sou · H6B316d2 · 2018-03-07 00:00:00 — Kapitel IV i förordningen, artiklarna 24–43, innehåller skyldig- heter för personuppgiftsansvariga och personuppgiftsbiträden. I kapitlet finns bestämmelser om allmänna skyldigheter, säkerhet för personuppgifter, konsekvensbedömning och samråd, dataskydds- ombud samt uppförandekoder och certifiering. hang ska särskilt nämnas vissa artiklar. Artiklarna 25 och 32 inne- håller relativt detaljerade bestämmelser om säkerhet vid behandling av personuppgifter. Vidare innehåller artikel 28 bestämmelser om vad som gäller när behandling av personuppgifter ska genomföras på en personuppgiftsansvarigs vägnar. Enligt artikel 35 ska en per- sonuppgiftsansvarig i vissa fall göra en konsekvensbedömning innan en behandling av personuppgifter får ske. När en konse- kvensbedömning visar att behandlingen skulle leda till en hög risk för fysiska personers rättigheter och friheter, om inte den person- uppgiftsansvarige vidtar åtgärder för att minska risken, ska enligt artikel 36.1 den personuppgiftsansvarige samråda med tillsynsmyn- digheten före behandlingen. I kapitel V i förordningen, artiklarna 44–50, regleras under vilka förutsättningar personuppgifter får överföras till tredjeland eller till internationella organisationer. Huvudregeln är att en överföring är tillåten, om det mottagande tredjelandet eller den mottagande orga- nisationen kan säkerställa en adekvat skyddsnivå för uppgifterna. I kapitel VI, artiklarna 51–59, finns bestämmelser om tillsyn. I kapitel VIII, artiklarna 77–84, finns bestämmelser om rättsmedel, ansvar och sanktioner. I kapitel IX i förordningen, artiklarna 85– 91, finns bestämmelser om särskilda situationer av behandling av personuppgifter. I artikel 89 finns bestämmelser om behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål och statistiska ändamål. I kapitel X och XI, artiklarna 92–99, finns bestämmelser om genomförandeakter och slutbestämmelser. Förordningen ska till- lämpas . Den nya dataskyddsförordningen kommer därför att gälla direkt i liksom i EU:s övriga medlemsstater när den ska börja tillämpas . Den förutsätter alltså inte att dess innehåll genomförs i svensk rätt. Tvärtom kan svenska bestäm- melser om behandling av personuppgifter som upprepar innehållet i förordningen eller som avviker från förordningen inte behållas eller införas i svensk rätt annat än om förordningen lämnar utrymme för det. Det finns t.ex. ett förhållandevis stort utrymme att behålla eller införa särregleringar för sådan personuppgiftsbehandling som är nödvändig för att den personuppgiftsansvarige ska kunna upp- fylla en rättslig skyldighet, utföra en arbetsuppgift av allmänt in- tresse eller behandla uppgifter i samband med myndighetsutövning. Närmare om det nya dataskyddsdirektivet Det nya dataskyddsdirektivet ska ersätta det gällande dataskydds- rambeslutet (2008/977/RIF) som reglerar utbyte av personupp- gifter mellan medlemsstaterna inom denna sektor. Direktivets tillämpningsområde omfattar till skillnad från rambeslutet emeller- tid även rent nationell personuppgiftsbehandling på området för brottsbekämpning, brottmålshantering och straffverkställighet. Direktivet ska ha genomförts i svensk rätt senast efter att det har trätt i kraft. Direktivet är indelat i tio kapitel och innehåller 65 artiklar. I direktivets kapitel I, artiklarna 1–3, finns allmänna bestämmelser om syfte och mål med direktivet och tillämpningsområdet för direktivet. Där finns också vissa definitioner. I artikel 1.1 anges att direktivet innehåller bestämmelser om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, av- slöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Artikel 2 innehåller bestämmelser om direktivets tillämpningsområde. I artikel 2.1 anges att direktivet är tillämpligt på behandling av personuppgifter som utförs av be- höriga myndigheter för de ändamål som anges i artikel 1.1. Enligt artikel 2.2 ska direktivet tillämpas på behandling av personuppgifter som helt eller delvis företas på automatiserad väg samt på annan behandling än automatiserad behandling av personuppgifter som ingår i eller kommer att ingå i ett register. I artikel 2.3 finns vissa undantag från tillämpningsområdet. I kapitel II i direktivet, artiklarna 4–11, finns principer för behandling av personuppgifter. Av artikel 4 följer bl.a. att person- uppgifter ska behandlas på ett lagligt och korrekt sätt samt att de ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas på ett sätt som står i strid med dessa ändamål. Kapitel III, artiklarna 12–18, innehåller bestämmelser om registre- rades rättigheter. Kapitel IV, artiklarna 19–34, innehåller bestämmel- ser om skyldigheter för personuppgiftsansvariga och personupp- giftsbiträden. I kapitel V, artiklarna 35–40, finns bestämmelser om överföring av personuppgifter till tredjeland eller internationella I kapitel VI, artiklarna 41–49, finns bestämmelser om tillsyn. Kapitel VII, artiklarna 50 och 51, innehåller bestämmel- ser om samarbete. I kapitel VIII, artiklarna 52–57, finns bestämmelser om rättsmedel, ansvar och sanktioner. Kapitel IX och X innehåller bestämmelser om genomförandeakter och slutbestämmelser. Personuppgiftsbehandling utanför förordningens och dir. tillämpningsområde Viss behandling av personuppgifter undantas från både dataskydds- förordningens och dataskyddsdirektivets tillämpningsområden. Det gäller personuppgiftsbehandling i verksamhet som inte om- fattas av unionsrätten, däribland området nationell säkerhet. Vidare undantas den personuppgiftsbehandling som förekommer vid EU:s myndigheter och andra organ. Den regleras i stället i Europaparla- mentets och rådets förordning (EG) nr 45/2001 av den 18 decem- ber 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter. Inom EU pågår förhandlingar om regleringen av behandlingen av personuppgifter vid unionens myndigheter och andra organ. Presenterade lagstiftningsförslag och den fortsatta framställningen Av föregående avsnitt (2.3) följer att det finns ett väl etablerat regelverk till skydd för personuppgifter. Detta regelverk gäller också för sådan personuppgiftsbehandling som uppstår i samband med användning av EDRs i självkörande fordon. I linje med upp- draget kommer den fortsatta framställningen i huvudsak att vara inriktad på att analysera hur det befintliga regelverket kan tillämpas på EDRs i självkörande fordon och vilken flexibilitet som regel- verket – särskilt den nya dataskyddsförordningen och det nya dataskyddsdirektivet – uppställer för utformningen av (komplet- terande) nationella bestämmelser. Som nämns i avsnitt 2.1 har det under arbetet med denna rapport presenterats en rad betänkanden och andra förslag till lag- stiftning som har relevans för de frågor som rapporten behandlar, och att jag inom ramen för uppdraget så långt möjligt avser att förhålla mig till de förslag och bedömningar som görs i de lag- stiftningsprodukterna. I betänkandet Ny dataskyddslag: Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39), föreslås en ny natio- nell reglering som på ett generellt plan kompletterar dataskydds- förordningen. Utredningen föreslår att personuppgiftslagen och personuppgiftsförordningen ska upphävas och att de komplette- rande bestämmelser som är av generell karaktär samlas i en ny över- gripande lag och förordning om dataskydd. Den nya lagen kallas dataskyddslagen. Utredningen har strävat efter att den person- uppgiftsbehandling som är tillåten i möjligaste mån ska kunna fortsätta. I betänkandet Brottsdatalag (SOU 2017:29) föreslås hur det nya direktivet ska genomföras i svensk rätt. Syftet med lagen är både att skydda fysiska personers grundläggande fri- och rättigheter och att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Lagen ska vara generellt tillämplig inom det område som direktivet reglerar. Lagen ska även vara subsidiär. De myndigheter som bedriver verk- samhet inom lagens tillämpningsområde har i allmänhet särskilda registerförfattningar som reglerar personuppgiftsbehandlingen. Lagen kompletteras med en förordning, som genomför vissa detalj- bestämmelser i direktivet. I betänkandet En ny kamerabevakningslag (SOU 2017:55) före- slås att kameraövervakningslagen ska ersättas av en ny lag, som ska heta kamerabevakningslagen. Skälen för att en helt ny lag föreslås är att den nya dataskyddsförordningen kommer att gälla direkt i , vilket innebär att bestämmelser om kameraövervakning som upprepar eller avviker från innehållet i förordningen inte kan behållas i svensk lagstiftning annat än om förordningen lämnar utrymme för det. Vidare ställer det nya dataskyddsdirektivet krav på att kameraövervakning som träffas av direktivet måste uppfylla direktivets krav. Kraven uppfylls dock endast delvis av kamera- övervakningslagens bestämmelser. Sammantaget innebär detta att det krävs en stor reform av den svenska lagstiftningen på området för kameraövervakning. I propositionen Kameraövervakningslagen och möjligheterna att använda drönare (prop. 2016/17:182) föreslår regeringen en ändring i kameraövervakningslagen som innebär att kameraövervakning som sker från drönare inte ska omfattas av lagen, om övervakningen bedrivs av någon annan än en myndighet. Lagändringen ska enligt förslaget träda i kraft . väntas besluta i frågan under senare halvan av (bet. 2016/17:JuU31). Användning av dash-cams – dvs. bilkameror som man monterar i framrutan på bilen för att spela in händelseförloppet vid till exem- pel en krock – och liknande kameror omfattas av den nya data- skyddsförordningen men i regel inte av kameraövervakningslagen. Kameraövervakning från drönare kan i och för sig undantas från svensk lagstiftning som kompletterar förordningen. I ett sådant fall omfattas kameraövervakningen ändå av förordningens bestäm- melser. I betänkandet Personuppgiftsbehandling för forskningsändamål (SOU 2017:50) redovisas uppdraget att dels analysera vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och behövs med anledning av att dataskyddsförordningen börjar tillämpas, dels lämnas förslag till en ny forskningsdatalag. Utöver den nya lagen kommer det att finnas författningar med karaktären av registerförfattningar, som innehåller bestämmelser som specifikt är inriktade på behandling av personuppgifter för forskningsändamål. En sådan registerförfattning ska tillämpas framför den nya forskningsdatalagen. De aktuella lagförslagen kommer löpande att refereras till i den fortsatta framställningen. Det innebär att jag inte endast redogör för och tar ställning till vilka krav som följer av dataskyddsförord- ningen och det nya dataskyddsdirektivet, utan även de förslag som presenteras i lagförslagen. En utgångspunkt vid författandet av den här rapporten har varit att skyddet för personuppgifter inom EU är princip-baserat – också efter reformen med ny förordning och nytt direktiv. Det innebär att regelverket inte tillhandahåller några klara och enkla svar för dem som behandlar personuppgifter att följa för att agera i enlighet med det. Även det har påverkat abstraktionsnivån i rapporten. Den fortsatta framställningen är disponerad enligt följande. I avsnitt 3 behandlas närmare bestämmelser om behandling av personuppgifter. I avsnitt 4 behandlas annan lagstiftning av rele- vans och i avsnitt 5 följer en avslutande uppsummering. Närmare om behandling av personuppgifter I avsnitt 2.3.6 har allmänt beskrivits bestämmelserna i data- skyddsförordningen och det nya dataskyddsdirektivet. Utifrån det nya regelverkets bestämmelser görs i följande avsnitt en närmare analys av förutsättningarna för att behandla personuppgifter inom ramen för en EDR i ett självkörande fordon. Med behandling (av personuppgifter) avses enligt artikel 4.2 i data- skyddsförordningen ”en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom över- föring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.” Som per- sonuppgiftsansvarig anses enligt artikel 4.7 i dataskyddsförord- ningen ”en fysisk eller juridisk person, offentlig myndighet, in- stitution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av person- uppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den person- uppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.” Utifrån de nämnda definitionerna är en fysisk eller juridisk person som behandlar personuppgifter att förstå som person- uppgiftsansvarig. Det omfattar t.ex. fordonstillverkare eller fors- kare som behandlar uppgifter som finns i en EDR, oavsett om det är fråga om en EDR som finns fysiskt i ett fordon, eller utgörs av en lagringsenhet på annan plats. Det omfattar också situationen att någon tar fram information som utgör personuppgifter ur en EDR som finns ett fordon, inklusive fordon som har varit med om en olycka. Allmänna krav som gäller för all personuppgiftsbehandling Personuppgiftsbehandlingen behöver vara nödvändig För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 b–f i dataskyddsförordningen måste den enligt artikel 7 vara nödvändig för att fullgöra, skydda eller utföra den rättsliga grunden för behandlingen. Rekvisitet gäller även enligt den nu- varande 10 § personuppgiftslagen. Nödvändighetsrekvisitet är såle- des centralt i dataskyddslagstiftningen. Den enda vägledningen till hur nödvändig behandling ska tolkas enligt dataskyddsförord- ningen återfinns i skäl 39, som anger att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. Motsvarande nödvändighetsrekvisitet i artikel 7 i dataskydds- direktivet har inte ansetts utgöra ett krav på att det ska vara omöjligt att fullgöra förpliktelsen eller utföra uppgiften utan att behandlingsåtgärden vidtas. I målet Huber mot ,25 som rörde tolkningen av motsvarande nödvändighetsrekvisit i artikel 7 e i direktivet, har uttalat att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämp- ningen av relevanta bestämmelser. Domen bör kunna utgöra stöd även vid tolkningen av den nya förordningen. Även om exempelvis en uppgift av allmänt intresse skulle kunna utföras utan att per- sonuppgifter behandlas på visst sätt, kan behandlingen anses vara 25 C‑524/06, mot Bundesrepublik , ECLI:EU:C:2008:724. nödvändig och därmed tillåten enligt artikel 6, om behandlingen leder till effektivitetsvinster. Det torde inte finnas anledning att anta att nödvändighetsrekvisitet i artikel 6.1 i dataskyddsförordningen ska ha någon annan innebörd än den har i dataskyddsdirektivet och personuppgiftslagen. Av skäl 9 i dataskyddsförordningen framgår också att samma mål och principer som gällde för dataskydds- direktivet alltjämt ska vara giltiga. Nödvändighetsrekvisitet i artikel 6.1 i dataskyddsförordningen torde för forskningens del innebära att personuppgiftsbehand- lingen måste vara nödvändig för att forskningen ska kunna utföras, men utifrån en rimlighetsbedömning av vilka alternativa sätt att utföra forskningsuppgiften som är möjliga. I forskningssamman- hang torde den rimlighetsbedömningen även kunna omfatta be- dömningen av huruvida användandet av personuppgifter kan medföra högre kvalitet och tillförlitlighet i forskningsresultatet.26 Rättsliga grunder och allmänna principer I artikel 6.1 i dataskyddsförordningen finns en uppräkning av på vilka rättsliga grunder som en personuppgiftsbehandling kan vara laglig. De rättsliga grunder som skulle kunna bli aktuella för be- handling av personuppgifter med anledning av EDRs – för fordons- tillverkare och forskare – är att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgifts- ansvarige (led c), att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning (led e), eller att behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter (led f). Det är däremot mer tveksamt om grunderna att den registrerade har lämnat sitt sam- tycke till att hans eller hennes personuppgifter behandlas (led a), eller att behandlingen är nödvändig för att fullgöra ett avtal (led b) innebär tillräcklig rättslig stabilitet för de aktörer som önskar 26 Se SOU 2017:50 s. 126. behandla personuppgifter i EDR på mer långsiktig basis, såsom fordonstillverkare. Utöver det grundläggande kravet på att all behandling måste vara laglig, i betydelsen att någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen är uppfylld, omgärdas varje behandling av personuppgifter av mer specifika krav. Principerna för behandling av personuppgifter, dvs. vilka allmänna krav som gäller för all personuppgiftsbehandling, anges i artikel 5.1 i data- skyddsförordningen. Artikel 5.1 i dataskyddsförordningen mot- svarar i stora drag artikel 6 i dataskyddsdirektivet, som har genom- förts i svensk rätt genom 9 § PUL. Den första principen som läggs fast i artikel 5.1 (led a) är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. I artikel 5.1 anges vidare att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål (led b). Principen om att ändamålen ska vara berättigade utgör i likhet med principen om laglighet en direkt koppling till de rättsliga grunderna i artikel 6.1. Ett ändamål som inte är berättigat i förhållande till den tillämpliga rättsliga grunden är således inte förenligt med artikel 5. Kravet på att ändamålen ska vara berät- tigade går dock längre än så och omfattar även ett krav på för- enlighet med till exempel konstitutionella och andra rättsliga principer. Vidare kan även det allmänna sammanhanget och omständigheterna i det aktuella ärendet vara av betydelse för be- dömningen av om ändamålen är berättigade. Ett tydligt angivet ändamål är för övrigt som regel en förutsättning för att man ska kunna bedöma om en viss behandling är laglig, dvs. om den är nöd- vändig i något av de sammanhang som räknas upp i artikel 6.1 b–f. Kopplingen mellan den rättsliga grunden och kravet på särskilda, uttryckligt angivna och berättigade ändamål förstärks genom data- skyddsförordningen, där det i artikel 6.3 andra stycket anges att syftet med behandlingen i fråga om behandling som grundar sig på en rättslig förpliktelse ska framgå av förpliktelsen. Vad gäller myndighetsutövning och uppgifter av allmänt intresse anges i stället att ändamålet med behandlingen ska vara nödvändigt för att utföra uppgiften eller myndighetsutövningen. Vidare ska uppgif- terna enligt artikel 5.1 bland annat vara adekvata och korrekta och får inte förvaras än vad som är nödvändigt (leden c, d och e). Uppgifterna måste också behandlas på ett sätt som säkerställer lämplig säkerhet (led f). Förordningen ställer inte något krav på att de särskilda ända- målen ska vara fastställda i författning, men det finns heller ingen- ting som hindrar att detta görs, förutsatt att bestämmelserna uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas (artikel 6.3 andra stycket). Oavsett om ändamålen fastställts i författning eller inte är det dock alltid den personuppgiftsansvarige som ansvarar för, och ska kunna visa att, principerna i artikel 5 efterlevs (artikel 5.2). För att skapa nödvändig rättslig stabilitet för de aktörer som önskar behandla personuppgifter i EDRs för forskningsändamål m.m., kan det finnas skäl att i författning reglera förutsättningarna för det, något som utvecklas i kommande avsnitt. Närmare om behandlingens rättsliga grund I artikel 6.3 i dataskyddsförordningen första stycket anges att den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med a) unionsrätten, eller b) en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Det står klart att den grund för behandlingen som avses i artikel 6.1 a är samtycket och att avtalet är den grund för behandlingen som avses i led b. På motsvarande sätt måste uttrycket ”den grund för behandlingen som avses i punkt 1 c och e” avse den rättsliga förpliktelsen respek- tive uppgiften av allmänt intresse eller rätten att utöva myndighet. Artikel 6.3 första stycket i dataskyddsförordningen innehåller ett uttryckligt krav på att grunden för behandlingen ska vara fastställd i enlighet med unionsrätten eller den nationella rätten. Något motsvarande krav finns inte i det nu gällande dataskydds- direktivet. Det är därför möjligt att med stöd av 10 § d PUL utföra behandling av personuppgifter som är nödvändig för att utföra en arbetsuppgift av allmänt intresse, även om uppgiften inte är fast- ställd i författning eller liknande. Viss ledning för förståelsen av artikel 6.3 kan möjligen hämtas från förordningens ingress. I skäl 45 anges bland annat att dataskyddsförordningen inte medför något krav på en särskild lag för varje enskild behandling, utan att det kan räcka med en lag som grund för flera behandlingar som bygger på en rättslig förpliktelse som åvilar den personuppgifts- ansvarige eller om behandlingen krävs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Innebörden av artikel 6.1 c är därmed att behandling av person- uppgifter är laglig om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som är fastställd i enlighet med unionsrätten eller den nationella rätten och som åvilar den personuppgifts- ansvarige. På motsvarande sätt är innebörden av artikel 6.1 e att behandling av personuppgifter är laglig om behandlingen är nöd- vändig för att utföra en uppgift av allmänt intresse som är fastställd i enlighet med unionsrätten eller den nationella rätten eller om behandlingen är nödvändig som ett led i den personuppgifts- ansvariges myndighetsutövning som är fastställd i enlighet med unionsrätten eller den nationella rätten. Det sagda innebär att det kan behöva införas en särskilt bestäm- melse i lag om att personuppgiftsbehandling för forskningsändamål i fråga om självkörande fordon ska vara tillåten. Behandling för att uppfylla en rättslig förpliktelse För att en skyldighet ska utgöra en ”rättslig” förpliktelse i den mening som avses i artikel 6.1 c, måste den ha en legal grund. Detta följer både av begreppet i sig och av kravet i artikel 6.3 första stycket i dataskyddsförordningen om att grunden för behandlingen ska fastställas i enlighet med unionsrätten eller den nationella rätten. Detta innebär inte att förpliktelsen nödvändigtvis måste framgå av en författning eller liknande. Rättsliga förpliktelser kan också framgå av exempelvis förelägganden, myndighetsbeslut och domar som har meddelats med stöd av gällande rätt. Enligt artikel 6.3 andra stycket första meningen i dataskydds- förordningen ska syftet med behandlingen fastställas i den rättsliga grunden.