bet · H601KU26 · 2019-04-04 00:00:00 — Utöver det grundläggande kravet på att all behandling måste vara laglig, i betydelsen att någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen är tillämplig, omgärdas varje behandling av personuppgifter också av andra krav. Principerna för behandling av personuppgifter, dvs. vilka allmänna krav som gäller för all personuppgiftsbehandling, anges i artikel 5.1 i dataskyddsförordningen. Den första principen som läggs fast i artikel 5.1 är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (led a). I artikel 5.1 anges vidare att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål (led b). Kopplingen mellan den rättsliga grunden för behandlingen och kravet på särskilda, uttryckligt angivna och berättigade ändamål förstärks genom dataskyddsförordningen, där det av artikel 6.3 andra stycket framgår att syftet med behandlingen, i fråga om behandling som grundar sig på en rättslig förpliktelse, ska framgå av förpliktelsen. Vad gäller behandling som sker i myndighetsutövning och för att utföra uppgifter av allmänt intresse anges i stället att syftet med behandlingen ska vara nödvändigt för att utföra uppgiften eller myndighetsutövningen. Vidare ska uppgifterna enligt artikel 5.1 bl.a. vara adekvata och korrekta och får inte förvaras än vad som är nödvändigt (leden c, d och e). Uppgifterna måste också behandlas på ett sätt som säkerställer lämplig säkerhet (led f). Artiklarna 5 och 6 i dataskyddsförordningen är grundläggande och kumulativa. Dels måste någon av de rättsliga grunder som anges i artikel 6.1 vara tillämplig, dels måste samtliga principer i artikel 5.1 följas. För vissa typer av personuppgifter måste därutöver särskilda krav vara uppfyllda för att behandling ska få ske. Enligt artikel 9.1 i dataskyddsförordningen är det förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Enligt artikel 9.2 ska dock förordningens förbud inte tillämpas om någon av de situationer som beskrivs i punkterna a–j föreligger. Således kan känsliga personuppgifter behandlas under vissa förutsättningar när den registrerade lämnat sitt samtycke (artikel 9.2 a) eller vid viss behandling som avser arbetsrätt och social trygghet m.m. (artikel 9.2 b), skydd av en persons grundläggande intressen (artikel 9.2 c), stiftelser och ideella föreningar m.m. (artikel 9.2 d), uppgifter som offentliggjorts av den registrerade (artikel 9.2 e), rättsliga anspråk och dömande verksamhet (artikel 9.2 f), viktigt allmänt intresse (artikel ), hälso- och sjukvård m.m. (artikel 9.2 h), folkhälsa (artikel 9.2 i) samt arkiv, forskning och statistik (artikel 9.2 j). I dataskyddsförordningen har den registrerades rättigheter förstärkts i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Den information som ska tillhandahållas den registrerade har preciserats och utvidgats och det anges uttryckligen att den personuppgiftsansvarige ska tillhandahålla informationen i en begriplig och lättillgänglig form. Den personuppgiftsansvariges skyldighet att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter anges i artiklarna 13 och 14. Den registrerade har vidare enligt artikel 15 rätt att på begäran få tillgång till de personuppgifter som behandlas och viss information. I 5 kap. 1 och 2 §§ dataskyddslagen föreskrivs vissa undantag från bestämmelserna i dataskyddsförordningen om den registrerades rätt till information, rätt att få tillgång till personuppgifter och rätt till bekräftelse på om personuppgifter som rör honom eller henne behandlas. Enligt 5 kap. 3 § dataskyddslagen bemyndigas regeringen att meddela ytterligare föreskrifter om vissa begränsningar av de registrerades rättigheter och de personuppgiftsansvarigas skyldigheter enligt dataskyddsförordningen. Enligt artikel 16 har den registrerade rätt att på begäran få felaktiga personuppgifter rättade. Förutsättningarna för att den registrerade ska få sina personuppgifter raderade anges i artikel 17 (rätten att bli bortglömd). Det anges i artikel 17.1 att den registrerade ska ha rätt att utan onödigt dröjsmål få sina personuppgifter raderade av den personuppgiftsansvarige och att den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter under vissa förutsättningar. Således ska personuppgifterna raderas om något av följande gäller (artikel 17.1 a–f): – Om uppgifterna inte längre behövs för de ändamål som de samlades in för. – Om behandlingen grundar sig på den registrerades samtycke och han eller hon återkallar samtycket. – Om behandlingen sker för direkt marknadsföring och den registrerade motsätter sig att uppgifterna behandlas. – Om den enskilde motsätter sig personuppgiftsbehandling som sker inom ramen för myndighetsutövning eller efter en intresseavvägning och det inte finns berättigade skäl som väger tyngre än den registrerades intresse. – Om personuppgifterna har behandlats olagligt. – Om radering krävs för att uppfylla en rättslig förpliktelse. – Om personuppgifterna avser barn och har samlats in i samband med erbjudande av informationssamhällets tjänster. I artikel 17.2 i dataskyddsförordningen föreskrivs att om den person-uppgiftsansvarige har offentliggjort personuppgifterna och är skyldig att radera personuppgifterna enligt regleringen i artikel 17.1, ska den personuppgiftsansvarige med beaktande av tillgänglig teknik och kostnaden för genomförandet vidta rimliga åtgärder, inbegripet tekniska åtgärder, för att underrätta personuppgiftsansvariga som behandlar personuppgifterna om att den registrerade har begärt att de ska radera eventuella länkar till, eller kopior eller reproduktioner av dessa personuppgifter. Av bestämmelsen i artikel 17.2 följer alltså att när personuppgifterna har publicerats eller på annat sätt gjorts offentliga (exempelvis i ett socialt nätverk, ett internetforum eller på en webbsida) räcker det inte alltid att de raderas där. I dessa situationer ska den som offentliggjort uppgifterna också vidta rimliga åtgärder för att informera andra som behandlar uppgifterna om den registrerades begäran så att även kopior av eller länkar till uppgifterna tas bort. I artikel 17.3 i dataskyddsförordningen finns undantag från den registrerades rätt till radering (artikel 17.1) och den personuppgiftsansvariges informationsskyldighet (artikel 17.2), bl.a. om personuppgiftsbehandlingen är nödvändig för att utöva rätten till yttrande- och informationsfrihet, uppfylla en rättslig förpliktelse, utföra en uppgift av allmänt intresse eller om behandlingen är ett led i myndighetsutövning. I artikel 18 anges att den registrerade under vissa omständigheter har rätt att kräva att behandlingen begränsas. Av artikel 19 i dataskyddsförordningen följer att om uppgifter raderas på den registrerades begäran, måste den personuppgiftsansvarige också informera varje mottagare till vilken den personuppgiftsansvarige har lämnat ut den registrerades personuppgifter om raderingen. Det gäller dock inte om detta skulle visa sig vara omöjligt eller medföra en oproportionerlig ansträngning. Den registrerade har också rätt att begära att få information om till vem hans eller hennes personuppgifter har lämnats ut. Förordningen innehåller i artikel 20 en bestämmelse som ger den registrerade rätt att få åtkomst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataportabilitet, om behandlingen grundar sig på den registrerades samtycke eller avtal med denne. Enligt artikel 21 har den registrerade rätt att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller f, dvs. som sker för att utföra en uppgift av allmänt intresse, i myndighetsutövning eller efter en intresseavvägning. En motsvarande rättighet föreskrevs även i dataskyddsdirektivet, men hade genomförts i PUL endast såvitt avsåg direkt marknadsföring (11 § PUL). Dataskyddsförordningen innebär därmed en utvidgning av rätten att göra invändningar jämfört med tidigare ordning. Slutligen har den registrerade enligt huvudregeln i artikel 22 rätt att inte bli föremål för ett automatiserat individuellt beslutsfattande, inbegripet profilering. En nyhet i dataskyddsförordningen som saknar motsvarighet i dataskyddsdirektivet och PUL är administrativa sanktionsavgifter. Sanktionsavgifterna införs enligt skäl 148 till förordningen för att stärka verkställigheten av densamma. Bestämmelserna om administrativa sanktionsavgifter finns i förordningens artikel 83 och förtydligas i skäl 148–150. Bestämmelserna är direkt tillämpliga i förhållande till privaträttsliga organ och ger inget utrymme för medlemsstaterna att specificera bestämmelserna eller att föreskriva några undantag i förhållande till sådana organ. Av artikel 83.1 framgår att det är den nationella tillsynsmyndigheten som ska besluta om sanktionsavgifter vid överträdelser av förordningens bestämmelser. I artikel 83.2 anges vilka faktorer som ska beaktas vid beslut om sanktionsavgifter och bestämmande av avgiftens storlek. ska vid beslutet bl.a. beakta överträdelsens karaktär, svårighetsgrad och varaktighet, samt om överträdelsen skett med uppsåt eller genom oaktsamhet. Andra faktorer som tillsynsmyndigheten ska beakta är bl.a. antalet berörda registrerade, vilken skada de har lidit, om den personuppgiftsansvarige har försökt förebygga eller i efterhand försökt komma till rätta med överträdelsen och eventuell ekonomisk vinst som görs, eller ekonomisk förlust som undviks, genom överträdelsen. I artikel 83.3 stadgas att om flera överträdelser sker får avgiftens totala belopp inte överstiga det belopp som fastställs för den allvarligaste överträdelsen. I artikel 83.4 och 83.5 fastställs övre beloppsgränser för de två olika kategorier av överträdelser som kan föranleda sanktionsavgifter enligt förordningen. För de något mindre allvarliga överträdelserna, såsom överträdelser av regler om inbyggt dataskydd, förteckningar och konsekvensbeskrivningar, fastslås ett maxbelopp på eller av den globala årsomsättningen om det gäller ett företag, beroende på vilket belopp som är högst. För allvarligare överträdelser, såsom överträdelser av reglerna om de grundläggande principerna för behandling, registrerades rätt till information, rättelse och radering, överföring av uppgifter till tredjeland och underlåtenhet att rätta sig efter tillsynsmyndighetens förelägganden, fastslås ett maxbelopp om eller av den globala årsomsättningen, beroende på vilket belopp som är högst. Det stora flertalet bestämmelser i förordningen som innehåller rättigheter för registrerade eller skyldigheter för personuppgiftsansvariga, personuppgiftsbiträden, certifieringsorgan och övervakningsorgan omfattas av regleringen om sanktionsavgifter, vilket framgår av artikel 83.4–6. Bestämmelserna om sanktionsavgifter innehåller inte enbart en uppräkning av de överträdelser som i sig kan föranleda att sanktionsavgift påförs. De föreskriver också att sanktionsavgifter kan påföras vid underlåtelse att rätta sig efter tillsynsmyndighetens förelägganden eller beslut. En avgift kan då påföras med det högre maxbeloppet, dvs. eller av den globala årsomsättningen, beroende på vilket belopp som är högst (artikel 83.5 e och 83.6). Sanktionsavgiften fyller i dessa fall en vitesliknande funktion. Enligt artikel 83.7 är det upp till varje medlemsstat att fastställa regler om och i vilken utsträckning sanktionsavgifter ska kunna påföras offentliga myndigheter och organ i den medlemsstaten. I 6 kap. 2 § dataskyddslagen anges att tillsynsmyndigheten får ta ut sanktionsavgifter även av statliga och kommunala myndigheter vid överträdelser av bestämmelserna i dataskyddsförordningen. Av bestämmelsen följer att för mindre allvarliga överträdelser ska avgiften uppgå till högst och för allvarligare överträdelser till högst . Enligt artikel 84 i förordningen ska medlemsstaterna fastställa regler om andra sanktioner för överträdelser av förordningen, särskilt för sådana som inte är föremål för administrativa sanktionsavgifter. Sanktionerna ska enligt artikeln vara effektiva, proportionella och avskräckande. I skäl 152 anges att medlemsstaterna bör genomföra ett system med effektiva, proportionella och avskräckande sanktioner om förordningen inte harmoniserar administrativa sanktioner eller om det är nödvändigt i andra fall. Det anges också i nämnda skäl att det ska fastställas om sanktionerna ska vara av straffrättslig eller administrativ art. Av 6 kap. 3 § dataskyddslagen följer att tillsynsmyndigheten får ta ut sanktionsavgift enligt EU:s dataskyddsförordning även vid överträdelser av förordningens bestämmelser om behandling av personuppgifter som rör lagöverträdelser. Avgiftens storlek ska bestämmas inom ramen för den högre beloppsgräns som gäller för överträdelser av bl.a. bestämmelserna om känsliga personuppgifter. Datainspektionen är tillsynsmyndighet enligt bl.a. dataskyddsförordningen och dataskyddslagen (2 a § förordning (2007:975) med instruktion för Datainspektionen). Skölden för skydd av privatlivet i EU och antog kommissionen ett genomförandebeslut och förklarade att den s.k. skölden för skydd av privatlivet i EU och medger en adekvat skyddsnivå för personuppgifter som, med hjälp av denna sköld, överförs från unionen till organisationer i . [5] Den första årliga översynen ägde rum [6] och den andra årliga översynen avslutades [7]. I sin senaste rapport till och rådet konstaterar kommissionen att alltjämt säkerställer en adekvat skyddsnivå för personuppgifter som inom ramen för skölden för skydd av privatlivet överförs från unionen till olika organisationer i . Kommissionen noterar att det har vidtagits åtgärder för att genomföra kommissionens rekommendationer efter den första årliga översynen, men även att några åtgärder har vidtagits och att förfaranden fortfarande pågår. Kommissionen listar därför en rad punkter som den anser bör noggrant övervakas. I rapporten uttalar kommissionen (s. 2 f.) bl.a. följande i frågan om skydd av personuppgifter: Årets översyn ägde rum i samband med utmaningarna för dataskydd som blir allt mer globala till sin karaktär, vilket exemplifierats genom Facebook/Analytica-ärendet. Både EU och är medvetna om de liknande utmaningar de står inför när det gäller skydd av personuppgifter. Under översynen betonade båda sidorna behovet av att ta itu med sådana missbruk av personuppgifter, bl.a. genom kraftfulla verkställighetsåtgärder från EU:s dataskyddsmyndighet och federala konkurrensmyndighet. Kommissionens rapport speglar också den pågående diskussionen om federal lagstiftning för skydd av privatlivet i . Konvergensen mellan våra två system på lång sikt skulle stärka grunderna på vilka skölden för skydd av privatlivet har utvecklats. Den andra årliga översynen tog också hänsyn till relevant utveckling i rättssystem på området integritet. Det handlar särskilt om det samråd som inleddes av handelsministeriet om en federal strategi för dataskydd samt den federala konkurrensmyndighetens reflektionsprocess om dess nuvarande befogenheter på området integritet och effektiviteten avseende användningen av dess nuvarande korrigerande befogenhet. Som Facebook/Analytica-ärendet och andra avslöjanden har visat, är det viktigt att EU och blir mer samstämmiga i sina gensvar. I denna anda har kommissionen studerat ovanstående initiativ med stort intresse och har bidragit till handelsministeriets samrådsprocess med ett skriftligt yttrande [fotnot här utelämnad]. Slutligen kommer kommissionen fortsätta att noggrant följa den pågående diskussionen om den federala integritetslagstiftningen i . Med tanke på de transatlantiska dataströmmarnas betydelse uppmuntrar kommissionen att anta ett heltäckande system för integritet och dataskydd och att bli part i konvention 108. Det är genom ett sådant heltäckande förhållningssätt som samstämmighet mellan våra två system kan uppnås på , vilket också skulle stärka grunden på vilken skölden för skydd av privatlivet har utvecklats. I resolution av om Analyticas utnyttjande av Facebooks användaruppgifter och dess inverkan på uppgiftsskyddet (2018/2855(RSP)) redogör inledningsvis utförligt för bakgrunden till och de åtgärder som har vidtagits med anledning av avslöjandena av Analyticas utnyttjande av Facebooks användaruppgifter och dess inverkan på uppgiftsskyddet. gör sedan vissa uttalanden och ger en rad rekommendationer för att bl.a. öka transparensen och bidra till kampen mot utländska aktörers inblandning i valprocesser. uttalar bl.a. att det förväntar sig att alla onlineplattformar säkerställer full överensstämmelse med unionens dataskyddslagstiftning, närmare bestämt den allmänna dataskyddsförordningen och direktiv /58/EG (om integritet och elektronisk kommunikation), och hjälper användarna att förstå hur deras personuppgifter behandlas inom ramen för systemet med riktad reklam, samt ser till att ändamålsenliga kontroller finns att tillgå, vilket förutsätter utverkande av separat samtycke för varje enskilt behandlingsändamål samt ökad transparens vad gäller integritetsinställningarna och utformningen av och synligheten för integritetsrelaterade meddelanden. uppmanar alla onlineplattformar att utan dröjsmål sjösätta planerade transparensinslag i samband med politisk reklam, vilket bör inbegripa inte bara samråd utan även utvärdering av verktygen i fråga genom försorg av nationella myndigheter med ansvar för valövervakning och tillhörande kontroll. Parlamentet insisterar på att sådan politisk och valrelaterad reklam inte bör göras på grundval av individuella användarprofiler. noterar även att Facebook har uppdaterat sina integritetsinställningar för att användarna ska kunna välja att inte bli föremål för riktade budskap, inbegripet reklam baserad på uppgifter som erhållits från tredje part och för att personuppgifter om dem, som insamlats av Facebook, inte ska användas för placering av reklam på andra webbplatser eller plattformar. uppmanar Facebook att öka transparensen för att göra det möjligt för användarna att förstå hur och varför ett politiskt parti eller en politisk kampanj kan tänkas rikta in sig på vederbörande. Vidare begär att parlamentet, kommissionen, rådet och alla andra unionsinstitutioner, unionsbyråer och unionsorgan kontrollerar att de sidor för sociala medier och de analys- och marknadsföringsverktyg som de använder på respektive webbplats på intet sätt äventyrar medborgarnas personuppgifter. anser också att den kommande kommissionen bör uppdra integritetsskyddet och uppgiftsskyddet åt en av sina ledamöter som en särskild portfölj, för att åstadkomma ett förhandsengagemang med partner inom och utanför EU och säkerställa att alla lagstiftningsförslag helt och hållet följer om integritetsskydd och uppgiftsskydd. begär att kommissionen granskar reklambranschens verksamheter inom ramen för sociala medier och lägger fram lagstiftningsförslag såvida denna sektor och de berörda parterna inte kan enas om frivilliga uppförandekoder som inbegriper avskräckande åtgärder. behandlade utskottet motionsyrkanden om bl.a. personlig integritet och konsumentskydd. Utskottet konstaterade bl.a. att många frågor som rör skyddet av den personliga integriteten – i såväl privat som offentlig verksamhet och vad avser det straffrättsliga skyddet – var föremål för omfattande utredningsarbete och att det är en prioriterad fråga för regeringen att stärka skyddet för den personliga integriteten. Utskottet hänvisade också till att det pågick förhandlingar inom EU om det framtida dataskyddet, inklusive ett förslag om ”rätten att bli glömd”. Dessa utrednings- och förhandlingsarbeten borde enligt utskottets mening inte föregripas, och motionsyrkandena avstyrktes (bet. 2014/15:KU15 s. 17). Utskottet har även behandlat motionsyrkanden om bl.a. personlig integritet och konsumentskydd (bet. 2016/17:KU15 s. 28). Utskottet anförde att det är viktigt att värna den personliga integriteten och att den tekniska utvecklingen har medfört nya risker samt att det på många områden krävs noggranna avvägningar mellan olika intressen och skyddet av den personliga integriteten för att en godtagbar balans ska uppnås. Utskottet konstaterade och välkomnade att frågor som rör skyddet av den personliga integriteten hade utretts och övervägdes i pågående utredningar. Utskottet anförde att det pågående utredningsarbetet och beredningen av förslag inom inte borde föregripas. Motionsyrkandena avstyrktes därför. , reserverade sig beträffande vissa motionsyrkanden. Motionsyrkanden om bl.a. personlig integritet och konsumentskydd behandlades av utskottet även (bet. 2017/18:KU38 s. 21 f.). Utskottet hänvisade i huvudsak till sitt tidigare ställningstagande. , reserverade sig beträffande vissa motionsyrkanden. Utskottet anser, i likhet med tidigare ställningstaganden, att det är viktigt att värna den personliga integriteten. Den tekniska utvecklingen har medfört nya integritetsrisker och på många områden krävs noggranna avvägningar mellan olika intressen och skyddet av den personliga integriteten för att en godtagbar balans ska uppnås. Ett av syftena med den genomförda dataskyddsreformen är att skapa en enhetlig och likvärdig nivå för skyddet av personuppgifter samt att stärka enskildas rättigheter i syfte att ge enskilda ökad kontroll över sina personuppgifter. Av redogörelsen för aktuella utredningar i betänkandets inledande avsnitt och av det som anförs i detta avsnitt framgår att arbetet med att stärka enskildas rättigheter pågår alltjämt, såväl i som inom EU. Utskottet konstaterar att det är för tidigt att utvärdera dataskyddsreformen och följderna av det nya regelverket på dataskyddsområdet. Enligt utskottet bör inte heller beredningen av utredningsförslag inom föregripas. Myndigheters handel med personuppgifter Utskottets förslag i korthet avslår motionsyrkanden om myndigheters handel med personuppgifter. (M) begär i motion 2018/19:958 ett tillkännagivande om en översyn av myndigheters handel med personuppgifter samt berörd lagstiftning. Svenska medborgare finns enligt motionären registrerade i hundratals register och databaser. Uppgifter om bl.a. inkomst, civilstånd, betyg och bostadsort kan ofta lämnas ut med stöd av offentlighetsprincipen. Motionären anför att vissa myndigheter säljer personuppgifter vidare till marknadsanalysföretag och att myndigheterna därmed förlorar kontrollen över hur uppgifterna hanteras. Enligt motionären var syftet med offentlighetsprincipen inte att statliga myndigheter ska handla med personuppgifter. De lagar och regler som gäller hanteringen av personuppgifter är enligt motionären i behov av en bred översyn i syfte att stärka den personliga integriteten som offentlighetsprincipen fortsatt värnas. Liknande förslag finns i motion 2018/19:178 av (KD). Motionären begär ett tillkännagivande om att riktlinjer och förordningar om myndigheters hantering samt försäljning av personuppgifter revideras. Enligt motionären bör myndigheternas försäljning av personuppgifter ske mer restriktivt och skyddet för den personliga integriteten stärkas. Motionären anför att registrerade bör informeras om och ges möjlighet att lämna samtycke till att en myndighet säljer vidare deras personuppgifter. Myndigheter är personuppgiftsansvariga för behandling av personuppgifter som sker i respektive myndighets verksamhet. Vid behandling av personuppgifter måste myndigheter följa flera regelverk, såsom dataskyddsförordningen, dataskyddslagen och sektorsspecifik registerförfattning.