prop · H503133 · 2018-03-01 00:00:00 — Enligt artikel 21 i dataskyddsförordningen har den registrerade rätt att, under vissa förutsättningar, invända mot den personuppgiftsansvariges behandling av registrerades personuppgifter. För personuppgifter som behandlas för att utföra en uppgift av allmänt intresse, som ett led i myndighetsutövning (artikel 6.1 e) eller efter en intresseavvägning (artikel 6.1 f) får en invändning göras när som helst. Om behandlingen av personuppgifter grundar sig på en rättslig förpliktelse för den personuppgiftsansvarige enligt artikel 6.1 c i dataskyddsförordningen finns det däremot inte någon rätt att invända mot behandlingen. Görs en invändning, får den personuppgiftsansvarige fortsätta att behandla personuppgifterna bara om han eller hon kan påvisa tvingande berättigade skäl som väger tyngre än den registrerades intressen, rättigheter och friheter, eller om behandlingen sker för fastställande, utövande eller försvar av rättsliga anspråk. För personuppgifter som behandlas för direkt marknadsföring får en invändning göras när som helst (artikel 21.2). Om en invändning mot behandling för direkt marknadsföring görs, får personuppgifterna inte längre behandlas för sådana ändamål (artikel 21.3). För personuppgifter som behandlas för vetenskapliga och historiska forskningsändamål eller statistiska ändamål gäller rätten till invändningar, om behandlingen inte är nödvändig för att utföra en uppgift av allmänt intresse (artikel 21.6). Rätten att göra invändningar mot behandlingen av personuppgifter gäller enligt artikel 21 i dataskyddsförordningen och är direkt tillämplig. Det medför att det i sektorsspecifika lagar inte behövs någon hänvisning till denna artikel i dataskyddsförordningen för att rätten till invändningar ska gälla. Enligt artikel 23 i dataskyddsförordningen är det dock möjligt att begränsa rätten att göra invändningar. Behandlingen av personuppgifter som regleras i lagar inom Miljö- och verksamhetsområde genomförs huvudsakligen med stöd av den rättsliga grunden att den är nödvändig för att utföra en uppgift av allmänt intresse (artikel 6.1 e), men även andra rättsliga grunder kan vara tillämpliga, t.ex. fullgörande av en rättslig förpliktelse (artikel 6.1 c) eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Vid behandling som görs med stöd av den rättsliga grunden i 6.1 e gäller, som ovan nämnts, rätten för den registrerade att göra invändningar mot behandlingen, men den personuppgiftsansvarige kan dock fortsätta med behandlingen om denne kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter, eller om behandlingen sker för fastställande, utövande eller försvar av rättsliga anspråk (artikel 21.1). Rätten att göra invändningar är inte reglerad i de sektorspecifika lagarna inom Miljö- och verksamhetsområde. I lagen om energideklaration för byggnader regleras energideklarationsregistret. Uppgifterna i energideklarationsregistret får bl.a. behandlas för annan allmän eller enskild verksamhet där information om byggnader och deras energiprestanda och inomhusmiljö utgör underlag för bedömningar och beslut (se 18 § 5). I 15 § förordningen om energideklaration för byggnader begränsas den behandling som får göra för någon 2017/18:133 annans räkning för direkt marknadsföring. I fråga om energideklarationsregistret och de ändamål för vilka uppgifterna i registret kan komma att behandlas har promemorian föreslagit att en förtydligande hänvisning till dataskyddsförordningens bestämmelser om rätten att göra invändningar ska införas i 18 § 5 lagen om energideklaration för byggnader. Regeringen bedömer dock, i likhet med Datainspektionen, att det finns en risk att den tydlighet som eftersträvas med en sådan hänvisning till artikel 21.1–21.3 i dataskyddsförordningen är svår att uppnå med den av promemorian föreslagna regleringen. Denna synpunkt gör sig framför allt gällande med beaktande av de ändamål för vilka uppgifterna i energideklarationsregistret kan komma att behandlas. Vidare är det enligt regeringens mening önskvärt att enhetlighet eftersträvas i de anpassningar till dataskyddsförordningen som genomförs inom Miljö- och verksamhetsområde. Rätten att göra invändningar följer av dataskyddsförordningens direkt tillämpliga bestämmelser. Sammantaget bedömer regeringen därmed att rätten att göra invändningar inte bör föranleda några lagändringar inom Miljö- och verksamhetsområde. Regeringens förslag: Bestämmelser som innehåller hänvisningar till bestämmelser om skadestånd i personuppgiftslagen tas bort. I lagen om handel med utsläppsrätter och lagen om energideklaration för byggnader, som innehåller bestämmelser om skadestånd vid tekniskt fel och skadestånd vid felaktig registrering, ändras rubrikernas lydelse i förtydligande syfte. Upplysningsbestämmelsen i lagen om energideklaration för byggnader, som anger att tillsynsmyndighetens beslut om rättelse får överklagas till allmän förvaltningsdomstol, tas bort. Promemorians förslag överensstämmer med regeringens med några lagtekniska och redaktionella skillnader. Remissinstanserna: Flertalet av remissinstanserna har inga särskilda synpunkter på promemorians förslag. framhåller dock att förslaget, att hänvisningarna till personuppgiftslagens bestämmelser om skadestånd ska tas bort, ser ut att innebära att privatpersoner inte ska ha några möjligheter att juridiskt agera mot eller annan personuppgiftsansvarig myndighet som hanterar registrerades uppgifter på ett felaktigt sätt. Om det inte sker ett klargörande av att den personuppgiftsansvariga myndighetens status som personuppgiftsansvarig innebär att myndigheten ärver alla därtill hörande skyldigheter från dataskyddsförordningen är det en allvarlig försvagning av privatpersoners rättigheter. Skälen för regeringens förslag Hänvisningar till personuppgiftslagens tas bort Dataskyddsförordningens åttonde kapitel innehåller bestämmelser om rättsmedel, ansvar och sanktioner. Rätten till ett effektivt rättsmedel mot tillsynsmyndighetens beslut och mot en personuppgiftsansvarig eller ett personuppgiftsbiträde framgår av artiklarna 78 och 79 i dataskyddsförordningen. I artikel 82 i dataskyddsförordningen regleras personuppgiftsansvarigas och personuppgiftsbiträdens ansvar samt den registrerades rätt till ersättning. Av artikel 82 följer att varje person som har lidit skada till följd av en överträdelse av förordningen har rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan. Någon möjlighet till nationella undantag från rätten till ersättning finns inte. Artikeln är direkt tillämplig och omfattar behandling av personuppgifter som strider mot medlemsstaternas nationella rätt med närmare specifikation av förordningens bestämmelser (jfr skäl 146 till dataskyddsförordningen). 2017/18:105 föreslår regeringen en förtydligande bestämmelse om att rätten till ersättning enligt artikel 82 i dataskyddsförordningen gäller vid överträdelser av bestämmelser i dataskyddslagen och i andra föreskrifter som kompletterar dataskyddsförordningen (7 kap. 1 § dataskyddslagen). När dataskyddsförordningen ska börja tillämpas kommer personuppgiftsansvariga myndigheter, däribland och , att omfattas av dataskyddsförordningens direkt tillämpliga bestämmelser och, i den mån inte annat följer av en sektorsspecifik författning, även av dataskyddslagens kompletterande bestämmelser. personuppgiftsansvar för behandling av personuppgifter i energideklarationsregistret och Statens energimyndighets personuppgiftsansvar, i egenskap av kontoföringsmyndighet, för behandling av personuppgifter i elcertifikatsregistret och i unionsregistret kvarstår därmed alltjämt även om myndigheterna har att tillämpa ett nytt regelverk . Inom Miljö- och verksamhetsområde finns det lagar som innehåller bestämmelser som innebär att personuppgiftslagens bestämmelser om skadestånd gäller även vid behandling av personuppgifter i strid med dessa författningar. Sådana bestämmelser finns i lagen om handel med utsläppsrätter, lagen om energideklaration för byggnader och lagen om elcertifikat. Eftersom personuppgiftslagens bestämmelser om skadestånd endast reglerar skadeståndsskyldigheten av en personuppgiftsbehandling som skett i strid med personuppgiftslagen och inte en behandling som skett i strid med andra författningar (jfr 48 § personuppgiftslagen) har det ansetts nödvändigt med de aktuella bestämmelserna, av vilka det följer att personuppgiftslagens bestämmelser om skadestånd gäller även vid personuppgiftsbehandling i strid med de nämnda lagarna. När dataskyddsförordningen ska börja tillämpas kommer den registrerades rätt till ersättning vid överträdelser av bestämmelser som kompletterar dataskyddsförordningen att följa av artikel 82 i förordningen. Med hänsyn härtill och den föreslagna regleringen i 7 kap. 1 § dataskyddslagen ska bestämmelserna i lagen om handel med utsläppsrätter, lagen om energideklaration för byggnader och lagen om elcertifikat som innehåller 2017/18:133 hänvisningar till personuppgiftslagens bestämmelser om skadestånd tas bort. När bestämmelser med hänvisningar till personuppgiftslagens bestämmelser om skadestånd tas bort finns det i lagen om handel med utsläppsrätter och lagen om energideklaration för byggnader behov av att tydliggöra att de kvarvarande bestämmelserna om skadestånd gäller skadestånd vid tekniskt fel såvitt avser lagen om energideklaration för byggnader och skadestånd vid felregistrering i lagen om handel med utsläppsrätter. Detta ska ske genom en ändring av rubrikernas lydelse. Överklagande av beslut om rättelse enligt lagen om energideklaration för byggnader I 26 § lagen om energideklaration för byggnader regleras rätten att överklaga vissa beslut enligt den lagen. Av bestämmelsen framgår att en tillsynsmyndighets beslut om rättelse enligt 20 §, föreläggande som har förenats med vite enligt 25 § och om återkallelse av behörighet enligt 25 a §, får överklagas till allmän förvaltningsdomstol. 20 §, i dess nuvarande lydelse, hänvisar till personuppgiftslagens bestämmelser om rättelse (förslag om upphävande av 20 § framgår av propositionens författningsförslag). Enligt den gällande regleringen är det inte tillsynsmyndigheten, utan den personuppgiftsansvarige som kan besluta om rättelse (jfr 28, 43– 47 och 52 §§ personuppgiftslagen). Den delen av bestämmelsen i 26 § som reglerar överklagande av tillsynsmyndighetens beslut om rättelse ska därför upphävas. När dataskyddsförordningen ska börja tillämpas kommer allmänna, direkt tillämpliga, bestämmelser om rättelse att finnas i dataskyddsförordningen, i den mån den registrerades rättigheter inte har begränsats i en sektorsspecifik författning. Kompletterande bestämmelser om överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig kommer att finnas i dataskyddslagen. Enligt förslaget i prop. 2017/18:105 kan ett beslut som har meddelats av en personuppgiftsansvarig myndighet med anledning av att en registrerad utövar sin rätt till rättelse överklagas till allmän förvaltningsdomstol (se 7 kap. 2 § dataskyddslagen och artikel 16 i dataskyddsförordningen). Regeringens bedömning: Hänvisningarna till EU:s dataskyddsförordning bör vara dynamiska. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över bedömningen. Skälen för regeringens bedömning: De förslag till anpassningar av Prop. 2017/18:133 sektorsspecifika lagbestämmelser som lämnas i denna proposition inne- håller i vissa delar hänvisningar till bestämmelser i dataskyddsförordningen, som är en EU-förordning. Hänvisningar till EU-rättsakter kan göras statiska eller dynamiska. En statisk hänvisning innebär att hänvisningen avser EU-rättsakten i en viss angiven lydelse. En dynamisk hänvisning innebär att hänvisningen avser EU-rättsakten i den gällande lydelsen. Dataskyddsförordningen är direkt tillämplig. Medlemsstaternas utrymme att införa bestämmelser i nationell rätt på detta område är därmed begränsat. För att säkerställa att ändringar i dataskyddsförordningen får genomslag är det lämpligt att hänvisningarna dit görs dynamiska. Detta hindrar emellertid inte att de sektorsspecifika bestämmelserna kan komma att behöva ändras om dataskyddsförordningens innehåll ändras. De hänvisningar till dataskyddsförordningen som föreslås i propositionen är därför dynamiska, dvs. avser förordningen i dess vid varje tid gällande lydelse. Hänvisningarna till dataskyddsförordningen kommer därmed att omfatta även eventuella framtida ändringar i dataskyddsförordningen. De föreslagna hänvisningarna till dataskyddsförordningen är i huvudsak av upplysande karaktär. Dynamiska hänvisningar framstår även av detta skäl enligt regeringens mening som det mest lämpliga. Regeringens förslag: Författningsändringarna ska träda i kraft . Regeringens bedömning: Det behövs inte några övergångsbestämmelser. Promemorians förslag och bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget och bedömningen. Skälen för regeringens förslag och bedömning: Dataskyddsförordningen ska tillämpas . De anpassningar av lagar inom Miljö- och verksamhetsområde som föreslås bör träda i kraft som dataskyddsförordningen ska börja tillämpas. 2017/18:105 lämnar regeringen förslag till övergångsbestämmelser som bl.a. innebär att personuppgiftslagen upphävs, att personuppgiftslagen fortfarande gäller för överklagande av beslut som har meddelats med stöd av den lagen och att straffbestämmelsen i 49 § personuppgiftslagen fortfarande gäller för överträdelser som har skett före ikraftträdandet av den nya dataskyddslagen. 2017/18:133 kommer dataskyddsförordningens bestämmelser om skadestånd att tillämpas på överträdelser av dataskyddsförordningen och nationell rätt som kompletterar förordningen. För skadefall som inträffar innan får i stället hittillsvarande bestämmelser om skadestånd tillämpas. Detta följer av allmänna rättsgrundsatser och behöver inte regleras i särskilda övergångsbestämmelser (se prop. 1972:5 s. 593). En av de föreslagna lagändringarna avser 26 § lagen om energideklaration för byggnader. Ändringen innebär att upplysningen om att tillsynsmyndighetens beslut om rättelse enligt 20 § (som i sin tur hänvisar till personuppgiftslagens bestämmelser om rättelse) får överklagas till allmän förvaltningsdomstol tas bort. Enligt den gällande regleringen är det inte tillsynsmyndigheten, utan den personuppgiftsansvarige som kan besluta om rättelse (jfr 28, 43–47 och 52 §§ personuppgiftslagen). Det finns därmed inte heller något behov av övergångsbestämmelser i denna del. Regeringens bedömning: Förslagen bedöms inte medföra några negativa effekter för företagens arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt. Förslagen har inte någon påverkan på vare sig jämställdheten mellan kvinnor och män eller möjligheten att nå de integrationspolitiska målen. Förslagen har inte några sociala eller miljömässiga konsekvenser. Promemorians bedömning överensstämmer med regeringens bedömning. Remissinstanserna: Flertalet av remissinstanserna har inga särskilda synpunkter på promemorians bedömning. framhåller dock att poängen med dataskyddslagstiftningen är att skydda privatpersoners grundläggande rättigheter till dataskydd och privatliv, att förslagen innebär försämringar av privatpersoners rättigheter till dataskydd i förhållande till nuvarande rätt och att privatpersoners rättigheter försvagas, bl.a. genom att flera registreringsåtgärder undantas från räckvidden av dataskyddsbestämmelserna. Skälen för regeringens bedömning: Dataskyddsförordningen skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Dataskyddsförordningen är, till skillnad från dataskyddsdirektivet, direkt tillämplig i EU:s medlemsstater. Dataskyddsförordningen innehåller också bestämmelser som i vissa avseende ger utrymme för kompletterande nationella bestämmelser av olika slag. Genom dataskyddsförordningen förstärks den registrerades rättigheter. Ett exempel på detta är att dataskyddsförordningen ställer strängare krav på att den som behandlar personuppgifter ska informera om hur registrerades personuppgifter hanteras. Ett annat exempel är att förordningen ställer krav på att en konsekvensanalys utförs av den personuppgiftsansvarige om en viss behandling sannolikt kommer att leda till en hög risk för enskildas Prop. 2017/18:133 rättigheter eller skyldigheter. Lagförslagen som läggs fram i denna proposition syftar till att genomföra de nödvändiga anpassningar av lagar inom Miljö- och verksamhetsområde som krävs när dataskyddsförordningen träder i kraft. Enligt regeringens bedömning är det, såsom regeringen konstaterar i avsnitt 7, förenligt med dataskyddsförordningen att behålla den nuvarande bestämmelsen om rättelse av uppgifter på ett certifikatkonto, som avser att bl.a. skydda enskilds äganderätt. I övrigt medför lagförslagen, till skillnad från vad anför, inga begränsningar av dataskyddsförordningens bestämmelser. Förslagen utgör en mindre del av ett stort arbete inom där tyngdpunkten ligger i de förändringar som dataskyddsförordningen medför. De viktigaste konsekvenserna av det förändrade dataskyddet beror därmed på regeländringar som ligger utanför denna proposition och utgör inte effekter av de förslag som läggs fram i denna proposition. Förslag till generella anpassningar av svensk rätt i anledning av dataskyddsförordningen och dess konsekvenser framgår av lagrådsremissen Ny dataskyddslag. Genom de förslag som läggs fram i denna proposition bedöms de aktuella lagarna vara förenliga med dataskyddsförordningen. I den bedömningen ligger bl.a. att dataskyddsregleringen är proportionerlig i förhållande till de legitima mål som eftersträvas. Förslagen bedöms inte leda till några kostnadsökningar för personuppgiftsansvariga. Förslagen bedöms inte heller medföra några ökade kostnader för enskilda eller det allmänna. Förslagen berör i första hand de myndigheter under Miljö- och som har att tillämpa de relevanta lagarna, men även andra enskilda aktörer som har ett personuppgiftsansvar berörs. Förslagen innebär inte någon större ändring av rättsläget och görs uteslutande i befintliga dataskyddsregleringar. Förslagen bedöms inte leda till några kostnadsökningar för berörda aktörer. Förslagen bedöms inte innebära några negativa effekter för företagens arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt. Förslagen bedöms inte ha någon påverkan på vare sig jämställdheten mellan kvinnor och män eller möjligheten att nå de integrationspolitiska målen. Förslagen bedöms inte ha några sociala eller miljömässiga konsekvenser. Förslaget till lag om ändring i lagen (2004:1199) om handel med utsläppsrätter Paragrafen innehåller bestämmelser om personuppgiftsansvar. innebär att det nuvarande första stycket och en hänvisning till person- uppgiftslagen i det nuvarande andra stycket tas bort. 2017/18:133 personuppgiftsansvar framgår av dataskyddsförordningen. Övervägandena finns i avsnitt 6.1 och 6.2. Paragrafen innehåller bestämmelser om rättelse av uppgift på ett konto i unionsregistret och om återkallande av transaktioner i unionsregistret. Första och andra styckena är oförändrade. Tredje stycket ändras så att hänvisningen till personuppgiftslagens bestämmelser om rättelse tas bort. Den nuvarande hänvisningen ersätts med en ny hänvisning till direkt tillämpliga bestämmelser om rättelse i dataskyddsförordningen. Ändringen innebär att vid behandling av personuppgifter gäller rätten till rättelse enligt artikel 16 i dataskyddsförordningen i stället för regleringen i första stycket. Hänvisningen till dataskyddsförordningen i denna bestämmelse är dynamisk, dvs. avser förordningen i dess gällande lydelse. Övervägandena finns i avsnitt 7. Rubriken närmast efter 8 a § ändras för att tydliggöra att bestämmelserna om skadestånd i 8 kap. avser skadestånd vid felregistrering. En paragraf, 8 kap. 11 §, med hänvisning till bestämmelser om skadestånd i personuppgiftslagen tas bort. Bestämmelser om en registrerads rätt till ersättning vid överträdelser av dataskyddsförordningen och rätt till ersättning vid överträdelser av dataskyddslagen och andra föreskrifter som kompletterar förordningen finns i artikel 82 i dataskyddsförordningen och 7 kap. 1 § dataskyddslagen. Övervägandena finns i avsnitt 8. Behovet av övergångsbestämmelser behandlas i avsnitt 10. Förslaget till lag om ändring i lagen (2006:985) om energideklaration för byggnader Två paragrafer i lagen tas bort, 20 och 22 §§. Vid behandling av person- uppgifter finns bestämmelser om rättelse i artikel 16 i dataskyddsförord- Bestämmelser om en registrerads rätt till ersättning vid överträdel- ser av dataskyddsförordningen och rätt till ersättning vid överträdelser av dataskyddslagen och andra föreskrifter som kompletterar förordningen finns i artikel 82 i dataskyddsförordningen och 7 kap. 1 § dataskyddslagen. Övervägandena finns i avsnitt 7 och 8. behandlas i avsnitt 10. Rubriken närmast före 21 § ändras för att tydliggöra att bestämmelserna om skadestånd avser skadestånd vid tekniskt fel. I paragrafen regleras överklagande av en viss typ av beslut. första stycket innebär att upplysningen om att tillsynsmyndighetens beslut om rättelse enligt 20 § får överklagas till allmän förvaltningsdomstol tas Enligt den gällande regleringen är det inte tillsynsmyndigheten, utan den personuppgiftsansvarige som kan besluta om rättelse (jfr 28, 43 47 och 52 §§ personuppgiftslagen). Det finns därmed inte något behov Prop. 2017/18:133 av övergångsbestämmelser. När dataskyddsförordningen ska börja tillämpas kommer allmänna bestämmelser om rättelse av personuppgifter att finnas där. Bestämmelser om överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig kommer att finnas i dataskyddslagen. Övervägandena finns i avsnitt 8. Behovet av övergångsbestämmelser behandlas i avsnitt 10. 12.3Förslaget till lag om ändring i lagen (2010:1767) om geografisk miljöinformation Paragrafens första stycke innehåller upplysningar om tillämpliga bestämmelser i andra lagar. Andra–femte punkten är oförändrad. Genom ändringen i första punkten tas hänvisningen till personuppgiftslagen bort. Hänvisningen ersätts med en upplysning om att bestämmelser om behandling av personuppgifter finns i dataskyddsförordningen, dataskyddslagen med kompletterande bestämmelser till dataskyddsförordningen och föreskrifter som har meddelats i anslutning till dataskyddslagen. Hänvisningen till dataskyddsförordningen i denna bestämmelse är dynamisk, dvs. avser förordningen i dess gällande lydelse. Paragrafens andra stycke, som innehåller en upplysning om förhållandet till en bestämmelse i personuppgiftslagen, tas bort. Övervägandena finns i avsnitt 6.1. 12.4Förslaget till lag om ändring i lagen (2011:1200) om elcertifikat Paragrafen innehåller bestämmelser om rättelse av uppgift på ett certifikatkonto. I ett nytt andra stycke tydliggörs att vid rättelse av personuppgifter ska bestämmelserna om rättelse i första stycket tillämpas i stället för artikel 16 i dataskyddsförordningen. Hänvisningen till dataskyddsförordningen i denna bestämmelse är dynamisk, dvs. avser förordningen i dess gällande lydelse. Övervägandena finns i avsnitt 7. Paragrafen innehåller bestämmelser om personuppgiftsansvar. Ändringen innebär att det nuvarande första stycket och en hänvisning till personuppgiftslagen i det nuvarande andra stycket tas bort. Innebörden av detta personuppgiftsansvar framgår av dataskyddsförordningen. Övervägandena finns i avsnitt 6.1 och 6.2. En paragraf, 7 §, med hänvisning till bestämmelser om skadestånd i personuppgiftslagen tas bort.