prot · H509100 · 2018-04-18 00:00:00 — § 1 Justering av protokoll Protokollet för justerades. § 2 Anmälan om ersättare Tredje vice talmannen anmälde att (S) inträtt som ersättare för (S) för hennes ledighet –. § 3 Anmälan om kompletteringsval Tredje vice talmannen meddelade att Socialdemokraternas riksdagsgrupp anmält som suppleant i skatteutskottet och i näringsutskottet under ledighet. Tredje vice talmannen förklarade vald –till § 4 Ärenden för hänvisning till utskott Följande dokument hänvisades till utskott: 2017/18:213 till skatteutskottet 2017/18:235 till 2017/18:241 till näringsutskottet COM(2018) 135 till finansutskottet Åttaveckorsfristen för att avge ett motiverat yttrande skulle gå ut . § 5 Ärenden för bordläggning Följande dokument anmäldes och bordlades: 2017/18:JuU14 Straffrättsliga frågor 2017/18:JuU17 Våldsbrott och brottsoffer 2017/18:KrU3 Civila samhället inklusive trossamfund 2017/18:KrU7 Kulturarvsfrågor 2017/18:UU16 Interparlamentariska unionen (IPU) 2017/18:UU17 Den parlamentariska församlingen för Unionen för (PA-UfM) § 6 Ny dataskyddslag betänkande 2017/18:KU23 Ny dataskyddslag (prop. 2017/18:105) 1 (SD): Fru talman och kära utskottskollegor – god morgon! har till detta betänkande, som handlar om en ny dataskyddslag, två reservationer. Jag yrkar bifall till reservationerna 1 och 2. har vi kunnat följa turerna kring hur känsliga data om oss som användare har läckt ut från världens största sociala medieplattform, Facebook. Vi vet att alla data vi delar med oss av, både frivilligt och ofrivilligt, bara genom att nyttja tjänster på internet används av företag runt om i världen för att kartlägga och tjäna pengar på oss användare. Det är ett obestridligt faktum att den kartläggning som pågår under dygnets alla timmar och runt om i hela världen saknar motstycke i historien, fru talman. Rätten att inte bli kartlagd finns dock inskriven i vår grundlag. I regeringsformens andra kapitel tydliggörs att ”ingen svensk medborgare får utan samtycke antecknas i ett allmänt register enbart på grund av sin politiska åskådning”. Det stadgas också att var och en är skyddad gentemot det allmänna mot intrång ”samt mot undersökning av brev eller annan förtrolig försändelse och mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande”. Det står även uttryckligen att man ska vara skyddad gentemot det allmänna ”mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden”. Jag vågar nog påstå att de regler om skyddet av vår integritet som finns inskrivna i vår grundlag inte räcker till ens på långa vägar. I de paragrafer i regeringsformen som reglerar detta används, som ni hörde, begreppet ”gentemot det allmänna”. Det handlar således om staten. Den datainsamling som Facebook och andra privata företag bedriver mot svenska medborgare skulle aldrig vara laglig om den bedrevs av vår egen stat. Faktum är, fru talman, att privata företag på andra sidan vet mer om svenska medborgare än vad svenska staten eller ens våra närmaste gör. Det här måste få ett slut. Bestämmelserna i vår grundlag måste förstärkas, och reglerna måste omfatta även Facebook och andra internationella företag. Det finns de som säger att den som inte har någonting att dölja inte heller har någonting att vara orolig för. Alla här inne och alla ni som tittar på detta just nu har i livet gjort, sagt eller skrivit något – kanske tagit en bild eller fastnat på en bild – som ni ångrar. Därför menar jag, fru talman, att alla i någon mening faktiskt har något att dölja – något vi inte är stolta över och som vi inte vill ska komma någon annan till del. Människor gör mänskliga misstag, och det måste vi tillåtas göra. Med all den information som finns lagrad om oss ökar självklart också riskerna för intrång i våra privata liv. Att de företag vi ger all denna information till använder den för kartläggning är såklart illa nog, men än värre är det om informationen läcker genom exempelvis dataintrång. Låt mig ta ett exempel: noterades ett enormt säkerhetshål i routrar från en särskild tillverkare. Tillverkaren var och är än en av de största på den internationella marknaden, och dess produkter finns sannolikt i tiotusentals eller till och med hundratusentals svenska hem. I praktiken innebar säkerhetshålet att betydande delar av de här personernas privata hårddiskar stod öppna för alla i hela världen. Någon kanske tänker att det ändå bara kan röra sig om ett fåtal individer som har den kunskap som krävs för att använda den här typen av säkerhetshål och således komma åt innehållet. Men det tar att skaffa sig den kunskap som krävs, även för den som saknar större förkunskaper. efter att någon fått den kunskapen kan samma person kopiera eller radera hela eller delar av din eller min privata hårddisk. Den nya dataskyddslagen är en förbättring gentemot den tidigare personuppgiftslagen, men den går inte långt nog. I två avseenden vill gå längre än regeringen och de övriga partierna. För det första menar vi att rätten att bli glömd, vilken i praktiken gäller den som vill radera sitt konto, måste bli absolut. Personen måste garanteras att precis alla uppgifter om och spår av dennes närvaro faktiskt raderas. För det andra vill stoppa den spridning av och handel med personuppgifter som bedrivs – och som tyvärr kommer att kunna fortsätta bedrivas även med det nuvarande förslaget till ny dataskyddslag. I princip bör det råda ett totalförbud mot handel med personuppgifter om inte varje individ ger sitt uttryckliga samtycke varje gång det sker. Ett samtycke måste vara tydligt och inte gömmas i långa avtal som är alltför komplexa och omfattande för att enskilda ska kunna förväntas förstå innebörden av vad de faktiskt går med på och accepterar. När det gäller spridningen av personuppgifter bör utgångspunkten vara segmentering, där servrarna som lagrar uppgifterna ska finnas i samma land som vi användare. Med dataskyddsförordningen vill EU att spridningen av uppgifterna inom EU, och till viss del inom tredjeland, ska underlättas. Vi från är av motsatt uppfattning. Till skillnad från regeringen och EU vill i stället se att personuppgifter stannar kvar inom landets gränser i så stor utsträckning som möjligt. Det finns mycket att säga om den personliga integriteten. Människor, och särskilt ungdomar, lever större delen av sina liv på internet. I någon mening vet internet mer om oss som individer än vad vår egen familj och våra närmaste vänner gör. Den utvecklingen oroar mig, och den borde nog oroa oss alla. Facebook, Google, Microsoft, Instagram och allt vad de heter har fått fritt spelrum alltför . Det är dags att äganderätten till våra personuppgifter faktiskt lämnas tillbaka. Det är vi själva och inga andra – inte stater och inte privata företag – som ska äga kunskaper om våra intressen, vilken politisk uppfattning vi har, vilka vi kommunicerar med och vad vi säger. Låt mig komma tillbaka till det jag sa om dem som påstår att den som inte har något att dölja inte heller har något att vara rädd för. Skulle samma personer vara beredda att avstå från sin yttrandefrihet i händelse av att de inte har något att säga? Skulle de av våra medborgare som aldrig röstar förespråka ett avskaffande av rösträtten och demokratin? Det tror jag knappast. Försvaret av vår demokrati och vår yttrandefrihet, liksom rätten till personlig integritet, angår oss alla. Vi är åtta partier som sitter representerade här i kammare. Genom vår representativa demokrati är vi folkets främsta företrädare. De beslut vi fattar påverkar generationer efter oss. vill ge dessa generationer en chans att leva fria från otillbörlig kartläggning och övervakning från både staten och multinationella företag, fru talman. Låt den personliga integriteten bli en fråga vi kan komma överens om, så att både vi och generationerna efter oss kan känna att vi får makt och kontroll över våra egna liv! I detta anförande instämde (SD). 2 (S): Vi debatterar nu det här betänkandet som jag visar upp för kammarens ledamöter. Jag vill börja med att yrka bifall till utskottets förslag i betänkandet. Utskottet föreslår att antar regeringens förslag till lag med kompletterande bestämmelser till EU:s dataskyddsförordning och förslag till lag om ändringar i offentlighets- och sekretesslagen. EU:s dataskyddsförordning börjar tillämpas och kommer att utgöra den generella regleringen av personuppgiftsbehandling inom EU. Genom lagförslagen införs vissa allmänna kompletteringar och förtydliganden till dataskyddsförordningens bestämmelser. Lagförslagen innebär att personuppgiftslagen upphävs och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen, införs samt att vissa bestämmelser i offentlighets- och sekretesslagen ändras. Enligt dataskyddslagen ska dataskyddsförordningen med vissa undantag gälla även utanför sitt egentliga tillämpningsområde. Dataskyddslagen ska vara subsidiär i förhållande till annan lag eller förordning. Det möjliggör för avvikande bestämmelser i så kallade registerförfattningar. I dataskyddslagen förtydligas bland annat under vilka förutsättningar vissa personuppgifter får behandlas med stöd av dataskyddsförordningen. Dataskyddslagen innehåller också vissa bestämmelser om begränsning av de registrerades rättigheter samt om skadestånd och överklagande av beslut. I lagen anges även att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i en utsträckning som skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Betänkandet har remissbehandlats. Lagrådet har granskat lagförslagen. Regeringen har i allt väsentligt följt Lagrådets förslag. I förhållande till lagrådsremissens lagförslag har vissa språkliga och redaktionella ändringar gjorts. Den allmänna regleringen om behandling av personuppgifter inom EU finns i det som brukar kallas dataskyddsdirektivet. Det gäller inte för behandling av personuppgifter på områden som faller utanför unionsrätten, till exempel allmän säkerhet och försvar och ett antal ytterligare områden. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen, som vi kallar PUL i dagligt tal. PUL följer i princip dataskyddsdirektivets struktur. Regeringen konstaterar att dataskyddsförordningen ersätter dataskyddsdirektivet, som har genomförts i svensk rätt huvudsakligen genom PUL, PUF och Datainspektionens föreskrifter. Det noteras att dataskyddsförordningen inte ska genomföras i svensk rätt, utan den ska i stället tillämpas direkt av enskilda myndigheter och domstolar. Enligt artikel 9 i dataskyddsdirektivet ska medlemsstaterna, med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande, besluta om undantag och avvikelser från delar av direktivet endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten. Två remissinstanser, Datainspektionen och , ifrågasätter förslagets förenlighet med . Regeringen menar dock att det är förenligt. Datainspektionen föreslås bli tillsynsmyndighet, och regeringen anför att tillsynsmyndigheten har i uppgift att öka allmänhetens medvetenhet om och förståelse för risker, regler, skyddsåtgärder och rättigheter i fråga om behandling. Särskild uppmärksamhet ska ägnas åt insatser som riktar sig till barn. Vidare har regeringen gett Datainspektionen i uppdrag att förstärka sitt arbete med att underlätta näringslivets anpassning till dataskyddsförordningen och informera om regleringen för att svenska företag inte ska tappa tempo i sitt digitaliseringsarbete och kunna upprätthålla ett gott integritetsskydd. Datainspektionen har samlat omfattande information om dataskyddsreformen under en särskild flik på sin webbplats. Myndigheten har också medverkat till att ta fram en guide om de viktigaste grunderna i dataskyddsförordningen och hur den fungerar. Datainspektionen kommer som framgår även i övrigt att ha till uppgift att hjälpa, vägleda och informera om reglerna för personuppgiftsbehandling och dataskydd. I propositionen anges även att några myndigheter framhåller behovet av en samlad översyn av registerförfattningarna. Regeringen konstaterar att den korta tid som står till buds för att anpassa den svenska dataskyddsregleringen till den nya EU-regleringen inte medger mer omfattande nationella reformer på detta område. Det utesluter enligt regeringen inte att vissa sådana övergripande förändringar skulle kunna vara befogade och därför bli föremål för övervägande i ett annat sammanhang. Några instanser anser att det är anmärkningsvärt att lagförslagens inverkan på föreningar och civilsamhället inte nämns av utredningen. Regeringen anför att det står klart att dataskyddsförordningens direkt tillämpliga bestämmelser kommer att leda till vissa konsekvenser för det allmänna och för företag, ideella föreningar och andra enskilda organ. Utskottet välkomnar de omfattande informationsåtgärder som har vidtagits och som även kommer att fortsätta vidtas. Det är enligt utskottet av stor vikt att inte minst företag, ideella föreningar och andra enskilda organ upplyses om regleringen av just personuppgiftsbehandling. Utskottet delar regeringens bedömning att en fullständig konsekvensanalys av dataskyddsreformen inte låter sig göras i detta lagstiftningsärende. Utskottet framhåller dock vikten av att regeringen, i den utsträckning som är möjlig i förhållande till , säkerställer att regelverket utformas så att dataskyddsregleringens bestämmelser tydliggörs och tillämpningen underlättas såväl för det allmänna som för företag, ideella föreningar och andra enskilda organ. Utskottet anser att de förslag som lämnas i propositionen framstår som väl avvägda utifrån behovet av de anpassningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till. Utskottet ställer sig därför bakom de överväganden som görs i propositionen och föreslår att antar regeringens förslag till dataskyddslag och förslag till ändringar i offentlighets- och sekretesslagen. 3 DAG KLACKENBERG (M): har redovisat en oro för den lagstiftning som vi har framför oss. har beskrivit väl vad den innehåller och uttryckt tillfredsställelse. Jag vill gärna ansluta mig till utskottets majoritet och säga att jag tycker att regeringen har lagt fram ett bra förslag. Det går att beskriva på olika sätt. I branschtidningen i den bransch där familjen är verksam sattes en braskande rubrik: Är du beredd på GDPR? Är du färdig? Vet du att du kan få betala stora böter? Det är ett sätt att beskriva det hela. Ett annat sätt är att sluta säga GDPR, vilket branschtidningarna säger bara för att trassla till det och höja konsultarvodena. Vi kan kalla det för dataskyddslagen eller dataskyddsförordningen. Jag tycker att alla i den här salongen ska försöka använda det svenska uttrycket. Vad betyder det? Varför tycker vi att det är ett bra förslag? Jo, det är en anpassning och en förbättring. Det kommer naturligtvis att behöva göras mycket även framöver för att anpassa det till den snabba tekniska utvecklingen. Men det förslag som ligger på bordet nu kommer att innebära ett stärkt skydd. Det kommer också att innebära att alla måste tillämpa det, oavsett om man är företag, förening eller vad man nu är. Samlar man in persondata måste man följa den nya dataskyddslagen och dataskyddsförordningen. När jag benar i texten kan jag se tre grundläggande principer som man ska hålla sig till. Till att börja med måste man ha ett tydligt ändamål när man börjar samla in persondata. Man måste alltså vara tydlig med varför man gör det. Man kan inte bara helt random samla ihop det för att det kan vara bra att ha – i bostadsrättsföreningen, båtklubben eller den lilla bokhandeln. Man får inte heller ändra ändamål efteråt och säga att man har en bra samling personuppgifter, som man skulle använda till ett annat ändamål. Det är alltså uttryckligen förbjudet. Och det är en förbättring. Sedan måste man vara öppen i förhållande till dem man registrerar. Det gäller naturligtvis också en bostadsrättsförening, ett småföretag och även de jättelika företagen. Om en registrerad frågar vad som har registrerats om denne räcker det inte med att båtklubben säger: Vi har namnet på din båt. Men man kanske har registrerat något annat som de inte redovisar. Man måste alltså berätta allt man har registrerat, och det måste kunna svara mot det syfte som man har. En förbättring är att den som samlar in personuppgifter måste vara så tekniskt och organisatoriskt ordnad att man klarar de krav som förordningen ställer. Klarar man inte av tekniken och inte har ordning har man inte följt lagen. Man kan inte säga att man inte förstod eller att man slarvade. Då kan man naturligtvis få en kostnad för det. Det kallas för ett inbyggt dataskydd. Egentligen får det som effekt ständiga förbättringar i hanteringen av ens dataskydd. ska detta vara klart . Det är naturligtvis det som konsulterna lever på, att närmar sig och att det kan bli höga böter om man inte har det man ska. Då vill jag bara från den här talarstolen säga att om man inte är klar till – det är många som inte kommer att vara det – ska man ha prioriterat. Har man då prioriterat att försöka anpassa sig till den nya lagstiftningen och dokumenterat det man har gjort men inte är färdig är det naturligtvis bättre än att gömma sig under täcket och hoppas att ingen ser en. Om man inte har gjort någonting här är det som när man inte gjort något yrkande inför . Har man yrkat ett avdrag kan säga att man har försökt men misslyckats, men de kan inte säga att man har dolt något. Det är samma sak här. Börjar man arbeta enligt den nya dataskyddslagen men inte är klar behöver man inte vara speciellt rädd för att man kommer att straffas med att betala mångmiljonbelopp, vilket det står i vissa tidningar. En annan sak som är bra med den nya lagen, till skillnad från den tidigare, är att man inte får samla in fler uppgifter än nödvändigt. Många som samlar in uppgifter brukar ha känslan att det är bra-att-ha-uppgifter. Det duger inte längre, utan nu ska man bara samla in precis så mycket uppgifter som behövs. Och man får bara samla in uppgifter i förhållande till i förväg bestämda ändamål, vilket också är en klar förbättring. Som varande objekt för denna insamling ska man kunna fråga varför uppgifterna samlas in, vad som är det bestämda ändamålet. Vidare – och där syndas det mycket – får man bara spara personuppgifterna så länge som de ska användas för det fastställda ändamålet. Det är utmärkt att det står att man ska spara på så få ställen som möjligt. Det betyder att en förening med länsavdelningar, ett företag med 120 butiker eller något annat med spridning i landet inte behöver ha 120 register som ser likadana ut. Man kan ha registret på ett ställe, och de som behöver får gå in och titta där utan att kopiera hela registret. Detta är ett framsteg. Alla användare ska vara beredda på att visa vad som har registrerats om personer. De får inte trassla och säga att de har telefontider eller på annat sätt göra det besvärligt, utan de måste rakt upp och ned tala om vilka uppgifter de har om dig. Sist men inte minst kanske är på rätt spår i sin reservation, men det är väldigt översiktligt beskrivet hur det i praktiken ska gå till att bli glömd. Det kanske är därför som vi har läst reservation men inte riktigt hängt med. Men visst ska man ha rätt att bli bortglömd, helt enkelt struken – självklart. Det finns regler nu för hur det ska gå till, och kanske måste vi utveckla dem mer. De vi har sett är alltför svepande, men här kanske det finns ett spår. Likaså finns det i det särskilda yttrandet från tankar som är mycket värdefulla och som måste bearbetas vidare framöver. Det handlar om hur vi ska göra med gränserna för konstnärlig verksamhet, akademisk verksamhet etcetera. Det kommer nya krav på oss som lagstiftare vad gäller dataskyddet. Icke desto mindre yrkar jag bifall till utskottets förslag. 4 (SD) replik: Tack, Dag Klackenberg, för passningen! Frågan rörde ju reservation på temat rätten att bli glömd. Som jag tolkar det liggande förslaget till lagstiftning kommer inte den rätten att bli helt absolut, för alla uppgifter kommer inte att försvinna. Det är i grund och botten samma problematik . För att ta ett konkret exempel, som folk inom datavärlden talar mest om, handlar det ofta om sociala medier. Du och jag har fört en konversation över Messenger eller andra applikationer. Jag kan radera mitt konto, men vad jag har skrivit i våra privata konversationer stannar kvar och finns fortfarande lagrat. Då kan man resonera att det är meddelanden som du har fått av mig och fråga sig vem det är som äger meddelandena. Om vi backar bandet kan vi jämföra det med att jag har skickat ett brev till dig. Då kan jag inte komma hem till dig och hämta brevet något senare, när jag har ångrat vad jag har skrivit. Jag menar att internet inte är riktigt jämförbart. Barn och unga skickar tusentals meddelanden fram och tillbaka. Man kan ju fråga sig om det är någonting som de ska behöva stå för när de 15–söker jobb. Jag kan tycka att detta inte är så enkelt. Detta behöver man problematisera kring, och det är därför vi vill anföra att det bör utredas hur rätten att bli glömd kan bli mer absolut. Detta var ett tydliggörande. 5 DAG KLACKENBERG (M) replik: Tack, , för din kommentar! Det är uppenbart att vi är inne på samma spår. Men du vidgar det nu till att också omfatta alla sociala medier. Jag höll mig till dem som verkligen håller ett register. Vi får fundera framöver på hur vi ska lagstifta kring detta. Analytica visar ju verkligen vilken problematik vi har i detta. Vi måste ha ett gediget lagstiftningsarbete som gör att alla medborgare förstår vilka rättigheter och faror som finns med sociala medier. Där menar jag att ni kanske är på rätt spår, men reservationen är inte tekniskt tillräckligt bra för att vi ska ansluta oss till den från majoritetens sida. 6 (SD) replik: Det är egentligen inte så mycket att replikera på. Men det var ju bra att jag fick möjligheten att förtydliga vad vi menar. Dag Klackenberg nämnde flera exempel i sitt anförande, bland annat den lokala båtklubben och bostadsrättsföreningen. Jag tror inte att det är där som människor oroar sig mest . När vi ändå tar det här greppet om dataskyddet tycker jag att vi även hade kunnat titta på de lite mer oroande aspekterna av framför allt internet när det gäller sociala medier. Jag tolkar det som att det är där som de flesta människor känner en viss oro över vilka uppgifter som finns sparade och vad vi själva kan välja att ta bort, hur våra personuppgifter används för marknadsföring och hur kartlagda vi blir som individer. Svaret på dessa frågor fick vi för inte så länge sedan, då vi kunde lyssna på utfrågningen i av Facebooks grundare. Det finns tyvärr också en hel del andra rätt skrämmande exempel på hur våra personuppgifter har använts på ett felaktigt sätt. Jag välkomnar ett intresse från i de här frågorna. tycker att den personliga integriteten är viktig. Det här är en fråga där jag tror att vi åtta partier måste sätta oss ned och komma överens för att på lång sikt få till ett system som fungerar och som stärker vår personliga integritet. 7 DAG KLACKENBERG (M) replik: Jag kan helt kort säga att det inte är sista gången som den här frågan diskuteras i kammaren. 8 (MP): kommer den nya dataskyddsförordningen att träda i kraft. Det handlar om EU-lagstiftning som går direkt in i svensk lag. I samband med det anpassar vi en rad andra lagstiftningsprodukter, och jag tror att det är ett tjugotal som kommer att passera kammare . får vi ca 500 miljoner EU-invånare ett betydligt starkare integritetsskydd för uppgifter som ligger på nätet. har jobbat oerhört mycket på EU-nivå för att stärka integritetsskyddet på nätet, kanske alldeles särskilt genom den gröne rapportören , som har gjort ett stort jobb i förhandlingarna för att lotsa detta enorma lagstiftningsarbete i hamn.