prop · H50395 · 2018-02-27 00:00:00 — Beslutsfattande grundat på sådan behandling, inbegripet profilering, bör dock, enligt skäl 71, tillåtas när det uttryckligen beviljas genom unionsrätten eller med- lemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av, inbegripet för sådan övervakning och sådant förebyggande av bedrägerier och skatteundandragande som genomförs i enlighet med unionsinstitutionernas eller de nationella tillsynsorganens bestämmelser, standarder och rekommendationer samt för att sörja för tillförlitlighet hos en tjänst som tillhandahålls av den personuppgiftsansvarige, eller när det krävs för ingående eller genomförande av ett avtal mellan den registre- rade och en personuppgiftsansvarig eller den registrerade har gett sitt uttryckliga samtycke. Denna form av uppgiftsbehandling bör, enligt samma skäl, under alla omständigheter omgärdas av lämpliga skydds- åtgärder, som bör inkludera specifik information till den registrerade och rätt till mänskligt ingripande, att framföra sina synpunkter, att erhålla en förklaring till det beslut som fattas efter sådan bedömning och att överklaga beslutet. och propositionen Ny dataskyddslag har inga förslag eller närmare överväganden om automatiskt beslutsfattande. Detsamma gäller prop. 2017/18:105. Det behövs inga lagändringar Som framgår av beskrivningen ovan finns dataskyddsreglering om automatiserade beslut som i viss utsträckning gäller i verksamhet hos nu aktuella myndigheter, nämligen genom att 29 § PUL är tillämplig för Då det inte finns några hänvisningar till bestämmelsen behövs inga justeringar i lag på grund av att personupp- giftslagen kommer att upphävas. Som framgår av förarbetsuttalandena ovan ansågs en hänvisning till 29 § PUL inte behöva införas i registerförfattningarna på området för skatt, tull och exekution då de helt automatiserade besluten som förekom inte kunde anses vara avsedda att bedöma personliga egenskaper hos den Mot den bakgrunden finns det, vid bedömningen av data- skyddsförordningens bestämmelser om automatiserat beslutsfattande, skäl att överväga om det finns någon skillnad mellan data- skyddsdirektivs och dataskyddsförordningens bestämmelse när det gäller vilket slag av beslutsfattande som avses. Det kan konstateras att artikel 22 till sin ordalydelse kan tolkas på olika Bestämmelsen kan läsas så att den är generellt tillämplig på auto- Formuleringen ”inbegripet profilering” skulle då endast vara en upplysning om att bestämmelsen även omfattar profile- Artikel 22 kan dock även läsas så att den automatiserade behand- lingen måste omfatta profilering enligt definitionen i artikel 4.4 för att bestämmelsen ska bli tillämplig. Det kan också konstateras att skäl 71 endast tycks behandla profilering och att skäl 73, vid uppräkningen av rättigheter som kan begränsas enligt artikel 23, endast omnämner ”profileringsbaserade beslut”. anses tala mot att artikel 22 är tillämplig även när profilering inte inbe- grips i behandlingen av personuppgifter. Det anförda talar för att avsikten med artikel 22 i dataskyddsförord- ningen är att endast omfatta automatiserade beslut som innefattar profile- Någon säker slutsats kan dock i avsaknad av praxis inte dras i denna Även om en annan tolkning av artikel 22.1 i dataskyddsförordningen skulle göras, dvs. att bestämmelsen också omfattar automatiserat besluts- fattande som inte är profilering, så som Datainspektionen anser, kan det emellertid konstateras att automatiserat beslutsfattande generellt är tillåtet för svenska myndigheter, vilket kommer till uttryck bl.a. i ovan nämnda nya förvaltningslag (28 §). Utöver de allmänna kraven på legalitet, objektivitet och proportionalitet säkerställs rätten till insyn, krav på kommunikation liksom möjligheten till ändring och rättelse av beslut samt rätten att överklaga beslut som kan antas påverka någons situation på ett inte obetydligt sätt. Genom den förvaltningsrättsliga regleringen är beslutsfattandet omgärdat av sådana skyddsåtgärder (lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen) som anges i artikel 22.2 b. Skulle artikel 22 bedömas vara tillämplig också på annat automatiskt beslutsfattande än profilering finns det också på nu aktuellt område även annat författningsstöd än förvaltningslagen, direkt eller indirekt, för detta beslutsfattande, vilket framgår av beskrivningen ovan. möjlighet till omprövning eller överklagande av besluten. inte på grundval av känsliga personuppgifter (jfr artikel 22.4). det ändå skulle förekomma beslut som grundar sig på känsliga personuppgifter måste det anses utgöra ett sådant viktigt allmänt intresse som omnämns i artikel 22.4 att aktuella myndigheter kan bedriva sin verksamhet på ett korrekt, rättssäkert och effektivt sätt (jfr prop. 2017/18:105 s. 83). Artikel 22.4 uppställer även krav på att lämpliga Prop. 2017/18:95 åtgärder som ska skydda den registrerades berättigade intressen har Detta är ett krav som får anses rikta sig direkt till den personuppgiftsansvarige och förutsätter således inte i sig några nationella lagstiftningsåtgärder. Bedömningen innebär att det inte finns skäl för några justeringar i aktuella lagar med hänvisning till artikel 22 i dataskyddsförordningen. Det har inte heller framkommit andra skäl till ändring av bestämmelserna eller möjligheterna till automatiskt beslutsfattande. Regeringens förslag: Lagändringarna ska träda i kraft . För de lagar som gäller i stället för personuppgiftslagen ska det införas övergångsbestämmelser som innebär att äldre före- skrifter om straff gäller för överträdelser som har skett före ikraft- trädandet. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: tillstyrker förslagen. invänder ingen remissinstans mot förslagen. Skälen för regeringens förslag Av artikel 99.1 i EU:s dataskyddsförordning följer att förordningen träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning, vilket skedde . Av artikel 99.2 följer att förordningen ska tillämpas . I artikel 94 anges vidare att dataskyddsdirektiv ska upphöra att gälla med verkan och att hänvisningar till det upphävda direktivet ska anses som hänvisningar till förordningen. Dataskyddslagen föreslås träda i kraft och personupp- giftslagen föreslås därigenom upphävas (se prop. 2017/18:105). Personuppgiftslagen föreslås dock fortfarande gälla i den utsträckning som det i en annan lag eller en förordning finns bestämmelser som innehåller hänvisningar till den. Vidare föreslås bl.a. att bestämmelsen i 49 § PUL fortfarande ska gälla för överträdelser som har skett före ikraftträdandet. Vad gäller den övergångsbestämmelsen anger regeringen att eftersom förslaget innebär att den straffrättsliga regleringen upphävs och i praktiken ersätts med sanktionsavgifter, uppkommer frågan om vad som ska gälla för straff- belagda gärningar som har begåtts vid behandling som upphört före 2017/18:95 men där överträdelsen inte har lagförts innan de nya reglerna ska börja tillämpas. Regeringen resonerar där kring frågan om den lindrigaste lagens princip är tillämplig i dessa fall eller inte. Huvudsyftet med dataskyddsförordningens och dataskyddslagens system med kraftfulla sanktionsavgifter är framför allt att effektivisera sank- tionssystemet. Att överträdelser mot dataskyddsregleringen föreslås avkriminaliseras ska inte ses som ett uttryck för att överträdelserna ska bedömas lindrigare . Regeringen anser därför att lindrigaste lagens princip inte gör sig särskilt starkt gällande i detta fall, varför det inte finns skäl att låta systemet med sanktionsavgifter få retroaktiv effekt. Personuppgiftslagens straffbestämmelse bör i stället tillämpas på över- trädelser som har skett före dataskyddslagens ikraftträdande (s. 176 f.). Ändringarna bör träda i kraft Ändringarna bör träda i kraft som dataskyddsförordningen börjar tillämpas och dataskyddslagen föreslås träda i kraft. Regeringen föreslår därför att ändringarna ska träda i kraft . En övergångsbestämmelse bör införas Vad gäller frågan om skada som har inträffat och överträdelser som har skett före ikraftträdandet kan följande lyftas fram. När det gäller skade- stånd bör äldre bestämmelser gälla, dvs. om skadan har orsakats före . Att så är fallet följer av allmänna rättsgrundsatser, varför det inte finns något egentligt behov av övergångsbestämmelser i det avseendet (se prop. 1972:5 s. 593 och prop. 2017/18:105 s. 176). Några sådana övergångsbestämmelser föreslås därför inte för nu aktuella författningar. När det gäller straffbestämmelsen i 49 § PUL är den direkt tillämplig för de registerförfattningar där personuppgiftslagen gäller. För de lagar som gäller i stället för personuppgiftslagen gäller straffbestämmelsen genom att den pekas ut i respektive författning. Regeringen föreslår som framgår ovan i dataskyddslagen en övergångsbestämmelse om att per- sonuppgiftslagens straffbestämmelse fortfarande ska gälla för överträdel- ser som skett före dataskyddslagens ikraftträdande. Äldre föreskrifter om straff bör på samma grunder gälla även för nu aktuella lagar. För att säkerställa att detta kommer att gälla även för de lagar som gäller i stället för personuppgiftslagen, föreslås en övergångsbestämmelse om att äldre föreskrifter om straff fortfarande ska gälla för överträdelser som har skett före ikraftträdandet. Några andra övergångsbestämmelser bedöms inte behövas. Regeringens bedömning: Förslagen medför att lagar som reglerar , och personupp- giftsbehandling anpassas till EU:s dataskyddsförordning, med beaktande av myndigheternas behov. De ekonomiska konsekvenserna för myndigheterna är ytterst begränsade. Eventuella kostnader ryms inom myndigheternas befintliga ekonomiska ramar. Förslagen medför inte några offentligfinansiella effekter. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över bedömningen. avstår från att yttra sig. Skälen för regeringens bedömning Dataskyddsreformen innebär bl.a. att EU:s dataskyddsförordning kom- mer att ersätta personuppgiftslagen. Vidare avses en generell lag på nationell nivå komplettera dataskyddsförordningen, dataskyddslagen (se prop. 2017/18:105). I denna proposition föreslås vissa specifika anpass- ningar av lagstiftning på området för skatt, tull och exekution som bedöms nödvändiga eller lämpliga som en följd av ovan nämnda reglering, samt vissa mindre justeringar som inte har direkt samband med dataskyddsreformen. De flesta förslagen är rena följder av eller anpassningar till dataskydds- förordningen och till att personuppgiftslagen upphävs. Det gäller t.ex. slopade hänvisningar till personuppgiftslagen eller slopade bestämmelser avseende sådant som regleras direkt i dataskyddsförordningen eller i den föreslagna dataskyddslagen, och att hänvisningar görs till dataskyddsför- ordningens definition av känsliga personuppgifter i stället för till person- uppgiftslagens. Dessa förslag, och de förslag som anger författningarnas förhållande till dataskyddsförordningen och dataskyddslagen, bidrar till att minska eventuell dubbelreglering och klargör de olika regleringarnas förhållande till varandra. Andra förslag medför inte någon ändring i förhållande till dagens reglering, t.ex. justeringar i bestämmelser om att rätten att göra invändningar mot behandling inte ska gälla. I propositionen bedöms att särskilda lagbestämmelser som innebär avsteg från eller specificeringar av dataskyddsförordningens eller data- skyddslagens bestämmelser och som är anpassade efter de särskilda behov som , eller har kan behållas, t.ex. bestämmelser om tillåtna ändamål och när det är tillåtet att behandla vissa kategorier av personuppgifter. Genom sådana särbestämmelser säkerställs att myndigheterna har lämpliga verktyg för den personuppgiftsbehandling som deras verksamhet kräver och som den nya dataskyddsregleringen tillåter. De förslag som inte har direkt samband med dataskyddsreformen är t.ex. att vissa bestämmelser flyttas eller formuleras om, såsom att s.k. primära och sekundära ändamålsbestämmelser förtydligas. Detta medför att regleringen blir enklare att tillämpa. 2017/18:95 De ekonomiska konsekvenserna av de i denna proposition föreslagna ändringarna bedöms bli ytterst begränsade. Ändringarna bedöms inte medföra några nämnvärda kostnader för myndigheterna t.ex. i form av IT-utveckling eller liknande. Som framgår ovan utgörs den stora föränd- ringen av den nya regleringen på EU-nivå, som är direkt tillämplig. De omställningar och anpassningar av verksamheten som myndigheterna kan behöva genomgå orsakas således till allra största delen av annan reglering än de förslag som läggs fram i denna proposition. Skulle förslagen i denna proposition medföra vissa kostnader, bedöms dessa kunna hanteras inom myndigheternas befintliga ekonomiska ramar. Förslagen bedöms inte medföra några offentligfinansiella effekter eller samhällsekonomiska konsekvenser. Förslagen bedöms inte heller ha någon påverkan på vare sig jämställdheten mellan kvinnor och män eller möjligheten att nå de integrationspolitiska målen. Förslagen bedöms inte ha några sociala eller miljömässiga konsekvenser. 13.1Förslaget till lag om ändring i lagen (1998:527) om det statliga personadressregistret Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning, och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (2018:000), kallad data- skyddslagen. I första stycket upplyses om att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och är direkt tillämplig. Denna lag utgör således ett komplement till dataskydds- förordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket finns i bl.a. denna lag. Genom andra stycket klargörs att även dataskyddslagen och föreskrif- ter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av lagen eller före- skrifter som har meddelats i anslutning till lagen. Lagen utgör således ett komplement till dataskyddslagen. Till skillnad från dataskyddsförord- ningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestäm- melser gäller endast om denna lag eller tillhörande föreskrifter inte inne- håller några avvikande bestämmelser. Hänvisningarna i lagen till dataskyddsförordningen avser förordningen i den gällande lydelsen, en s.k. dynamisk hänvisning. Den nya utformningen innebär också att hänvisningarna till person- Prop. 2017/18:95 uppgiftslagen (1998:204) har tagits bort. Övervägandena finns i avsnitt 9.2. I paragrafen, som är ny, görs i första stycket ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskyddsförordningen. Undantaget utgör en sådan begränsning i den nationella rätten som är tillåten enligt artikel 23 i dataskyddsförord- ningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar enligt artikel 21.1. I artikel 21.2 i dataskyddsförordningen ges en rätt för den registrerade att invända mot behandling av personuppgifter för direkt marknads- föring. Den rätten gäller vid sådan behandling som omfattas av lagen. I andra stycket ges en upplysning om att en sådan rätt finns i artikel 21.2 i dataskyddsförordningen. Övervägandena finns i avsnitt 9.5.4. Bestämmelsen behandlas i avsnitt 11. 13.2Förslaget till lag om ändring i lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning. I paragrafen upplyses om att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och är direkt tillämplig. Denna lag utgör således ett komplement till dataskydds- förordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket finns i bl.a. denna lag. Hänvisningarna i lagen till dataskyddsförordningen avser förordningen i den gällande lydelsen, en s.k. dynamisk hänvisning. Den nya utformningen innebär också att hänvisningarna till person- uppgiftslagen (1998:204), PUL, har tagits bort. Vidare har bestämmelsen i andra stycket utgått och en liknande bestämmelse införts i 3 kap. 3 §, se kommentaren till den bestämmelsen. Övervägandena finns i avsnitt 9.2. Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (2018:000), kallad dataskyddslagen. Genom paragrafen klargörs att även dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av lagen eller före- skrifter som har meddelats i anslutning till lagen. Denna lag utgör således ett komplement till dataskyddslagen. Till skillnad från dataskyddsförord- ningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestäm- melser gäller endast om denna lag eller tillhörande föreskrifter inte innehåller några avvikande bestämmelser. Den nya utformningen innebär också att hänvisningarna till person- uppgiftslagen har tagits bort. Övervägandena finns i avsnitt 9.2. Paragrafen reglerar ändamål för vilka personuppgifter får behandlas enligt lagen. Paragrafen har ändrats genom att bestämmelsen i andra stycket, som rör behandling av uppgifter för tillhandahållande av information som behövs i brottsbekämpande verksamhet, har flyttats till 5 §. Ändringen innebär att paragrafen endast omfattar ändamål som avser sådan verksamhet inom som omfattas av lagens tillämpningsområde och för vilka uppgifter får samlas in i verksamheten, s.k. primära ändamål. De sekundära ändamålen har samlats i 5 § (se kommentaren till den paragrafen). I inledningen av paragrafen i dess nya lydelse har vissa redaktionella ändringar gjorts. Övervägandena finns i avsnitt 9.3. I paragrafen finns bestämmelser om s.k. sekundära ändamål. De sekun- dära ändamålen reglerar i vilken utsträckning personuppgifter, som myndigheten har samlat in för ett primärt ändamål, får behandlas för att lämnas ut till annan verksamhet inom den egna myndigheten, till enskilda eller till andra myndigheter för att tillgodose deras behov. Paragrafen har fått en ny struktur och delvis nytt innehåll. Genom ändringarna i paragrafens inledning klargörs att det endast är sådana uppgifter som redan behandlas med stöd av 4 § som får behandlas för de sekundära ändamålen i paragrafen. Uppgifter får alltså inte samlas in för att behandlas endast för de ändamål som anges i paragrafen. I den nya första punkten återges de nuvarande bestämmelserna om tillhandahållande av information som behövs i författningsreglerad verk- samhet hos någon annan än . Till den nya andra punkten har bestämmelsen om behandling av upp- gifter för tillhandahållande av information som behövs i brottsbekämpande verksamhet flyttats. Den fanns tidigare i 4 § andra stycket (se kommentaren till den paragrafen). Ändringen medför att de sekundära ändamålen samlas i en paragraf. En redaktionell ändring har också gjorts. Den nya tredje punkten motsvarar till stor del det tidigare andra Prop. 2017/18:95 stycket. Genom ändringarna klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande. Av den nya fjärde punkten framgår att behandling får ske även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med insamlingsändamålen (den s.k. finalitets- principen). Bestämmelsen är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med insamlings- ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen. Övervägandena finns i avsnitt 9.3. I första stycket har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Bestämmelsens inledning har också fått en något annorlunda utformning. Eftersom dataskyddsförordningens definition är något vidare än person- uppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter. Hänvis- ningen till personuppgiftslagens definition av lagöverträdelser m.m. har ersatts med en uppräkning av de lagöverträdelser m.m. som motsvarar personuppgiftslagens definition. Den senare ändringen innebär ingen ändring i sak. Övervägandena finns i avsnitt 9.4. I paragrafen, som behandlar möjligheten för att ta ut avgifter för att lämna ut uppgifter ur beskattningsdatabasen, har andra stycket fått en ny struktur och en ny andra punkt. I den nya andra punkten upplyses om att rätten att ta ut avgifter inte innebär någon inskränkning i den registrerades rätt till kostnadsfri information och kommunikation m.m. enligt artikel 12.5 i dataskyddsförordningen. Övervägandena finns i avsnitt 9.5.2. I paragrafen görs undantag från vissa av den registrerades rättigheter och den personuppgiftsansvariges skyldigheter när personuppgifter behandlas på grund av samarbete enligt lagen (2012:843) om administrativt sam- arbete inom Europeiska unionen i fråga om beskattning. utgör en sådan begränsning i den nationella rätten som är tillåten enligt 2017/18:95 artikel 23 i dataskyddsförordningen. Hänvisningarna till 23, 25, 26, 28 och 42 §§ PUL har ersatts med hänvisningar till artiklarna 13 och 15–19 i dataskyddsförordningen. I stället för att hänvisa till intressen som anges i 8 a § f PUL har det skrivits ut i paragrafen att de aktuella artiklarna inte ska tillämpas om sådana begränsningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen. Övervägandena finns i avsnitt 9.5.2 och 9.5.3. I paragrafen, som är ny, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskydds- förordningen. Undantaget utgör en sådan begränsning i den nationella rätten som är tillåten enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar enligt artikel 21.1. Bestämmelsen har flyttats från 1 kap. 2 § andra stycket och har anpassats till regleringen i dataskydds- förordningen genom en ny lydelse. Övervägandena finns i avsnitt 9.5.4. Bestämmelserna behandlas i avsnitt 11. 13.3Förslaget till lag om ändring i lagen (2001:182) om behandling av personuppgifter i folkbokföringsverksamhet