prop · H503133 · 2018-03-01 00:00:00 — Regeringens proposition 2017/18:133 En anpassning till dataskyddsförordningen av lagar inom Miljö- och Regeringen överlämnar denna proposition till . (Miljö- och ) Propositionen innehåller förslag som syftar till att anpassa lagstiftningen inom Miljö- och verksamhetsområde till EU:s nya dataskyddsförordning. Lagförslagen innebär i huvudsak att hänvisningar till personuppgiftslagen (1998:204) tas bort eller ersätts av hänvisningar till EU:s dataskyddsförordning, i ett fall även till den lag med kompletterande bestämmelser till EU:s dataskyddsförordning som föreslås i propositionen 2017/18:105 Ny dataskyddslag. Lagförslagen innebär även att kompletterande upplysningar införs i vissa bestämmelser, att lydelsen av vissa rubriker ändras och att en överklagandehänvisning tas bort. Lagändringarna föreslås träda i kraft , som dataskyddsförordningen ska börja tillämpas. 2017/18:133 Innehållsförteckning Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i lagen (2004:1199) om Förslag till lag om ändring i lagen (2006:985) om Förslag till lag om ändring i lagen (2010:1767) om Förslag till lag om ändring i lagen (2011:1200) om Ärendet ............................................................och dess beredning Dataskyddsdirektivet och den svenska Generella bestämmelser som kompletterar Anpassning av nationell sektorsspecifik Rättslig ...........................grund för behandling av personuppgifter Bestämmelser ..........................om behandling av personuppgifter Tillämpnings - och upplysningsbestämmelser Bestämmelser om behandling av personnummer Den registrerades ...........................................................rättigheter Rättsmedel .............................................................och skadestånd Ikraftträdande ...................................- och övergångsbestämmelser Förslaget till lag om ändring i lagen (2004:1199) om Förslaget till lag om ändring i lagen (2006:985) om Förslaget till lag om ändring i lagen (2010:1767) om Förslaget till lag om ändring i lagen (2011:1200) om Förteckning över remissinstanserna .............................. Utdrag ur protokoll vid regeringssammanträde ........ 2017/18:133 1 Regeringen föreslår att antar regeringens förslag till 1.lag om ändring i lagen (2004:1199) om handel med utsläppsrätter, 2.lag om ändring i lagen (2006:985) om energideklaration för byggna- 3.lag om ändring i lagen (2010:1767) om geografisk miljöinformation, 4.lag om ändring i lagen (2011:1200) om elcertifikat. Regeringen har följande förslag till lagtext. 2.1Förslag till lag om ändring i lagen (2004:1199) om handel med utsläppsrätter Härigenom föreskrivs i fråga om lagen (2004:1199) om handel med utsläppsrätter1 dels att 8 kap. 11 § ska upphöra att gälla, dels att 4 kap. 15 och 19 §§ ska ha följande lydelse, dels att rubriken närmast efter 8 kap. 8 a § ska lyda ”Skadestånd vid felregistrering”. Om inget annat följer av denna lag eller föreskrifter som meddelats med stöd av lagen, tillämpas personuppgiftslagen (1998:204) vid behandling av personuppgifter vid kontoföring av utsläppsrätter och kyotoenheter i de konton i unionsregistret som kontoföringsmyndigheten administrerar enligt 1 §. är personuppgiftsansvarig enligt personuppgiftslagen för den behandling av personuppgifter som utförs i unionsregistret. är personuppgiftsansvarig för den behandling av personuppgifter som utförs i unionsregistret. En uppgift på ett konto i unionsregistret ska rättas, om den innehåller någon uppenbar oriktighet till följd av skrivfel, räknefel eller liknande förbiseende eller till följd av tekniskt fel. Den vars rätt berörs ska ges möjlighet att yttra sig, om inte rättelsen är till förmån för denne eller yttrandet annars är uppenbart onödigt. Bestämmelser om återkallande av transaktioner i unionsregistret finns i artikel 70 i registerförordningen. Senaste lydelse av 8 kap. 11 § 2011:1103. Senaste lydelse 2011:1103. Ändringen innebär bl.a. att första stycket tas bort. Senaste lydelse 2015:367. 2017/18:133 Vid behandling av personuppgifter enligt denna lag gäller i stället för första stycket bestämmelserna om rättelse i 28 § personuppgiftslagen (1998:204). Vid behandling av personuppgifter enligt denna lag gäller i stället för första stycket rätten till rättelse enligt artikel 16 i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Denna lag träder i kraft . 2.2Förslag till lag om ändring i lagen (2006:985) om energideklaration för byggnader Härigenom föreskrivs i fråga om lagen (2006:985) om energideklaration för byggnader dels att 20 och 22 §§ ska upphöra att gälla, dels att 26 § ska ha följande lydelse, dels att rubriken närmast före 21 § ska lyda ”Skadestånd vid tekniskt fel”. En tillsynsmyndighets beslut om En tillsynsmyndighets beslut om rättelse enligt 20 §, föreläggande föreläggande som har förenats med som har förenats med vite enligt vite enligt 25 § och om återkallelse 25 § och om återkallelse av behö- av behörighet enligt 25 a § får över- righet enligt 25 a § får överklagas klagas till allmän förvaltnings- till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Denna lag träder i kraft . 1 Senaste lydelse 2013:773. 2.3Förslag till lag om ändring i lagen (2010:1767) om geografisk miljöinformation Härigenom föreskrivs att 15 § lagen (2010:1767) om geografisk miljöinformation ska ha följande lydelse. 1. behandling av personuppgifter finns i personuppgiftslagen (1998:204), 1. behandling av personuppgifter finns i a)och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), b)lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, och c)föreskrifter som har meddelats ianslutning till den lagen, 2.behandling av personuppgifter i fastighetsregistret finns i lagen (2000:224) om fastighetsregister, 3.krav på tillstånd för spridning av en sammanställning av geografisk information finns i lagen (2016:319) om skydd för geografisk information, 4.säkerhetsskydd finns i säkerhetsskyddslagen (1996:627), och 5.upphovsrätt finns i lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk. I fråga om behandling av personuppgifter enligt denna lag gäller inte 2 § personuppgiftslagen (1998:204). Denna lag träder i kraft . 81 Senaste lydelse 2016:321. Ändringen innebär bl.a. att andra stycket tas bort. 2.4Förslag till lag om ändring i lagen (2011:1200) om elcertifikat Härigenom föreskrivs i fråga om lagen (2011:1200) om elcertifikat dels att 7 kap. 7 § ska upphöra att gälla, dels att 3 kap. 15 och 17 §§ ska ha följande lydelse. En uppgift på ett certifikatkonto ska rättas, om den innehåller någon uppenbar oriktighet till följd av skrivfel, räknefel eller liknande förbiseende eller till följd av något tekniskt fel. Den vars rätt berörs ska ges möjlighet att yttra sig, om inte rättelsen är till förmån för denne eller yttrandet annars är uppenbart obehövligt. I fråga om rättelse av personuppgifter ska första stycket tillämpas i stället för artikel 16 i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Om inget annat följer av denna lag eller föreskrifter som meddelats med stöd av lagen, tillämpas personuppgiftslagen (1998:204) vid behandling av personuppgifter när elcertifikat kontoförs i elcertifikatsregistret. är personuppgiftsansvarig enligt personuppgiftslagen för den behandling av personuppgifter som utförs i elcertifikatsregistret. är personuppgiftsansvarig för den behandling av personuppgifter som utförs i elcertifikatsregistret. Denna lag träder i kraft . 1 Ändringen innebär bl.a. att första stycket tas bort. 3Ärendet och dess beredning (Miljö- och ) har tagit fram promemorian En anpassning till dataskyddsförordningen av författningar inom Miljö- och verksamhetsområde (Ds 2017:54). Promemorian innehåller förslag som syftar till att anpassa författningar inom Miljö- och verksamhetsområde till och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. Dataskyddsförordningen finns i bilaga 1. Promemorians lagförslag finns i bilaga 2. Promemorian har remissbehandlats under en månad. Med hänsyn till den begränsade tid inom vilken dataskyddsförordningen ska börja tillämpas har det inte bedömts möjligt med en längre remisstid. En förteckning över remissinstanserna finns i bilaga 3. Remissvaren finns tillgängliga i Miljö- och (dnr M2017/02676/R). Förslag till anpassningar och kompletterande författningsbestämmelser på generell nivå behandlas i proposition 2017/18:105 Ny dataskyddslag. Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 4. Lagrådet lämnar förslagen utan erinran. Lagrådets yttrande finns i bilaga 5. I förhållande till lagrådsremissen har mindre redaktionella och språkliga ändringar gjorts. Dataskyddsdirektivet och den svenska Allmänna bestämmelser om behandling av personuppgifter finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter (nedan benämnt Dataskyddsdirektivet syftar till att garantera skyddet för enskilda vid personuppgiftsbehandling. Det syftar också till att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. gäller inte för behandling av personuppgifter på områden som faller utanför unionsrätten, t.ex. allmän säkerhet och försvar samt statens verk- samhet på straffrättens område. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom Prop. 2017/18:133 personuppgiftslagen. Personuppgiftslagen har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Personuppgiftslagen är tillämplig även utanför dataskyddsdirektivets område och gäller både för myndigheter och enskilda som behandlar personuppgifter. Personuppgiftslagen är subsidiär, vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande regler i en annan författning. Sådana bestämmelser finns i särskilda sektorsspecifika författningar som i huvudsak reglerar uppgifter som myndigheter har att utföra. Personuppgiftslagen kompletteras av personuppgiftsförordningen (1998:1191), som pekar ut Datainspektionen som tillsynsmyndighet enligt lagen. Inom Miljö- och verksamhetsområde finns det sektorsspecifik dataskyddsreglering. Författningarna innehåller kompletterande eller avvikande bestämmelser i förhållande till personuppgiftslagen och föreskriver vilka uppgifter som myndigheter och även i vissa fall enskilda har att utföra. Vissa författningar innehåller bestämmelser om förande av register eller förteckningar. Andra författningar saknar bestämmelser om registerföring, men innehåller bestämmelser om behandling av personuppgifter. Några av författningarna innehåller bestämmelser som uttryckligen reglerar för vilka ändamål personuppgifter får behandlas. Förordningen, som ska börja tillämpas , är en ny generell reglering för personuppgiftsbehandling inom EU. Förordningen ersätter dataskyddsdirektivet och har till syfte att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Dataskyddsförordningens bestämmelser motsvarar i stor utsträckning de bestämmelser som finns i dataskyddsdirektivet, men innehåller även en rad nyheter. Förändringarna innebär bl.a. att den registrerades rättigheter förstärks i syfte att ge den registrerade ökad kontroll över sina personuppgifter. En annan nyhet är att det införs krav på konsekvensanalys om en viss behandling sannolikt kommer att leda till en hög risk för enskildas rättigheter eller skyldigheter. Därtill kan bl.a. nämnas det nya systemet med administrativa sanktionsavgifter som ska tas ut vid överträdelser av dataskyddsförordningen. Dataskyddsförordningen är, till skillnad från dataskyddsdirektivet, direkt tillämplig i EU: s medlemsstater. När dataskyddsförordningen ska börja tillämpas kommer den därför att ersätta personuppgiftslagen som det generella regelverk som reglerar behandling av personuppgifter. Trots att dataskyddsförordningen är direkt tillämplig innehåller den bestämmelser som i vissa avseenden förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Förordningen har därmed i vissa delar en direktivliknande karaktär. Av skäl 8 till dataskyddsförordningen framgår att om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella 2017/18:133 rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av denna förordning i nationell rätt. Artikel 2 i dataskyddsförordningen reglerar förordningens materiella tillämpningsområde. Dataskyddsförordningen ska, liksom dataskyddsdirektivet, tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. I artikel 2.2 räknas det upp vissa undantag från tillämpningsområdet. Dataskyddsförordningen hindrar dock inte att nationell reglering har ett vidare tillämpningsområde än förordningen. Regeringen föreslår i prop. 2017/18:105 att dataskyddsförordningen ska gälla även i verksamhet utanför unionsrättens tillämpningsområde och vid deltagande i den gemensamma utrikes- och säkerhetspolitiken, dock inte i verksamhet som omfattas av 6 kap. polisdatalagen (2010:361), lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst samt lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. 2017/18:105 föreslår regeringen också att bestämmelserna i dataskyddsförordningen och i den nya dataskyddslagen inte ska tillämpas i den utsträckning det strider mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen (se 1 kap. 7 § dataskyddslagen). 4.2.2Generella bestämmelser som kompletterar dataskyddsförordningen Regeringen föreslår i prop. 2017/18:105 att personuppgiftslagen och personuppgiftsförordningen ska upphävas och att en ny lag med bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan ska införas (nedan benämnd dataskyddslagen). Dataskyddslagen föreslås vara subsidiär i förhållande till annan författning (se 1 kap. 6 § dataskyddslagen). Det innebär att om en annan lag eller förordning innehåller en bestämmelse som avviker från dataskyddslagen, ska den bestämmelsen tillämpas. Bestämmelsen utvidgar dock inte utrymmet att göra undantag från eller införa nationella begränsningar av dataskyddsförordningens direkt tillämpliga bestämmelser. Principen om unionsrättens företräde medför att en bestämmelse i en sektorsspecifik författning får tillämpas endast om den är förenlig med dataskyddsförordningen och avser en fråga som enligt förordningen får särregleras eller specificeras i nationell rätt. Anpassning av nationell sektorsspecifik Dataskyddsförordningen medför ett behov av att se över nationell sektorsspecifik dataskyddsreglering. Nationella bestämmelser som avviker från eller dubblerar dataskyddsförordningen kan behållas endast om förordningen ger utrymme för det. Inom Miljö- och verksamhetsområde finns ett antal författningar som innehåller bestämmelser om personuppgiftsbehandling, som hänvisar till bestämmelser i personuppgiftslagen eller som upplyser om var bestämmelser om personuppgiftsbehandling finns. De identifierade sektorsspecifika lagarna, som innehåller bestämmelser om behandling av personuppgifter, omfattas av unionsrätten och därmed även av dataskyddsförordningens tillämpningsområde. Författningarna behöver därför anpassas till dataskyddsförordningen. Anpassningen av lagarna sker endast med anledning av att dataskyddsförordningen ska börja tillämpas och avser endast sådana ändringar som är nödvändiga till följd av förordningen. Det finns därmed inte skäl att ompröva tidigare ställningstaganden eller göra en mer allmän översyn över de lagar som tillhör departementets verksamhetsområde och som innehåller bestämmelser om behandling av personuppgifter eller annan dataskyddsreglering. Rättslig grund för behandling av Regeringens bedömning: Det krävs inga lagändringar inom Miljö- och verksamhetsområde med anledning av be- stämmelserna i EU:s dataskyddsförordning om att den rättsliga grunden för behandling av personuppgifter i vissa fall ska vara fastställd i unionsrätten eller nationell rätt. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Flertalet av remissinstanserna har inga invänd- ningar mot promemorians bedömning. ett tydligare utpekande av de rättsliga grunderna. Den önskar också en analys som visar att lagstiftningen dels är förenlig med och proportionell mot de legitima mål som eftersträvas, dels så tydlig och precis som förord- När det gäller bestämmelser om myndigheters utlämnande av uppgifter och elektroniska utlämnanden efterfrågar en identifiering av de rättsliga grunderna, en beskrivning av hur bestämmelserna förhåller sig till artikel 5 i dataskyddsförordningen samt att lagstiftaren tar ställning till om en allmän konsekvensbedömning enligt artikel 35 behöver utföras. Havs- och vattenmyndigheten framhåller att det är viktigt att det tydligt framgår när ett register eller en förteckning får upprättas och av vem, för att det inte ska råda osäkerhet om huruvida det finns en rättslig grund för hållande av registret. 2017/18:133 det tveksamt om den författningsreglerade personuppgiftsbehandlingen inom Miljö- och verksamhetsområde kan utföras med stöd av den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen (uppgift av allmänt intresse eller som ett led i myndighetsutövning). Det bör i stället utredas om personuppgifter måste samlas in på grund av rättsliga förpliktelser samt i vilka fall personuppgiftsbehandlingen faktiskt är nödvändig. Det bör också utredas vilken rättslig grund som är tillämplig i fråga om behandling av personuppgifter för ändamål enligt 4 kap. 16 § lagen (2004:1199) om handel med utsläppsrätter, 3 kap. 18 § lagen (2011:1200) om elcertifikat och 18 § lagen (2006:985) om energideklaration för byggnader. Skälen för regeringens bedömning För laglig behandling av personuppgifter krävs en rättslig grund För att behandling av personuppgifter ska vara laglig enligt dataskyddsförordningen måste den ha stöd i minst en av de rättsliga grunder som räknas upp i artikel 6.1. Uppräkningen är uttömmande och i viss mån överlappande, vilket innebär att flera rättsliga grunder kan vara tillämpliga för en och samma behandling. Om ingen av de uppräknade rättsliga grunderna är tillämplig är behandlingen av personuppgifter inte laglig och får därmed inte utföras. Enligt artikel 6.1 är behandlingen av personuppgifter laglig om den registrerade har lämnat sitt samtycke till behandlingen (artikel 6.1 a), eller om behandlingen är nödvändig –för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås (artikel 6.1 b), –för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c), –för att skydda intressen som är av grundläggande betydelse för den registrerade eller annan fysisk person (artikel 6.1 d), –för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e), eller –för ändamål som rör den personuppgiftsansvariges eller tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn (artikel 6.1 f). Artikel 6.1 i dataskyddsförordningen motsvarar i stora drag artikel 7 i data- Till skillnad från dataskyddsdirektivet gäller dock enligt artikel 6.1 andra stycket att myndigheter inte längre får behandla person- uppgifter med stöd av den sistnämnda rättsliga grunden i artikel 6.1 f när de fullgör sina uppgifter. En annan skillnad är att dataskyddsförordningen ställer krav på att grun- den för behandlingen av personuppgifter som avses i artikel 6.1 c (full- görande av en rättslig förpliktelse) och e (utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning) ska vara fastställd i unionsrätten eller i den nationella rätten (artikel 6.3 första stycket). Detta krav innebär dock inte att själva behandlingen av personuppgifter måste regleras. Det är i stället den rättsliga förpliktelsen, uppgiften av allmänt intresse respektive myndighetsutövningen som ska ha stöd i rättsordningen. 2017/18:105 bedömer regeringen att den rättsliga förpliktelsen, uppgiften av allmänt intresse och myndighetsutövningen är fastställd i enlighet med svensk rätt om den har stöd i författning eller beslut som antagits i enlighet med regeringsformens bestämmelser. Kravet på att grunden för behandlingen ska vara fastställd är egentligen ingen nyhet eftersom de svenska myndigheternas maktutövning måste ha stöd i rättsordningen, även i den mån den innefattar behandling av personuppgifter (jfr legalitetsprincipen, 1 kap. 1 § regeringsformen). Regeringen föreslår i prop. 2017/18:105 att dataskyddslagen ska innehålla förtydligande bestämmelser om hur de rättsliga grunderna i artikel 6.1 c och e fastställs i svensk rätt (jfr 2 kap. 1 och 2 §§ dataskyddslagen). I artikel 6.3 andra stycket uppställs ett krav på att syftet med behandlingen, i fråga om behandling som grundar sig på en rättslig förpliktelse (artikel 6.1 c), ska framgå av förpliktelsen. Vad gäller behandling som sker i myndighetsutövning och för att utföra uppgifter av allmänt intresse (artikel 6.1 e) anges i stället att syftet med behandlingen ska vara nödvändigt för att utföra uppgiften eller myndighetsutövningen. Av artikel 6.3 andra stycket följer även ett krav på att unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Detta återspeglar det krav som ställer på lagstiftaren i en rättsstat. Av 2 kap. 19 § regeringsformen följer att lagar och andra föreskrifter inte får meddelas i strid med åtaganden enligt . Som regeringen konstaterar i prop. 2017/18:105 bör utgångspunkten vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndighetsutövning som fastställts i enlighet med svensk rätt. Den personuppgiftsansvarige behöver alltså inte göra någon proportionalitetsbedömning avseende regleringen av den rättsliga grunden för behandlingen, utan kan utgå från att svensk rätt uppfyller detta krav. Däremot måste behandlingen vara nödvändig i förhållande till den rättsliga grunden, t.ex. nödvändig för att utföra en uppgift av allmänt intresse, och följa principerna i artikel 5.1 i dataskyddsförordningen. I skäl 41 till dataskyddsförordningen anförs att den rättsliga grunden bör vara tydlig och precis och att dess tillämpning bör vara förutsägbar för dem som omfattas av den.