prop · H503171 · 2018-03-19 00:00:00 — Regeringens förslag: Hänvisningen till personuppgiftslagen i 12 § andra stycket första meningen lagen om internationella hot mot människors hälsa ändras till att avse EU:s dataskyddsförordning och dataskyddslagen. Bestämmelsen i 12 § andra stycket andra meningen lagen om skydd mot internationella hot mot människors hälsa behålls i sak men hän- visningen till 33 § personuppgiftslagen tas bort. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Datainspektionen ifrågasätter bedöm- ning att bestämmelser i registerförfattningar som tillåter överföring av personuppgifter till tredjeland inte behöver ändras om det finns stöd för överföringen i dataskyddsförordningen eftersom det får anses vara en sådan mer specifik, eller särskild, bestämmelse som enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåten att ha i nationell rätt. I vilka fall det är möjligt med nationell reglering avseende tredjelandsöverföring framgår av kapitel V i dataskyddsförordningen. Enligt Datainspektionens bedömning saknas det dock i artikel 49.1 d en möjlighet att i nationell rätt generellt tillåta överföring till tredjeland, men möjligheten till nationell reglering med hänsyn till viktiga allmänintressen finns i stället i artikel 49.5, det krävs dock att det i den nationella rätten fastställs gränser för överföringen av specifika kategorier av personuppgifter till ett tredje land eller en internationell organisation samt att medlems- staterna underrättar kommissionen om sådana bestämmelser. anser att det är i sig alltid förenat med särskilda risker att lämna ut personuppgifter till annat land, inte minst till länder utanför EU och EES. En särskild problematik ligger i det att vare sig de svenska personuppgiftsansvariga myndigheterna eller de regi- strerade kan förutse hur personuppgifterna kommer att användas, efter- som överlämnandet inte kan förenas med villkor som strider mot tvingande bestämmelser i nationell rätt i dessa länder. Det är av väsentlig betydelse att de personuppgiftsansvariga myndigheterna gör en noggrann bedömning av riskerna att uppgifterna kan komma att behandlas för ändamål som inte är förenliga med dataskyddsförordningen och de före- slagna bestämmelserna. Skälen för regeringens förslag: Lagen (2006:1570) om skydd mot internationella hot mot människors hälsa innehåller bestämmelser för genomförandet av internationella hälsoregle- mente som antogs i (hälsoreglementet). Lagen syftar till att skydda mot internationella hot mot människors hälsa. Enligt 12 § andra stycket andra meningen lagen om skydd mot inter- nationella hot mot människors hälsa får och andra berörda myndigheter, kommuner och landsting oavsett bestämmelserna i 33 § personuppgiftslagen överföra personuppgifter till Världshälsoorga- nisationen och tredje land för att fullgöra sin uppgiftsskyldighet enligt lagen. I förarbetena till lagen har anförts bl.a. följande (prop. 2005/06:215 s. 44 f.). Enligt 33 § första stycket personuppgiftslagen är det förbjudet att till tredje land föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifterna. Det- samma gäller beträffande överföring av personuppgifter för behandling i tredje land. Med tredje land menas stat som inte ingår i Europeiska unionen eller är ansluten till europeiska ekonomiska samarbetsområdet. I 34 § har ett antal generella undantag från överföringsförbudet upptagits och enligt 35 § får regeringen meddela ytterligare föreskrifter om undan- tag från förbudet, bl.a. om det är behövligt med hänsyn till viktiga all- männa intressen. Av artikel 26 i dataskyddsdirektivet följer bl.a. att med- lemsstaterna ska föreskriva att överföring av personuppgifter till ett tredje land som inte har en s.k. adekvat skyddsnivå får ske om över- föringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen. I den mån den nationella kontaktpunktens och andra berörda myndigheters informationsplikt innefattar en skyldighet att behandla personuppgifter för överföring till andra stater än sådana som ingår i EU, är anslutna till EES eller har ratificerat dataskyddskonven- tionen, eller en skyldighet att överföra sådana uppgifter till WHO, bör detta vara tillåtet med hänsyn till att ändamålet med behandlingen får anses röra ett viktigt allmänt intresse. Regeringen anser att detta bör komma till uttryck i en särskild bestämmelse i den föreslagna lagen. Av bestämmelsen bör framgå att den nationella kontaktpunkten och andra berörda myndigheter får, för att fullgöra sin uppgiftsskyldighet enligt den föreslagna lagen, överföra personuppgifter till WHO och tredje land utan hinder av 33 § personuppgiftslagen. Överföring av personuppgifter till tredjeländer och internationella organisationer regleras i kapitel V i dataskyddsförordningen. Det innebär att en överföring av personuppgifter till tredjeland kommer att kunna ske under de förutsättningar som anges där. I artikel 44 anges att överföring av personuppgifter som är under behandling eller är avsedda att behand- las efter det att de överförts till ett tredjeland eller en internationell orga- nisation bara får ske under förutsättning att den personuppgiftsansvarige och personuppgiftsbiträdet, med förbehåll för övriga bestämmelser i förordningen, uppfyller villkoren i kapitlet, inklusive för vidare över- föring av personuppgifter från tredjelandet eller den internationella orga- nisationen till ett annat tredjeland eller en annan internationell organisation. Alla bestämmelser i kapitlet ska tillämpas för att säkerställa att den nivå på skyddet av fysiska personer som säkerställs genom för- ordningen inte undergrävs. Om det inte finns något beslut om adekvat skyddsnivå (artikel 45) eller vidtagna lämpliga skyddsåtgärder (artikel 46), kommer en överföring till tredjeland att vara möjlig endast om något av villkoren i artikel 49.1 a–g är uppfyllt. I artikel 49.1 d anges som ett sådant villkor att överföringen är nödvändigt av ett viktigt skäl som rör allmänintresset. följer att allmänintresset ska vara erkänt i unionsrätten eller i den nationella rätt som den som är personuppgiftsansvarig omfattas av. ning att bestämmelser i registerförfattningar som tillåter överföring av personuppgifter till tredjeland inte behöver ändras om det finns stöd för överföringen i dataskyddsförordningen eftersom det får anses vara en sådan mer specifik, eller särskild, bestämmelse som enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåten att ha i nationell rätt. det är möjligt med nationell reglering avseende tredjelandsöverföring framgår av kapitel V i dataskyddsförordningen. bedömning saknas det dock i artikel 49.1 d en möjlighet att i nationell rätt generellt tillåta överföring till tredjeland, men möjligheten till nationell reglering med hänsyn till viktiga allmänintressen finns i stället i artikel 49.5, dock att det i den nationella rätten krävs att det fastställs gränser för överföringen av specifika kategorier av personuppgifter till ett tredje land eller en internationell organisation samt att medlems- staterna underrättar kommissionen om sådana bestämmelser. Regeringen bedömer att med stöd av artikel 49.1 d i dataskyddsförord- ningen, som är direkt tillämplig, får en överföring till ett tredjeland göras när den är nödvändig av viktiga skäl som rör allmänintresset. nationella utbyten av uppgifter mellan hälsovårdsmyndigheter, t.ex. vid kontaktspårning för smittsamma sjukdomar, är enligt skäl 112 i data- skyddsförordningen en uppgiftsöverföring som krävs och är nödvändig med hänsyn till viktiga allmänintressen. Kravet enligt artikel 49.4 i data- skyddsförordningen på att allmänintresset är erkänt i unionsrätten eller i nationell rätt bedöms uppfyllt bl.a. genom att internationell överföring av personuppgifter mellan hälsovårdsmyndigheter i syfte att arbeta mot smittspridning omnämns i nämnda skäl i dataskyddsförordningen. sociala stadga är det dessutom ett mål att så långt som möjligt förebygga uppkomsten av epidemier, folksjukdomar och andra sjukdomar samt olycksfall. Personuppgifter kan även enligt dataskyddsförordningen föras över till och tredjeland för fullgörande av uppgifts- skyldigheten enligt lagen om skydd mot internationella hot mot männi- Överföringen får i sådana fall ske direkt med stöd av dataskyddsförord- Regeringen instämmer dock i be- dömning att en bestämmelse om att överföring av personuppgifter till tredjeland i en viss situation är tillåten har en klargörande verkan och får anses vara en sådan mer specifik, eller särskild, bestämmelse som enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåten att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse (artikel 6.1 c) eller en uppgift av allmänt intresse eller som led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e), se avsnitt 9.14 i SOU 2017:66 s. 260. Regeringen instämmer inte i Datainspek- tionens bedömning att de fall där det är möjligt med nationell reglering avseende tredjelandsöverföring endast framgår av kapitel V i dataskydds- Artikel 49.5 som Datainspektionen hänvisar till innebär endast en möjlighet till nationell reglering i vissa fall för att fastställa gränser för överföringen av specifika kategorier av personuppgifter till ett tredjeland eller en internationell organisation. En bestämmelse i en registerförfattning som anger när överföring av Prop. 2017/18:171 personuppgifter till tredjeland är tillåten behöver inte ändras under förut- sättning av att den inte i övrigt strider mot dataskyddsförordningen. Bestämmelsen i 12 § andra stycket andra meningen lagen om skydd mot internationella hot mot människors hälsa kan därmed behållas i sak, men hänvisningen till 33 § personuppgiftslagen bör tas bort eftersom sist- nämnda lag kommer att upphävas. Eftersom 12 § andra stycket lagen om internationella hot mot människors hälsa handlar om behandling av personuppgifter i en lag som i övrigt reglerar andra förhållanden, är det lämpligt att upplysa om att bestämmelser om skydd mot kränkning av den enskildes personliga integritet genom behandling av personuppgifter finns i EU:s dataskyddsförordning och dataskyddslagen. 7.17Alkohollagen (2010:1622) 7.17.1Bestämmelsen om rättelse och skadestånd upphävs Regeringens förslag: Bestämmelsen i 13 kap. 5 § alkohollagen som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs. förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. Skälen för regeringens förslag: Enligt 13 kap. 5 § alkohollagen ska personuppgiftslagens bestämmelser om rättelse och skadestånd gälla vid behandling av personuppgifter enligt alkohollagen. Bestämmelsen bör upphävas (avsnitt 6.8.1 och 6.11.1). Regeringens förslag: Författningsändringarna till följd av EU:s data- skyddsförordning ska träda i kraft . förslag: Överensstämmer inte med regeringens. Utredningen föreslår ikraftträdande som påverkas av andra utredningsförslag om en brottsdatalag respektive en forskningsdatalag. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot förslag. 2017/18:171 Skälen för regeringens förslag: Dataskyddsförordningen träder enligt artikel 99.1 i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning, vilket skedde . Enligt artikel 99.2 i dataskyddsförordningen ska den börja tillämpas . De författningsändringar som föranleds av att dataskydds- förordningen ska börja tillämpas bör träda i kraft . Registerförfattningarna inom verksamhetsområde gäller utöver personuppgiftslagen. förslag utgår från att den författningstekniken behålls. Registerförfatt- ningarna föreslås således gälla utöver den föreslagna dataskyddslagen, se bl.a. avsnitt 6.3. Det innebär att bestämmelserna i den föreslagna data- skyddslagen ska tillämpas om inget annat framgår av registerförfatt- ningarna. Den valda författningstekniken bygger på att vissa be- stämmelser i den generella nationella regleringen tillämpas vid sidan av registerförfattningarna. Registerförfattningarna innehåller därför inte alla bestämmelser som är nödvändiga. Regeringen föreslår i propositionen Ny dataskyddslag, prop. 2017/18:105, bl.a. att lagen med kompletterande bestämmelser ska träda i kraft . Det föreslås ändringar i patientdatalagen och lagen om behandling av personuppgifter inom som berörs av ett annat lagstiftnings- ärende om en brottsdatalag. Brottsdatalagen beräknas träda i kraft . Mot bakgrund av att ändringarna i patientdatalagen och lagen om behandling av personuppgifter inom utformas så att lagarna inte gäller vid sådan behandling som avses i artikel 2.2 d i EU:s dataskyddsförordning finns det inte anledning att föreslå ett annat ikraftträdande än från och med det datum som förordningen ska börja tillämpas, dvs. , se avsnitt 7.1.1 och 7.4.1. Till följd av övergångsbestämmelserna till den föreslagna dataskydds- lagen kommer personuppgiftslagen att gälla för sådan personuppgifts- behandling som undantas från patientdatalagen och lagen om behandling av personuppgifter inom , fram till dess den föreslagna brottsdatalagen träder i kraft. Detta får karaktären av en lagteknisk reglering som endast kommer att ha betydelse under en kortare över- gångsperiod. Regeringens bedömning: Det behövs inte några särskilda övergångs- bestämmelser. förslag: Överensstämmer inte med regeringens förslag. Utredningen föreslår att äldre föreskrifter fortfarande ska gälla för överklagande av beslut som har meddelats före ikraft- trädandet och att äldre föreskrifter om skadestånd ska fortfarande gälla om den omständighet som yrkandet hänför sig till har inträffat före ikraftträdandet. Remissinstanserna: Flertalet remissinstanser godtar eller invänder inte mot bedömning. Skälen för regeringens bedömning Dataskyddsförordningen ska som anges ovan börja tillämpas först efter det att den har trätt i kraft. I övrigt innehåller dataskyddsförord- ningen inte några övergångsbestämmelser. I skäl 171 i dataskyddsför- ordningen anges att behandling som redan pågår den dag då dataskydds- förordningen börjar tillämpas bör bringas i överensstämmelse med data- skyddsförordningen av från ikraftträdandetidpunkt- en. De personuppgiftsansvariga förutsätts ha anpassat sin behandling av personuppgifter till regleringen i dataskyddsförordningen när den ska börja tillämpas. Enligt Socialdataskyddsutred- ningens bedömning kan skäl 171 i dataskyddsförordningen dock inte anses hindra övergångsbestämmelser avseende behandling av personupp- gifter som utförts före det att dataskyddsförordningen börjar tillämpas. Enligt allmänna förvaltningsrättsliga principer gäller att de föreskrifter som är i kraft när prövningen hos en myndighet eller förvaltningsdomstol sker som huvudregel ska tillämpas, i fråga om både förfarandet och pröv- ningen i sak. Detta gäller även om ett överklagat beslut har fattats före ikraftträdandet. Principen är inte undantagslös och det kan också följa av övergångsbestämmelser eller motiven till lagstiftningen att en annan ordning är avsedd. framför att det är lämpligt att de beslut om behandling av personuppgifter som fattas av en personuppgiftsansvarig myndighet överklagas enligt de regler som gällde när beslutet fattades. I några av de författningar som ingått i utredningens översyn finns bestämmelser om överklagande av beslut om behandling av personuppgifter som fattats av en personuppgiftsansvarig myndighet. Överklagandebestämmelserna i lagen om behandling av personupp- gifter inom och lagen om biobanker i hälso- och sjuk- vården m.m. infördes innan det fanns överklagandebestämmelser i personuppgiftslagen och anger därför vilka beslut som får överklagas. I patientdatalagen och socialförsäkringsbalken finns bestämmelser som upplyser om att personuppgiftslagens överklagandebestämmelser ska tillämpas. Upplysningsbestämmelserna kompletteras av bestämmelser som innebär att andra beslut inte får överklagas. I avsnitt 7.1.11 (patientdatalagen), 7.4.5 (lagen om behandling av personuppgifter inom , 7.5.12 (socialförsäkringsbalken) och 7.11.5 (lagen om biobanker i hälso- och sjukvården m.m.) föreslås att överklagandebestämmelserna ska upphävas. Socialdataskyddsutred- ningen föreslår av tydlighetsskäl bestämmelser som upplyser om att det finns bestämmelser om överklagande av beslut om behandling av person- uppgifter i dataskyddslagen. För att det ska bli tydligt att de äldre före- skrifterna om överklagande ska tillämpas vid överklagande av beslut som har meddelats före ikraftträdandet bedömer Socialdataskyddsutred- ningens att övergångsbestämmelser bör införas om att äldre föreskrifter gäller fortfarande för överklagande av beslut som har meddelats före ikraftträdandet. 2017/18:171 Regeringen föreslår i propositionen Ny dataskyddslag (prop. 2017/18:105) att genom den nya lagen med kompletterande bestämmel- ser till EU:s dataskyddsförordning ska personuppgiftslagen upphävas. I övergångsbestämmelser anges bl.a. följande. Den upphävda lagen gäller fortfarande i den utsträckning som det i en annan lag eller en annan för- ordning finns bestämmelser som innehåller hänvisningar till den lagen. Den upphävda lagen gäller därmed fortfarande för t.ex. överklagande av beslut som har meddelats med stöd av den lagen. Mot denna bakgrund anser regeringen att förslag till övergångs- bestämmelser om att äldre föreskrifter fortfarande ska gälla för över- klagande av beslut som har meddelats före ikraftträdandet inte bör genomföras. Det anses följa av allmänna rättsgrundsatser att de skadeståndsbestäm- melser som gäller för skadefallet är tillämpliga. Detta be- höver inte regleras i särskilda övergångsbestämmelser. Bestämmelsen om skadestånd i 48 § personuppgiftslagen har genom särskilda be- stämmelser i registerförfattningarna gjorts tillämplig även vid behandling av personuppgifter enligt registerförfattningarna. Dessa bestämmelser i registerförfattningarna kommer att upphävas i samband med att person- uppgiftslagen upphävs och dataskyddsförordningen ska börja tillämpas. Skadeståndsbestämmelsen i personuppgiftslagen bör dock fortfarande gälla om den omständighet som yrkandet hänför sig till har inträffat före det att bestämmelsen upphävs. Regeringen föreslår i propositionen Ny dataskyddslag att rätten till skadestånd enligt dataskyddsförordningen gäller även vid skada som uppstått på grund av överträdelser av dataskyddslagen och andra före- skrifter som kompletterar dataskyddsförordningen (7 kap. 1 § data- skyddslagen). Eftersom det följer av allmänna grundsatser att ny lagstift- ning ska gälla i fråga om skadestånd med anledning av skadefall som inträffar efter ikraftträdandet, medan äldre lag ska tillämpas på skadefall som har inträffat (prop. 1972:5 s. 593) anser regeringen att någon särskild övergångsbestämmelse om detta inte behövs. Mot denna bakgrund anser regeringen att Socialdataskyddsutred- ningens förslag till övergångsbestämmelser om att äldre föreskrifter om skadestånd gäller fortfarande om den omständigheten som yrkandet hän- för sig till har inträffat före ikraftträdandet inte bör genomföras. I avsnitt 7.6 föreslår regeringen en ändring i en befintlig övergångsbe- stämmelse i lagen om införande av socialförsäkringsbalken. Övervägand- ena framgår av det avsnittet. I övrigt bedöms det inte finns något behov av övergångsbestämmelser med anledning av de förslag som lämnas. Dataskyddsförordningen innehåller till stor del samma eller i vart fall lik- nande bestämmelser som dataskyddsdirektivet och personuppgiftslagen. Dataskyddsförordningen är dock direkt tillämplig och gäller – till skill- nad från personuppgiftslagen som är subsidiär – oavsett vad som regleras i en nationell registerförfattning. Bestämmelser i nationell lagstiftning är därför tillåtna endast om det finns särskilt stöd för sådana bestämmelser i dataskyddsförordningen. En översyn och anpassning av nationell lagstift- ning på området är således nödvändig för att den inte ska strida mot den direkt tillämpliga EU-förordningen. Utgångspunkten för detta lagstiftningsärende är att behandling av personuppgifter som är laglig ska kunna fortsätta även efter att dataskyddsförordningen börjar tillämpas . Det är inte några ofullkomligheter i lagstiftningen, eller ifrågasatta integritetskränkningar, som har föranlett detta lagstiftningsärende utan enbart den kommande nya EU-regleringen av behandling av personupp- gifter. De förslag till författningsändringar som lämnas i denna proposition avser att så långt det är möjligt bibehålla, dvs. varken in- skränka eller utöka, befintliga möjligheter att behandla personuppgifter. har gått igenom samtliga bestämmelser som innehåller reglering av behandling av personuppgifter inom Social- departementets verksamhetsområde och föreslår ett antal författnings- ändringar som har till syfte att anpassa den svenska lagstiftningen till dataskyddsförordningen. Av övervägan- den framgår vilka möjligheter som bedöms finnas till nationell lagstift- ning på området och vilka ändringar som bedöms vara nödvändiga för att regleringen ska överensstämma med dataskyddsförordningen. Social- dataskyddsutredningens har genomgående bedömt det vara möjligt att behålla bestämmelser vars syfte är att ge en mer preciserad eller av- vikande reglering i förhållande till den generella regleringen. I övrigt föreslås ändringar av lagteknisk karaktär eller i upplysande syfte. De flesta av förslagen görs till följd av att dataskyddsförordningen ska börja tillämpas och att personuppgiftslagen upphävs. Det gäller t.ex. förslag att upphäva hänvisningar till personuppgiftslagen och bestämmel- ser avseende sådant som regleras direkt i dataskyddsförordningen eller i den föreslagna dataskyddslagen. Dessa förslag, och de förslag som anger författningarnas förhållande till dataskyddsförordningen och dataskydds- lagen, bidrar till att minska eventuell dubbelreglering och klargör de olika regleringarnas förhållande till varandra. Behandling av personuppgifter som utförs av behörig myndighet för bl.a. syftet verkställighet av påföljder och som omfattas av patient- datalagen respektive lagen om behandling av personuppgifter inom , kommer till följd av ändringarna i patientdatalagen, se avsnitt 7.1.1, och lagen om behandling av personuppgifter inom social- tjänsten, se avsnitt 7.4.1, inte längre omfattas av nämnda lagar utan i stället av den brottsdatalag som föreslås i lagrådsremissen Brottsdatalag. 2017/18:171 10 I avsnitt 7 har registerlagarna och behovet av ändringar i dessa redo- visats. Motiven för och kommentarer till föreslagna författnings- ändringar, ofta i form av hänvisningar till specifika avsnitt i de för flera författningar generella övervägandena framgår där. Eftersom lagändring- arna i huvudsak är av mer författningsteknisk och redaktionell karaktär, är det inte motiverat att i någon större detaljeringsgrad kommentera dessa. Förslag och bedömningar till bestämmelserna om ikraftträdande och övergångsbestämmelserna finns framförallt i avsnitt 8.1–2. 10.1Förslaget till lag om ändring i socialförsäkringsbalken I detta kapitel finns allmänna bestämmelser i 2–5 §§. Vidare finns bestämmelser om –förhållandet till annan reglering i 6 §, –personuppgiftsansvar i 6 a §, –ändamål för behandling av personuppgifter i 7–10 §§, –behandling av känsliga personuppgifter m.m. i 11–13 §§, –behandling av personuppgifter i socialförsäkringsdatabasen i 14–16 §§, –tilldelning av behörighet i 17 §, –direktåtkomst i 18–23 §§, –utlämnande på medium för automatisk behandling i 24–26 a §§, –sökbegrepp i 27 och 28 §§, –överföring av personuppgifter till tredjeland i 29 §, –information i 30 §, –gallring i 31 §, –avgifter i 32 §, –kontrollverksamhet i 34 §, och –tystnadsplikt i 35 §. Paragrafen ändras till följd av vissa ändringar i kapitlets paragrafer.