sou · H6B316d2 · 2018-03-07 00:00:00 — Allmänt gäller att dataskyddsförord- ningens artikel 4.1 definierar personuppgift som ”varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hän- visning till en identifierare som ett namn, ett identifikationsnum- mer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.”21 Enligt IWGDPT är den data som lagras i en EDR att anse som personuppgifter relaterade till föraren och i en del fall även passagerare. Det eftersom informationen i en EDR inte endast avser viss teknisk information utan också (direkt eller indirekt) förarens och passagerarens beteenden.22 Om EDR kom- bineras med videoteknik behandlas potentiellt även personupp- gifter från omgivningen.23 Formellt behöver en bedömning göras i varje enskilt fall om en uppgift utgör en personuppgift eller inte. I praktiken torde dock den som behandlar uppgifter i en EDR behöva utgå från att upp- gifterna åtminstone potentiellt utgör personuppgifter, bl.a. efter- som det är kostsamt eller praktiskt ogörligt att göra en bedömning i enskilda fall i fråga om enskilda uppgifter. Av den anledningen utgår jag i den här rapporten från att uppgifter som samlas in i en EDR i regel är personuppgifter. 21Utöver språkliga förändringar som inte kan anses ändra innebörden i ovanstående defini- tion skiljer sig denna definition från det nuvarande dataskyddsdirektivet på ett antal sätt. Strukturellt har indelningen i direkt eller indirekt identifiering ersatts med uppdelningen mellan identifierare respektive faktorer som är specifika för personen. Det framgår vidare att ett namn kan vara en sådan identifierare, samt att en fysisk person även kan identifieras med faktorer som är specifika för en fysisk persons genetiska identitet. 22International on Data Protection in telecommunications, Paper on the privacy and data protection issues of EDRs (2011), punkt 8. () antog 1948 den allmänna förklaringen om de mänskliga rättigheterna. Förklaringen är inte formellt bin- dande för medlemsstaterna, men ses som ett uttryck för sedvane- rättsliga regler. Skyddet för den personliga integriteten behandlas i artikel 12, som anger att ingen må utsättas för godtyckligt ingrip- ande i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende. Var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. I arti- kel 29 anges att en person endast får underkastas sådana inskränk- ningar som har fastställts i lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras rättigheter och friheter samt för att tillgodose ett demokratiskt samhälles berättigade krav på moral, allmän ordning och allmän välfärd. Inom FN har också utarbetats en internationell konvention om medborgerliga och politiska rättigheter, som antogs av generalför- samlingen 1966 och trädde i kraft . anslöt sig till kon- ventionen 1971. I artikel 17 återupprepas vad som anges i artikel 12 i den allmänna förklaringen. antog 1990 riktlinjer om datoriserade register med personuppgifter. I riktlinjerna finns tio grundläggande principer som medlemsstaterna ska ta hänsyn till vid lagstiftning av- seende datoriserade register med personuppgifter. Det anges bland annat att personuppgifter inte får samlas in eller behandlas i strid med FN:s stadga. för ekonomiskt samarbete och utveckling, , har en expertgrupp utarbetat riktlinjer i fråga om integ- ritetsskyddet och personuppgiftsflödet över gränserna. Riktlinjerna antogs 1980 av tillsammans med en rekommendation till medlemsländernas regeringar om att betrakta riktlinjerna i natio- nell lagstiftning. Samtliga medlems- länder, däribland , har godtagit rekommendationen och åtagit sig att följa denna. Riktlinjerna ska uppfattas som minimiregler och motsvarar i princip de bestämmelser som finns i data- skyddskonvention. De är tillämpliga på behandling av personupp- gifter inom både den privata och den offentliga sektorn. antog en konvention till skydd för enskilda vid automatisk databehandling av personupp- gifter, den s.k. dataskyddskonventionen (nr 108). Konventionen trädde i kraft . har, i likhet med övriga medlemsstater i EU, anslutit sig till dataskyddskonventionen. Kon- ventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk data-behandling av personuppgifter. Ut- gångspunkten är att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser, som finns inskriven i internationella överens- kommelser om mänskliga rättigheter. Konventionens tillämpnings- område är enligt huvudregeln automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet. I konventionen anges krav på de personuppgifter som undergår automatisk databehandling, bl.a. krav på att uppgifterna ska hämtas in och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet, att vissa typer av uppgifter inte får behandlas auto- matiserat om inte nationell lagstiftning ger ett ändamålsenligt skydd, och att lämpliga säkerhetsåtgärder ska vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse. Konventionen kompletteras av ett antal av ministerkommittén an- tagna rekommendationer om hur personuppgifter bör behandlas inom olika områden. Dessa är dock, till skillnad från dataskydds- konventionen, inte bindande. En översyn av konventionen pågår inom . Regeringsformen, och EU-stadgan Svensk grundlag ger ett grundläggande skydd för den personliga integriteten. Enligt målsättningsstadgandet i 1 kap. 2 § första stycket regeringsformen ska den offentliga makten utövas med respekt för den enskilda människans frihet. I fjärde stycket samma paragraf anges att det allmänna ska värna om den enskildes privat- och familjeliv. För att stärka skyddet för den personliga integriteten infördes ett nytt andra stycke i 2 kap. 6 § regerings- formen. I bestämmelsen anges att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet får enligt 2 kap. 20 och 21 §§ regeringsformen begränsas genom lag, men endast för att tillgodose ändamål som är godtagbara i ett demokratiskt sam- hälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbild- ningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. Grundlagsskyddet omfattar enbart betydande intrång. I förarbe- tena framhålls att det är naturligt att det läggs stor vikt vid upp- gifternas karaktär vid bedömningen av hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insam- ling, lagring och bearbetning eller utlämnande av uppgifter om en- skildas personliga förhållanden. Ju känsligare uppgifterna är, desto mer ingripande anses det allmännas hantering av uppgifterna nor- malt vara. Även hantering av ett litet fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan enligt förarbetena normalt anses vara mer känslig än t.ex. en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Mängden uppgifter kan också vara en betydelsefull faktor i sammanhanget.24 24 Se prop. 2009/10:80 s. 183. Den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventio- nen) gäller som svensk lag (SFS 1994:1219). Enligt artikel 8 har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Inskränkningar i dessa rättigheter får endast göras med stöd av lag och för vissa i artikeln uppräknade ändamål, bl.a. hänsyn till den allmänna säkerheten och förebyggande av oordning och brott. Behandling av personuppgifter kan falla inom tillämpningsområdet för artikel 8 i konventionen i de fall behand- lingen avser uppgifter om privatliv, familjeliv, hem eller korrespon- dens. har slagit fast att bestämmelserna i artikel 8 i har viss betydelse vid bedömningen av nationella regler som tillåter behandling av personuppgifter. Vidare har slagit fast att artikel 8 i ålägger staten såväl en negativ förpliktelse att avstå från att göra intrång i rätten till respekt för privat- och familjelivet som en positiv förpliktelse att skydda enskilda mot att andra enskilda handlar på ett sätt som innebär integritetsintrång. Av 2 kap. 19 § regeringsformen framgår att lag eller annan föreskrift inte får med- delas i strid med åtaganden på grund av konventionen. Även Europeiska unionens (EU) stadga om de grundläggande rättigheterna (rättighetsstadgan) innehåller bestämmelser om be- handling av personuppgifter. I artikel 7 i stadgan anges att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer. Av artikel 8 i stadgan framgår vidare att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs. I artikel 52 i stadgan anges i vilken utsträck- ning inskränkningar får göras i de rättigheter som erkänns i stad- gan. Utgångspunkten är att sådana inskränkningar endast får göras i lag och ska vara förenliga med det väsentliga innehållet i rättig- heterna. Begränsningar får endast göras om de är nödvändiga och svarar mot ett allmänt sam-hällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. Den allmänna regleringen av behandling av personuppgifter inom Europeiska unionen finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (i fortsättningen det nu gällande dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet gäller inte för behandling av personuppgifter utanför gemenskapsrätten, t.ex. allmän säker- het, försvar, statens säkerhet och statens verksamhet på straff- rättens område. Dataskyddsdirektivet har genomförts i svensk rätt huvudsak- ligen genom personuppgiftslagen (1998:204), förkortad PUL. Be- stämmelserna i personuppgiftslagen har till syfte att skydda män- niskor mot att deras personliga integritet kränks genom behandling av personuppgifter. Personuppgiftslagen följer i princip dataskydds- direktivets struktur och innehåller liksom direktivet bestämmelser om bl.a. personuppgiftsansvar, grundläggande krav för behandling av personuppgifter, information till den registrerade, skadestånd och straff. Personuppgiftslagen är tillämplig även utanför om- råde och gäller både för myndigheter och enskilda som behandlar personuppgifter. Personuppgiftslagen är subsidiär vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Det finns en stor mängd sådana bestämmelser i s.k. särskilda registerför- fattningar som främst reglerar hur olika myndigheter får behandla personuppgifter, t.ex. studiestödsdatalagen (2009:287) och polis- datalagen (2010:361). Men det finns också sådana bestämmelser i regleringar som primärt har andra syften än att reglera person- uppgiftsbehandling, exempelvis i vapenlagen (1996:67) och kredit- upplysningslagen (1973:1173). Personuppgiftslagen kompletteras också av bestämmelser i per- sonuppgiftsförordningen (1998:1191), förkortad PUF, som bl.a. pekar ut Datainspektionen som tillsynsmyndighet enligt lagen. Datainspektionen bemyndigas i förordningen att meddela närmare föreskrifter om bl.a. i vilka fall behandling av personuppgifter är tillåten och vilka krav som ställs på den personuppgiftsansvarige. Inom EU finns också rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (data- skyddsrambeslutet). Rambeslutet kompletterar det nu gällande data- skyddsdirektivet genom att det reglerar ett område som inte täcks av direktivet, nämligen polisiärt och straffrättsligt samarbete, med inriktning på utökat gränsöverskridande informationsutbyte. I artikel 16 i fördraget om Europeiska unionens funktionssätt, som trädde 2009 genom Lissabonfördraget, anges att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Vidare anges att och rådet i enlighet med det ordinarie lagstiftningsförfarandet ska fastställa bestämmel- ser om skydd för enskilda personer när det gäller behandling av personuppgifter hos unionens institutioner, organ och byråer och i medlemsstaterna, när dessa utövar verksamhet som omfattas av unionsrättens tillämpningsområde, samt om den fria rörligheten för sådana uppgifter. Bestämmelsen ger unionen befogenhet att anta rättsakter om skydd för personuppgifter inom hela tillämp- ningsområdet för unionsrätten, med vissa särbestämmelser för den gemensamma utrikes- och säkerhetspolitiken avseende behandling av personuppgifter i medlemsstaterna. Kommissionen presenterade förslag till en genomgripande reform av om skydd för personupp- gifter. Paketet omfattade inte bara en förordning med en generell reglering som skulle ersätta det nu gällande dataskyddsdirektivet utan även ett nytt direktiv med särregler för främst den brotts- bekämpande sektorn som skulle ersätta dataskyddsrambeslutet men ha ett bredare tillämpningsområde. Det huvudsakliga syftet med kommissionens förslag var att ytterligare harmonisera och effektivisera skyddet av personuppgifter inom EU i syfte att för- bättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. förhandlingar enades och rådet om en ny reglering av skyddet för enskilda vid behandling av personuppgifter. Den består av två rättsliga instrument, en förordning och ett direktiv. och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG, börjar tillämpas . och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på be- höriga myndigheters behandling av personuppgifter för att före- bygga, förhindra, utreda, avslöja eller lagföra brott eller verk-ställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, ska vara genom- fört i nationell rätt . Dataskyddsförordningen – i dagligt tal används ofta den vedertagna engelska förkortningen, GDPR – baseras till stor del på det nu gällande dataskyddsdirektivets struktur och innehåll, men innebär även en rad förändringar. Förordningen utgår från och respekterar de grundläggande friheter som erkänns i EU-stadgan. Förordningen är indelad i elva kapitel och innehåller 99 artiklar. I förordningens kapitel I, artiklarna 1–4, finns allmänna bestäm- melser om syftet med och tillämpningsområdet för förordningen. Där finns också vissa definitioner. I artikel 1 anges förordningens syfte. Av artikeln följer bl.a. att förordningen skyddar fysiska per- soners grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, och att det fria flödet av personuppgifter inom EU varken får begränsas eller får förbjudas av skäl som rör skyddet för personuppgifter. Enligt artikel 2.1 ska förordningen tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatiserad väg samt på annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Artikel 2.2 innehåller vissa undantag från tillämpningsområdet. Från dataskyddsförordningens tillämpningsområde undantas be- handling av personuppgifter som utgör ett led i en verksamhet som a) inte omfattas av unionsrätten, b) utförs av medlemsstaterna när de utför aktiviteter som omfattas av den gemensamma utrikes- och säkerhetspolitiken, c) utförs av en fysisk person som ett led i verksamhet av privat natur eller som har samband med dennes hushåll eller d) utförs av behöriga myndigheter för ändamålen att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straffrättsliga påföljder, inkluderande skydd mot samt förebyg- gande av hot mot allmän säkerhet. Personuppgiftsbehandling för dessa senare syften ligger i stället under det nya dataskydds- direktivets tillämpningsområde. Enligt artikel 3 är förordningen tillämplig på behandling av per- sonuppgifter inom ramen för verksamhet som bedrivs av en personuppgiftsansvarig – eller ett personuppgiftsbiträde – som är etablerad i EU, oavsett om behandlingen utförs i unionen eller inte. Förordningen är också tillämplig på behandling av personuppgifter som avser registrerade som befinner sig i unionen av en person- uppgiftsansvarig som inte är etablerad i unionen, om behandlingen har anknytning till utbjudande av varor eller tjänster till sådana registrerade eller övervakning av de registrerades beteende. Slut- ligen är förordningen tillämplig på behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerad i unionen men på en plats där den nationella lagstiftningen i en med- lemsstat gäller på grund av folkrätten. I artikel 4 finns ett antal definitioner av begrepp som används i förordningen, t.ex. per- sonuppgifter, behandling, personuppgiftsansvarig, personuppgifts- biträde och samtycke. I kapitel II i förordningen, artiklarna 5–11, finns principer för behandling av personuppgifter. Av artikel 5 följer sammanfattningsvis att personuppgifter a) ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till de registrerade, b) ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare be- handlas på ett sätt som är oförenligt med dessa ändamål, c) ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas, d) ska vara korrekta och om nöd- vändigt uppdaterade, e) inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas, och Bilaga 6 SOU 2018:16 f) ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna med användning av lämpliga tekniska eller organisatoriska åtgärder. I artikel 6.1 finns en uppräkning av i vilka fall personuppgifts- behandlingar är lagliga. De grunder som räknas upp är följande: a) Den registrerade har lämnat sitt samtycke till att hans eller hennes personuppgifter behandlas, b) behandlingen är nödvändig för att fullgöra ett avtal, c) behandlingen är nödvändig för att full- göra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, d) behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person, e) behandlingen är nödvändig för att utföra en upp- gift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning, f) behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter. Den sista punkten gäller inte för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. Enligt artikel 6.2 får en medlemsstat behålla eller införa mer specifika nationella bestämmelser för att efterleva bl.a. artikel 6.1 e. Av artikel 6.3 följer att grunden för behandling enligt artikel 6.1 e ska fastställas i unionsrätten eller nationell rätt. Vidare kan natio- nell rätt innehålla särskilda bestämmelser om bl.a. allmänna villkor för behandlingen, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka uppgifter får lämnas ut, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling. I artikel 6.4 finns bestämmelser om behandling för något annat ändamål än det för vilket person- uppgifterna ursprungligen samlades in. I artiklarna 7 och 8 finns bl.a. bestämmelser om villkor för samtycke till personuppgifts- behandling. Enligt artikel 9.1 är det förbjudet att behandla person- uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och att behandla genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons I artikel 9.2–9.4 finns undantag I artikel 10 regleras behandling fällande domar och lagöverträdelser. Artikel 11 innehåller bestäm- melser om behandling som inte kräver att den registrerade identi- fieras. Kapitel III i förordningen, artiklarna 12–23, innehåller bestäm- melser om registrerades rättigheter. I artiklarna 13 och 14 finns bestämmelser om vilken information som en personuppgiftsan- svarig är skyldig att lämna till de registrerade. Vidare finns i artik- larna 15–18 utförliga bestämmelser om den registrerade rätt att, under vissa förutsättningar, få tillgång till personuppgifter och att få uppgifter rättade, kompletterade eller raderade. Artiklarna 19 och 20 reglerar bl.a. den personuppgiftsansvariges anmälnings- skyldighet avseende t.ex. rättelse eller radering. I artikel 21 finns bestämmelser om den registrerades rätt att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller f. Vidare ges medlemsstaterna genom artikel 21.1 i data- skyddsförordningen möjlighet att begränsa omfattningen av vissa av de skyldigheter och rättigheter som förordningen föreskriver. Detta gäller bl.a. informationsskyldigheten (artiklarna 14–15) och rätten för den registrerade att motsätta sig behandling (artikel 19). Sådana begränsningar får göras endast om de är förenliga med det väsentliga innehållet i de grundläggande fri- och rättigheterna samt är en nödvändig och proportionerlig åtgärd i ett demokratiskt sam- hälle till skydd för vissa angivna intressen, såsom nationell säker- het, försvaret, allmän säkerhet eller förebyggande, undersökning eller avslöjande av brott. I artikel 21.2 finns vidare krav på vad nationella bestämmelser med denna typ av begränsningar ska inne- hålla. I det nuvarande dataskyddsdirektivet finns motsvarande regler- ing om undantag i artikel 13. Undantag med stöd av den bestäm- melsen tas ofta in i sektorsspecifik lagstiftning. Artikel 22 innehåller bestämmelser om automatiserat besluts- fattande. Enligt artikel 23.1 får medlemsstaterna i nationell rätt begränsa de registrerades rättigheter enligt kapitlet liksom kraven enligt artikel 5. I artikel 23.2 anges vad en nationell reglering med denna typ av begränsningar ska innehålla.