagöverträdelser i kreditupplysningsverksamhet. vägandena finns i avsnitt 6.5. Första stycket anpassas till artikel 9.1 i dataskyddsförordningen. innebär att förbudet mot att behandla känsliga personuppgifter i kredit- upplysningsverksamhet utvidgas till att omfatta även uppgifter om sexuell läggning, genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person. Övriga ändringar är språkliga eller redaktionella. Hänvisningen till dataskyddsförordningen avser förordningen i den vid varje tidpunkt gällande lydelsen, en s.k. dynamisk hänvisning. 10 § En juridisk person har rätt att mot skälig avgift hos den som bedriver kreditupplysningsverksamhet få skriftligt besked om huruvida det i verksamheten behandlas uppgifter om den juridiska personen. Behandlas sådana uppgifter ska besked lämnas om a)vilka uppgifter som behandlas, b)ändamålen med behandlingen, och c)till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Första stycket tillämpas inte i den utsträckning det skulle strida mot bestäm- melserna i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Bestämmelser om en fysisk persons rätt till tillgång till personuppgifter och annan information finns i artiklarna 12 och 15 i EU:s dataskyddsförordning. I paragrafen behandlas rätten till registerbesked. Övervägandena finns i avsnitt 6.6. Ändringen i första stycket innebär att regleringen om fysiska personers rätt till registerbesked tas bort. Bestämmelserna om registerbesked kom- mer alltså bara att tillämpas i förhållande till juridiska personer. Detta som en följd av att fysiska personers rätt till information som svarar mot ett registerbesked regleras i dataskyddsförordningen (se författnings- kommentaren till tredje stycket). I det nya tredje stycket upplyses om att dataskyddsförordningen är tillämplig i fråga om en fysisk persons rätt att få tillgång till person- uppgifter och viss annan information. Där regleras vilken information som ska tillhandahållas, hur den ska begäras och i vilken form den ska lämnas. Dataskyddsförordningen tillämpas dock inte i den utsträckning som det skulle strida mot tryckfrihetsförordningen och yttrandefrihets- grundlagen (se 1 kap. 7 § i den föreslagna dataskyddslagen). Utlämnande av uppgifter kommer därför inte heller att kunna ske i strid med meddelarskyddet i 3 kap. 3 § tryckfrihetsförordningen eller 2 kap. 3 § yttrandefrihetsgrundlagen. Hänvisningen till dataskyddsförordningen avser förordningen i den gällande lydelsen, en s.k. dynamisk hänvisning. 11 § När en kreditupplysning om en fysisk person lämnas ut, ska till den som avses med upplysningen och kostnadsfritt sändas ett skriftligt med- delande om 1.vem som bedriver kreditupplysningsverksamheten och kontaktuppgifter till dataskyddsombudet, om ett sådant ombud krävs enligt artikel 37 i EU:s dataskyddsförordning, 2.ändamålen med och den rättsliga grunden för behandlingen, 3.vilka kategorier av personuppgifter som behandlas, varifrån uppgifterna hämtats och hur länge uppgifterna kommer att lagras, 4.de uppgifter, omdömen och råd som upplysningen innehåller om honom eller henne, 5.möjligheten att få tillgång till och rättelse av de uppgifter som rör honom 2017/18:120 6. vilka kategorier av mottagare som kan ta del av personuppgifterna och vem som har begärt upplysningen, och 7. möjligheten att framställa klagomål till Datainspektionen. Om kreditupplysningen lämnas ut till ett svenskt kreditinstitut eller värde- pappersbolag, eller till ett motsvarande utländskt företag, för att användas endast som underlag för beräkning av kapitalkravet för kreditrisker med en sådan metod som avses i artikel 143.1 i och rådets förordning (EU) nr 575/2013 av om tillsynskrav för kreditinstitut och värde- pappersföretag och om ändring av förordning (EU) nr 648/2012, får meddelandet sändas senare men utan onödigt dröjsmål och begränsas till information enligt första stycket 1, 2 och 6. Om den som avses med upplysningen begär det, ska även information enligt 3, 4, 5 och 7 sändas till honom eller henne. Första och andra styckena gäller också när en kreditupplysning lämnas om ett handelsbolag eller kommanditbolag. Första–tredje styckena gäller inte kreditupplysningar som lämnas genom offentliggörande på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, utom när upplysningarna tillhandahålls ur en databas enligt 1 kap. 9 § yttrandefrihetsgrundlagen på sätt som avses i den paragrafens första stycke 1 och 2. Paragrafen innehåller bestämmelser om skyldigheten att när en kredit- upplysning lämnas ut ge viss information till den person som avses med kreditupplysningen. Skyldigheten uppfylls i regel genom att en kopia på kreditupplysningen med kompletterande information sänds till personen i fråga. Övervägandena finns i avsnitt 6.6. Bestämmelserna har stöd i artiklarna 6.2, 6.3 och 14.5 c i dataskydds- förordningen. Det får till följd att förordningens bestämmelser om infor- mation som ska tillhandahållas den registrerade om personuppgifter har samlats in från någon annan än den registrerade – delar av artikel 12 samt artikel 14 – inte ska tillämpas i kreditupplysningsverksamhet. I första stycket anpassas informationsplikten till dataskyddsförordning- ens bestämmelser om vilken information som självmant ska lämnas till en registrerad när uppgifter har samlats in från någon annan än den som är registrerad (artikel 14.1 och 14.2). Ändringarna innebär att en fysisk person som avses med en kreditupplysning ges en utvidgad rätt till infor- mation. I ett tillägg i första punkten anges att det ska ges information om kontaktuppgifter till dataskyddsombudet, om ett sådant krävs enligt data- skyddsförordningen (artikel 37). Genom ett tillägg i andra punkten krävs att information även lämnas om den rättsliga grunden för behandlingen. I den nya tredje punkten ställs upp krav på att information ska lämnas om vilka kategorier av personuppgifter som behandlas, varifrån uppgifterna har hämtats och lagringstid. Som en konsekvensändring av den nya punkten omnumreras hittillsvarande tredje–femte punkterna och beteck- nas fjärde–sjätte punkterna. I femte punkten görs ett tillägg om att infor- mation ska lämnas inte bara om möjligheten att begära rättelse av uppgif- ter utan även om möjligheten att få tillgång till uppgifterna. I sjätte punk- ten läggs till ett krav på att information ska ges om vilka kategorier av mottagare som kan ta del av personuppgifterna. I sjunde punkten, som är ny, föreskrivs att information ska lämnas om möjligheten att framställa klagomål till Datainspektionen. Ändringarna i andra stycket, som reglerar frågan om vilken informa- tion som ska sändas till den som avses med en kreditupplysning när upplysningen har lämnats för att användas endast som underlag för Prop. 2017/18:120 beräkning av kapitalkravet för kreditrisker, är en följd av de ändringar som görs i första stycket. Hänvisningen till dataskyddsförordningen avser förordningen i den gällande lydelsen, en s.k. dynamisk hänvisning. Rättelse, komplettering och radering 12 § Om det finns anledning att misstänka att en uppgift som behandlas i kredit- upplysningsverksamhet eller som har lämnats i en kreditupplysning är oriktig eller missvisande, eller att den annars har behandlats i strid med denna lag eller EU:s dataskyddsförordning, ska den som bedriver verksamheten utan dröjsmål vidta skäliga åtgärder för att utreda förhållandet. Om det visar sig att uppgiften är oriktig eller missvisande, eller att den annars har behandlats i strid med lagen eller EU:s dataskyddsförordning, ska den, om den förekommer i register, rättas, kompletteras eller raderas. Om en oriktig eller missvisande uppgift har tagits in i en kreditupplysning som lämnats ut, ska rättelse eller komplettering så snart det kan ske tillställas var och en som fått del av uppgiften. Detta gäller inte offentliggörande av en kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, utom när upplysningen tillhandahållits ur en databas enligt 1 kap. 9 § yttrandefrihetsgrundlagen på sätt som avses i den paragrafens första stycke 1 och 2. Om uppgiften har lämnats i en periodisk skrift eller i en kreditupplysningsverksamhet som bedrivs genom åter- kommande offentliggöranden enligt yttrandefrihetsgrundlagen, ska rättelse eller komplettering så snart det kan ske införas i ett följande nummer av skriften eller motsvarande form av offentliggörande enligt yttrandefrihetsgrundlagen. Andra–fjärde styckena gäller inte om uppgiften uppenbarligen saknar bety- delse för bedömningen av personens vederhäftighet i ekonomiskt hänseende. Om en fråga om rättelse eller liknande åtgärd har tagits upp efter framställning från den som uppgiften avser, ska han eller hon kostnadsfritt underrättas om huruvida en sådan åtgärd har vidtagits. En fysisk person ska på begäran även få information om vem som har tillställts en rättelse eller komplettering enligt tredje stycket. Paragrafen innehåller bestämmelser om vilka åtgärder den som bedriver kreditupplysningsverksamhet ska vidta när uppgifter är oriktiga, miss- visande eller annars har behandlats i strid med kreditupplysningslagen eller dataskyddsförordningen. Övervägandena finns i avsnitt 6.7. Paragrafen motsvarar i stort artiklarna 16 och 17 i dataskyddsförord- ningen. I två avseenden avviker bestämmelserna i begränsande riktning från förordningens reglering. Bestämmelserna innebär att rätten till rättel- se, komplettering och radering i kreditupplysningsverksamhet är begrän- sad till uppgifter som behandlas eller har lämnats i en kreditupplysning . Det finns också en begränsning i fråga om upp- gifter som uppenbarligen saknar betydelse för bedömningen av den re- gistrerades vederhäftighet i ekonomiskt hänseende. Begränsningarna har stöd i artikel 23 i dataskyddsförordningen. I första stycket görs ett tillägg som innebär att det finns en skyldighet att utreda förhållanden även när det finns anledning att misstänka att uppgifter har behandlats i strid med dataskyddsförordningen. 2017/18:120 På motsvarande sätt görs i andra stycket tillägget att skyldigheten att vidta åtgärder omfattar även fall där uppgifter har behandlats i strid med förordningen. Vidare anpassas terminologin i bestämmelsen till data- skyddsförordningen genom att det föreskrivs att en uppgift ska raderas i stället för uteslutas ur registret (jfr artikel 17 i dataskyddsförordningen). Anpassningen av terminologin innebär inte någon ändring i sak. I den nya andra meningen i sista stycket införs en skyldighet att på be- gäran informera en fysisk person om vem som har tillställts en rättelse el- ler komplettering. Tillägget är en anpassning till artikel 19 i dataskydds- förordningen. Begränsning av behandling av personuppgifter 12 a § I artikel 18 i EU:s dataskyddsförordning finns bestämmelser om fysiska personers rätt att begära att behandlingen av personuppgifter begränsas. Paragrafen, som är ny, upplyser om att fysiska personer har rätt att enligt artikel 18 i dataskyddsförordningen begära att behandlingen av person- uppgifter om dem begränsas. Övervägandena finns i avsnitt 6.7. Rubriken närmast före paragrafen är utformad i enlighet med Lagrådets förslag. Hänvisningen till dataskyddsförordningen avser förordningen i den gällande lydelsen, en s.k. dynamisk hänvisning. 15 § Datainspektionen utövar tillsyn över efterlevnaden av denna lag. Tillsynen ska utövas så att den inte vållar större kostnad eller olägenhet än som är nödvändig. Vid tillsyn över sådan behandling av personuppgifter som omfattas av EU:s dataskyddsförordning gäller Datainspektionens befogenheter enligt denna lag ut- över de befogenheter som tillsynsmyndigheten har enligt artikel 58.1–58.3 i den förordningen. Paragrafen innehåller regler om Datainspektionens tillsyn över efter- levnaden av kreditupplysningslagen. Övervägandena finns i avsnitt 6.10. I tredje stycket, som är nytt, anges att vid behandling av personuppgif- ter i kreditupplysningsverksamhet gäller Datainspektionens befogenheter enligt kreditupplysningslagen utöver de befogenheter som inspektionen har enligt dataskyddsförordningen (artikel 58.1–58.3). Tillsynsbefogen- heterna i kreditupplysningslagen ger bl.a. Datainspektionen rätt att kost- nadsfritt ta del av kreditupplysningar som offentliggjorts på sådant sätt som avses i tryckfrihetsförordningen och yttrandefrihetsgrundlagen (16 § tredje stycket) och möjlighet att meddela eller ändra villkor eller att åter- kalla tillstånd för att bedriva kreditupplysningsverksamhet (17 §). Att tillsynsmyndighetens befogenheter enligt dataskyddsförordningen gäller även vid tillsyn över efterlevnaden av kreditupplysningslagen i de delar lagen kompletterar dataskyddsförordningen framgår av 6 kap. 1 § i den föreslagna dataskyddslagen. Hänvisningen till dataskyddsförordningen avser förordningen i den gällande lydelsen, en s.k. dynamisk hänvisning. Straff och skadestånd m.m. 21 § Den som bedriver kreditupplysningsverksamhet ska ersätta skada som till följd av verksamheten tillfogas någon genom otillbörligt intrång i hans eller hen- nes personliga integritet eller genom att en oriktig uppgift lämnas om honom eller henne, om inte den som bedriver verksamheten kan visa att tillbörlig omsorg och varsamhet har iakttagits. Vid bedömningen av i vilken utsträckning skada har uppstått ska hänsyn tas även till lidande och andra omständigheter av annan än rent ekonomisk betydelse. För sådan behandling av personuppgifter som omfattas av EU:s dataskydds- förordning gäller artikel 82 i den förordningen i stället för första stycket. Paragrafen behandlar rätten till skadestånd. Övervägandena finns i avsnitt 6.12. Av andra stycket, som är nytt, framgår att dataskyddsförordningen (artikel 82) reglerar rätten till ersättning för felaktig personuppgifts- behandling om behandlingen omfattas av förordningen. Det innebär att fysiska personers rätt att få ersättning för felaktig personuppgiftsbehand- ling i kreditupplysningsverksamhet i de allra flesta fall ska prövas mot förordningens ersättningsbestämmelse. I fråga om behandling av upp- gifter om juridiska personer och sådan behandling av personuppgifter som inte omfattas av förordningen, dvs. behandling av person- uppgifter som inte ingår eller kommer att ingå i ett register, sker pröv- ningen enligt första stycket. Hänvisningen till dataskyddsförordningen avser förordningen i den gällande lydelsen, en s.k. dynamisk hänvisning. 10.2Förslaget till lag om ändring i lagen (2012:318) om 1996 års 10 § En svensk myndighet får föra över personuppgifter till en myndighet i ett land utanför Europeiska ekonomiska samarbetsområdet, om det behövs för att den myndigheten ska kunna överväga en nödvändig åtgärd enligt Haag- konvention. Paragrafen behandlar rätten att föra över personuppgifter till tredjeland. Övervägandena finns i avsnitt 6.14. Ändringen innebär att en hänvisning till personuppgiftslagen (1998:204) tas bort. I paragrafen klargörs när förutsättningarna för en överföring av uppgifter till tredjeland är uppfyllda. Överföring med stöd av bestämmelsen är möjlig även om det inte finns något beslut om adekvat skyddsnivå enligt artikel 45.3 i dataskyddsförordningen eller lämpliga skyddsåtgärder enligt artikel 46 i förordningen. Detta eftersom det samarbete som sker med stöd av den aktuella har bedömts vara ett viktigt allmänintresse (jfr artikel 49.1 d och 49.4 i förordningen och prop. 2011/12:85 s. 49). Europeiska unionens officiella tidning L 119/1 OCH RÅDETS FÖRORDNING (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria f lödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) (Text av betydelse för EES) OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (1), med beaktande av yttrande (2), i enlighet med det ordinarie lagstiftningsförfarandet (3), och av följande skäl: (1)Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan och artikel 16.1 i )fördraget om Europeiska unionens funktionssätt (EUF-fördraget) föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. (2)Principerna och reglerna för skyddet för fysiska personer vid behandling av deras personuppgifter bör, oavsett deras medborgarskap eller hemvist, respektera deras grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Avsikten med denna förordning är att bidra till att skapa ett område med frihet, säkerhet och rättvisa och en ekonomisk union, till ekonomiska och sociala framsteg, till förstärkning och konvergens av ekonomierna inom den inre marknaden samt till fysiska personers välbefinnande. (3)och rådets direktiv /46/EG (4) syftar till att harmonisera skyddet av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter och att säkerställa det fria flödet av personuppgifter mellan medlemsstaterna. (1) EUT C 229, 31.7.2012, s. 90. (2) EUT C 391, 18.12.2012, s. 127. (3) ståndpunkt av (ännu ej offentliggjord i EUT) och rådets ståndpunkt vid första behandlingen av (ännu ej offentliggjord i EUT). (4) och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31). L 119/2 Europeiska unionens officiella tidning (4)Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald. (5)Den ekonomiska och sociala integration som uppstått tack vare den inre marknaden har lett till en betydande ökning av de gränsöverskridande flödena av personuppgifter. Utbytet av personuppgifter mellan offentliga och privata aktörer, inbegripet fysiska personer, sammanslutningar och företag, över hela unionen har ökat. Nationella myndigheter i medlemsstaterna uppmanas i unionsrätten att samarbeta och utbyta personuppgifter för att vara i stånd att fullgöra sina uppdrag eller utföra arbetsuppgifter för en myndighet som finns i en annan medlemsstat. (6)Den snabba tekniska utvecklingen och globaliseringen har skapat nya utmaningar vad gäller skyddet av personuppgifter. Omfattningen av insamling och delning av personuppgifter har ökat avsevärt. Tekniken gör det möjligt för både privata företag och offentliga myndigheter att i sitt arbete använda sig av personuppgifter i en helt ny omfattning. Allt fler fysiska personer gör sina personliga uppgifter allmänt tillgängliga, världen över.