prop · H60365 · 2019-03-19 00:00:00 — I sådana fall är omfattningen av vilka personuppgifter som ska behandlas redan övervägd med beaktande av ändamålet med behandlingen. Oavsett detta kan givetvis den registrerade ge in ett utlåtande till myndigheten med sina synpunkter på den aktuella behandlingen. Regeringens bedömning: Det saknas skäl att i registerförfattningarna inskränka den registrerades rätt att få sina personuppgifter raderade enligt artikel 17 i dataskyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Artikel 17 i dataskyddsför- ordningen innehåller en rätt för den registrerade att under vissa förhållanden få sina personuppgifter raderade, exempelvis då personuppgifterna har behandlats på olagligt sätt (artikel 17.1 d). Motsvarande rätt fanns i 28 § personuppgiftslagen, där i stället uttrycket utplåning användes. Till skillnad från i 28 § personuppgiftslagen anges dock i artikel 17 på ett utförligt sätt i vilka situationer den enskilde har rätt till radering. finns ett undantag från rätten till radering i artikel 17.3 som anger att rätten till radering inte ska gälla i den utsträckning behandlingen är nödvändig för att bl.a. uppfylla en rättslig förpliktelse som kräver behandling enligt medlemsstaternas nationella rätt eller för att utföra en uppgift av allmänt intresse eller vid myndighetsutövning. De grunder för behandling som anges i artikel 17.3 är alltså desamma som gör en behandling laglig i enlighet med artikel 6.1 c eller e. Den enskilde kan alltså inte framtvinga radering av personuppgifter som behövs för myndigheternas författningsreglerade verksamhet. Som anförs i promemorian bör behandling av personuppgifter som behövs för diarieföring eller för bevarande av allmänna handlingar alltid kunna betraktas som laglig med hänvisning till ett allmänt intresse, även om sådan behandling inte alltid behövs för myndighetens kärnverksamhet 2018/19:65 och därmed inte omfattas av någon författningsreglering som gäller specifikt för den aktuella myndigheten. Mot bakgrund av ovanstående delar regeringen bedömningen i promemorian att det inte finns skäl att i de aktuella registerförfattningarna föreslå några inskränkningar i rätten till radering enligt artikel 17. Regeringens bedömning: Det saknas skäl att i registerförfattningarna inskränka den enskildes rätt att begära att behandlingen av hans eller hennes personuppgifter begränsas enligt artikel 18 i dataskydds- förordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Artikel 18 i dataskyddsför- ordningen innehåller en rätt för den registrerade att under vissa förhållanden kräva att personuppgiftsbehandlingen begränsas. Begreppet begränsning av behandling definieras i artikel 4.3 som en ”markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa ”. Motsvarigheten till begränsning i personuppgiftslagen var blockering enligt 28 §. Den begränsning av behandling som avses med blockering är dock endast att personuppgifterna inte ska lämnas ut till tredje man. Av artikel 18.2 följer i stället att begränsning i princip innebär att behandling av personuppgifterna utöver lagring inte längre får ske, med vissa undantag. Rätten till begränsning är alltså inte helt jämförbar med rätten till blockering enligt tidigare gällande rätt. Enligt artikel 18.1 finns det olika förutsättningar under vilka den registrerade har rätt att kräva begränsning av behandlingen. En av dem (led b) är att behandlingen är olaglig, men den registrerade motsätter sig att uppgifterna raderas. Som konstaterats ovan finns inte skäl för att inskränka rätten till radering i motsvarande situation. I enlighet med detta anser regeringen att det inte heller finns skäl för att inskränka rätten till begränsning i samband med olaglig behandling. En annan situation då behandlingen ska begränsas enligt artikel 18.1 är när den personuppgiftsansvarige inte längre behöver personuppgifterna för behandling, men den registrerade behöver dem bl.a. för att göra gällande rättsliga anspråk (led c). Även i en sådan situation framstår det som rimligt att behandlingen ska begränsas; det är ju inte lagligt att fortsätta behandla personuppgifter om det inte finns ett godtagbart ändamål med behandlingen. Inte heller i sådana situationer finns därför skäl att inskränka rätten till begränsning. En tredje förutsättning för begränsning av behandlingen är att den registrerade bestrider uppgifternas korrekthet och den person- uppgiftsansvarige behöver att kontrollera deras riktighet (led a). Regeringen delar bedömningen i promemorian att begränsningskravet i en sådan situation inte generellt kan sägas innebära en sådan olägenhet i en myndighets verksamhet att rättigheten bör inskränkas. Att myndigheter kontrollerar uppgifters korrekthet, oavsett om det är den enskilde själv eller någon annan som framför omständigheter som tyder på att Prop. 2018/19:65 uppgifterna inte stämmer, framstår som självklart och följer redan av den personuppgiftsansvariges allmänna skyldighet att se till att person- uppgifter är korrekta. Att behandlingen av uppgifterna, utöver att de bevaras, i normalfallet inte fortsätter det tar att fastställa riktigheten framstår även det som rimligt. Av artikel 18.2 följer dessutom att behandling av personuppgifter för skäl som rör ett viktigt allmänintresse inte förhindras av rätten till begränsning. Det kan också noteras att skyldigheten att begränsa behandlingen av personuppgifter inom dataskyddsdirektivets tillämpningsområde (artikel 16.3 i direktivet) kommer att gälla under i princip samma förutsättningar som enligt dataskyddsförordningens artikel 18.1 a och c och att det enligt direktivet inte finns några möjligheter att inskränka den personuppgiftsansvariges skyldigheter i det avseendet (jfr 4 kap. 9 § andra stycket brottsdatalagen som genomför artikel 16.3). Mot denna bakgrund finns enligt regeringen inte heller skäl att inskränka rätten till begränsning enligt artikel 18.1 a. Slutligen ska behandlingen, enligt led d, begränsas om den registrerade har invänt mot behandling i enlighet med artikel 21.1 (se nästa avsnitt). Personuppgiftsbehandlingen ska begränsas det tar för den personuppgiftsansvarige att visa att förutsättningar att upphöra med behandlingen på grund av invändningen inte föreligger. I linje med att regeringen inte ser något generellt behov av att inskränka rätten till invändningar enligt artikel 21.1, och med beaktande av möjligheten att ändå behandla personuppgifter för skäl som rör ett viktigt allmänintresse, anser regeringen inte heller att rätten till begränsning bör inskränkas i det avseendet. Regeringens bedömning: Det saknas skäl att i registerförfattningarna inskränka den enskildes rätt att göra invändningar enligt artikel 21 i dataskyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Artikel 21 i dataskyddsför- ordningen innehåller en rätt för den registrerade att när som helst, av skäl som hänför sig till hans eller hennes specifika situation, göra invändningar mot personuppgiftsbehandling som grundar sig på artikel 6.1 e eller f. Om en myndighet har en rättslig förpliktelse (artikel 6.1 c) att föra exempelvis ett visst register, gäller alltså inte rätten att göra invändningar enligt artikel 21. Efter invändning från den registrerade får den personuppgiftsansvarige inte längre behandla personuppgifterna såvida denne inte kan visa på avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Rätten till invändningar har en motsvarighet data- skyddsdirektiv, artikel 14, som också ger den registrerade rätt att göra 2018/19:65 invändningar och anger att personuppgiftsbehandlingen ska upphöra om skälen för invändningen är berättigade. Denna rättighet gäller dock endast om nationell rätt inte föreskriver något annat och någon generell rätt till invändningar genomfördes inte i personuppgiftslagen. I stället följde av 12 § andra stycket personuppgiftslagen att den registrerade inte hade rätt att invända mot behandling som var tillåten enligt lagen, utom i de fall då behandlingen grundade sig på samtycke (12 § första stycket) eller rörde direkt marknadsföring (11 §). Som regeringen konstaterat i tidigare lagstiftningsärende fyller rätten att göra invändningar en viktig funktion ur rättssäkerhetssynpunkt (prop. 2017/18:105 s. 105). Detta innebär att en inskränkning i denna rätt bör föregås av noggranna överväganden. Som anförs i promemorian finns det rent allmänt skäl för att personuppgiftsbehandling vid en myndighet ska kunna fortgå även om den enskilde gör invändningar mot den. En stor del av den personuppgiftsbehandling som regleras i registerförfattningarna sker emellertid med stöd av bl.a. artikel 6.1 c och som framgår ovan gäller den enskildes rätt att invända inte mot sådan behandling. Rätten att invända berör alltså endast sådan behandling som sker enbart med stöd av artikel Redan av detta skäl är behovet av en inskränkning av rätten att invända begränsat. Det kan också konstateras att det för invändningar som är helt obefogade vanligtvis bör vara tillräckligt att hänvisa till de författningar som ger stöd för personuppgiftsbehandlingen för att det ska anses visat att intresset av behandling väger tyngre. Mot denna bakgrund delar regeringen bedömningen i promemorian att det i detta lagstiftnings- ärende inte finns tillräckliga skäl för några inskränkningar i rätten att göra invändningar enligt artikel 21. Regeringens bedömning: Det saknas skäl att i registerförfattningarna inskränka den registrerades rätt till information om personuppgifts- incidenter enligt artikel 34 i dataskyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Enligt artikel 34 i dataskydds- förordningen ska den personuppgiftsansvarige utan dröjsmål informera den registrerade om personuppgiftsincidenter som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Information krävs emellertid inte om den personuppgiftsansvarige antingen genomfört lämpliga tekniska och organisatoriska skyddsåtgärder och dessa tillämpats på de personuppgifter som påverkats av incidenten eller vidtagit ytterligare åtgärder som säkerställer att hög risk för registrerades rättigheter och friheter sannolikt inte längre kommer att uppstå. Den enskilde behöver inte heller informeras om sådan information skulle innebära en oproportionell ansträngning, då ska istället allmänheten informeras eller en liknande åtgärd vidtas. Informationsplikten enligt artikel 34 inträder alltså först vid Prop. 2018/19:65 personuppgiftsincidenter som är allvarliga för den enskilde och är även då begränsad på olika sätt. De direkt tillämpliga undantagen från informationsplikten omfattar dock inte situationen att de uppgifter som ska lämnas till den registrerade omfattas av sekretess eller tystnadsplikt. I fall då redan informationen om att den registrerades personuppgifter behandlas vid viss myndighet i sig omfattas av sekretess har regeringen därför i andra lagstiftningsärenden ansett att informationsplikten enligt artikel 34 bör inskränkas till att inte omfatta sådana uppgifter som inte får lämnas ut till den registrerade (propositionen Anpassning av domstolsdatalagen till EU:s dataskyddsförordning, prop. 2017/18:113, s. 35–37 och prop. 2017/18:254 s. 38 f.). I promemorian har gjorts bedömningen att skäl för inskränkningar av informationsplikten saknas avseende den personuppgiftsbehandling som regleras i nu aktuella registerförfattningar. Den information som ska lämnas till den enskilde torde som regel kunna utformas så att sekretessbelagda uppgifter inte lämnas ut. Det har inte heller vid remitteringen eller i övrigt framkommit att redan informationen om att den registrerades personuppgifter behandlas enligt registerförfattningarna, skulle vara så känslig att det motiverar en inskränkning av informations- plikten. Regeringen anser därför att det inte finns skäl att inskränka den registrerades rätt till information om personuppgiftsincidenter enligt artikel 34. 5.8Behovet av nya bestämmelser 5.8.1Bestämmelser om förhållandet till den generella dataskyddsregleringen Regeringens bedömning: I registerförfattningarna bör det införas be- stämmelser som klargör att lagen kompletterar dataskyddsför- ordningen. I registerförfattningarna bör det även införas bestämmelser som anger att dataskyddslagen och föreskrifter som meddelas i anslutning till lagen gäller, om inte något annat följer av registerförfattningen eller föreskrifter som meddelats i anslutning till den. Hänvisningarna till dataskyddsförordningen i registerförfattningarna bör vara dynamiska. Promemorians bedömning överensstämmer med regeringens, med det undantaget att det i promemorian inte hänvisas till föreskrifter som meddelats i anslutning till dataskyddslagen. Remissinstanserna: Ingen remissinstans invänder mot promemorians bedömning. Skälen för regeringens bedömning: utgör dataskyddsförordningen den generella regleringen för behandling av personuppgifter utanför den föreslagna brottsdatalagens tillämpnings- område. Registerförfattningarna kommer alltså, i den utsträckning de reglerar personuppgiftsbehandling inom förordningens tillämpnings- 2018/19:65 område, att innehålla bestämmelser som kompletterar dataskydds- förordningen. Regeringen delar bedömningen i promemorian att det bör införas bestämmelser i registerförfattningarna som upplyser om detta. Författningarna kommer även att behöva innehålla vissa andra hänvisningar till dataskyddsförordningen. Det är fråga om bestämmelser av upplysningskaraktär eller bestämmelser som begränsar eller preciserar förordningens tillämpning på något område. Som konstateras i promemorian bör hänvisningarna, i likhet med vad som med några få undantag gäller i dataskyddslagen, vara dynamiska (prop. 2017/18:105 s. 24 f.). Valet av dynamiska hänvisningar innebär att hänvisningarna kommer att omfatta eventuella ändringar i dataskyddsförordningen. Detta hindrar dock inte att den nationella lagstiftningen kan komma att behöva ändras om förordningens innehåll förändras. Dataskyddslagen innehåller de bestämmelser som på ett generellt plan kompletterar dataskyddsförordningen. Regeringen delar bedömningen i promemorian att det i registerförfattningarna bör upplysas om detta samt om att dataskyddslagen är subsidiär i förhållande till bestämmelserna om behandling av personuppgifter i registerförfattningarna eller föreskrifter som meddelats i anslutning till dessa. Eftersom det sagda även gäller föreskrifter som meddelats i anslutning till dataskyddslagen anser regeringen, till skillnad från vad som föreslås i promemorian, att de upplysande bestämmelserna i registerförfattningarna bör hänvisa även till dessa. Regeringen återkommer till utformningen av bestämmelserna om förhållandet till den generella dataskyddsregleringen i samband med att de enskilda registerförfattningarna behandlas. Det behövs inga bestämmelser om skadestånd eller Regeringens bedömning: Dataskyddsförordningen medför inget behov av bestämmelser om skadestånd eller överklagande i register- Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Av 7 kap. 1 § dataskyddslagen framgår att rätten till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet enligt artikel 82 i EU:s dataskyddsförordning också gäller vid överträdelse av dataskyddslagen och andra föreskrifter som Det behövs därför inga hän- visningar till dataskyddsförordningen avseende skadestånd i register- författningar som kompletterar förordningen. Personuppgiftsansvariga myndigheters beslut avseende personuppgifts- behandling enligt en registerförfattning kommer framöver att fattas med direkt tillämpning av dataskyddsförordningen. därmed att kunna överklagas med stöd av 7 kap. 2 § dataskyddslagen. finns alltså inget behov att införa några bestämmelser om överklagande i nu aktuella registerförfattningar. 5.8.3Det behövs inga bestämmelser om tillsyn eller administrativa sanktionsavgifter Regeringens bedömning: Dataskyddsförordningen medför inget behov av bestämmelser om tillsyn eller administrativa sanktions- avgifter i registerförfattningarna. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: behörighet, uppgifter och befogenheter regleras utförligt i artikel 55–59 i dataskyddsförordningen. Enligt dessa bestämmelser har tillsyns- myndigheten bl.a. befogenhet att behandla klagomål från registrerade, utfärda varningar och reprimander mot personuppgiftsansvariga, rikta förelägganden mot personuppgiftsansvariga samt besluta om begränsning av eller förbud mot viss behandling. Enligt artikel 83 i dataskydds- förordningen har tillsynsmyndigheten i vissa fall möjlighet att påföra de personuppgiftsansvariga administrativa sanktionsavgifter vid överträd- elser av förordningens bestämmelser. Varje medlemsstat får fastställa regler för om och i vilken utsträckning sådana sanktionsavgifter kan påföras offentliga myndigheter och organ som är inrättade i medlems- staten. Den föreslagna dataskyddslagen innehåller bestämmelser som kompletterar dataskyddsförordningens reglering i dessa delar. I 6 kap. 1 § föreskrivs att de befogenheter som tillsynsmyndigheten har enligt dataskyddsförordningen även ska gälla vid tillsyn över efterlevnaden av bestämmelserna i dataskyddslagen och andra föreskrifter som komplett- erar dataskyddsförordningen. I kapitel 6 finns även kompletterande bestämmelser avseende tillsynsmyndighetens handläggning och beslut. Vad gäller sanktionsavgifter anges det i 6 kap. 1 § dataskyddslagen att sanktionsavgifter ska få tas ut av myndigheter vid vissa överträdelser av dataskyddsförordningen. Bestämmelsen reglerar även avgiftens storlek. I kapitel 6 finns även vissa kompletterande bestämmelser om sanktions- avgifter. 2017/18:105 utvecklar regeringen skälen för att tillsyns- myndigheten ska ha möjlighet att ta ut administrativa sanktionsavgifter från myndigheter (s. 139–142). Regeringen anser att det saknas skäl att inom ramen för nu aktuella registerförfattningars tillämpningsområde ha ett annat förfarande för tillsyn och sanktioner än det som kommer att gälla för andra myndigheter enligt dataskyddslagen. Eftersom dataskyddslagen (i den utsträckning brottsdatalagen inte är tillämplig) kommer att gälla inom registerförfattningarnas område, under förutsättning att annat inte följer av författningarna eller föreskrifter som har meddelats i anslutning till dessa, krävs det inte någon särskild reglering i registerförfattningarna för att dataskyddslagens bestämmelser om tillsyn och sanktionsavgifter ska bli tillämpliga. Regeringen delar därför bedömningen i promemorian att det, såvitt gäller personuppgiftsbehandling som omfattas av data- skyddsförordningen, inte bör införas några regler om tillsyn eller om sanktionsavgifter i registerförfattningarna. anpassningar till dataskyddsdirektivet och brottsdatalagen 6.1Övergripande om anpassningar till dataskyddsdirektivet och brottsdatalagen Ett EU-rättsligt direktiv innebär en skyldighet för medlemsstaterna att införa föreskrifter i överensstämmelse med direktivet. Medlemsstaterna är dock fria att bestämma form och tillvägagångssätt för genomförandet; avgörande är att lagstiftningen uppnår det resultat i sak som direktivet eftersträvar. Av artikel 8.2 i dataskyddsdirektivet – som anger att medlemsstaternas nationella rätt som reglerar behandling enligt direktivet åtminstone ska specificera syftet med behandlingen, vilka personuppgifter som ska behandlas och behandlingens ändamål – framgår dessutom att det är förutsatt att nationell rätt kommer att innehålla specificeringar i förhållande till direktivet. Eftersom dataskyddsdirektivet är ett s.k. minimidirektiv (se artikel 1.3) finns också möjligheter för med- lemsstaterna att införa starkare skyddsåtgärder än vad direktivet kräver för den enskildes rättigheter och friheter med avseende på personupp- giftsbehandling inom direktivets tillämpningsområde. På dataskyddsdirektivets område är brottsdatalagen den grundläggande regleringen av personuppgiftsbehandling. Lagen genomför direktivet på ett generellt plan och dess bestämmelser har bedömts vara förenliga med direktivet. I den mån en fråga är reglerad i brottsdatalagen och ingen särreglering är nödvändig i registerförfattningarna, tillgodoses alltså direktivets krav redan genom brottsdatalagen. Om det i stället är så att en registerförfattning bör innehålla särreglering i förhållande till brottsdatalagen krävs, förutom att den är förenlig med direktivet, överväganden kring hur bestämmelsen kommer att förhålla sig till brottsdatalagen. Rättslig grund för personuppgiftsbehandlingen Enligt artikel 8.1 i dataskyddsdirektivet är behandling av personuppgifter laglig endast om behandlingen är nödvändig för att en behörig myndighet ska kunna utföra en uppgift för brottsbekämpande eller något av de andra ändamål som omfattas av direktivets tillämpningsområde. laglig måste behandlingen också ske på grundval av unionsrätt eller Artikeln genomförs på generell nivå genom bestämmelsen i 2 kap. 1 § Av denna framgår att personuppgifter får behandlas om det är nödvändigt för att en behörig myndighet ska kunna utföra en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa en straffrättslig påföljd eller upprätthålla allmän ordning och säkerhet. också framgå av en lag, en förordning eller ett särskilt beslut i vilket regeringen uppdragit åt den behöriga myndigheten att utföra en sådan Utöver detta får personuppgifter, enligt 2 kap. 2 § brottsdatalagen, Prop. 2018/19:65 även behandlas om det är nödvändigt för diarieföring eller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning. Liksom motsvarande bestämmelse i dataskyddsförordningen innehåller dataskyddsdirektivet och brottsdatalagen alltså krav på att personuppgifts- behandlingen måste vara nödvändig i förhållande till ändamålet med behandlingen. Regeringen har tidigare gjort bedömningen att detta begrepp har samma innebörd som i dataskyddsförordningen (prop. 2017/18:105 s. 46 f. och prop. 2017/18:232 s. 117). Se vidare vad som sagts om begreppet i avsnitt 5.2. Utan att ta slutlig ställning till de enskilda författningarnas förenlighet med artikel 8.1 kan redan nu konstateras att alla de registerförfattningar som behandlas i propositionen och som reglerar personuppgiftsbehandling som omfattas av dataskyddsdirektivets tillämpningsområde, innehåller bestämmelser som ålägger en specifik uppgift att föra register av olika slag, i syfte att informationen i registren bl.a. ska användas av eller andra behöriga myndigheter för sådana syften som anges i 2 kap. 1 § brottsdatalagen. 6.3Bestämmelser som är förenliga med dataskyddsdirektivet och brottsdatalagen 6.3.1Bestämmelser om syfte och tillämpningsområde Regeringens bedömning: Bestämmelser i registerförfattningar som anger syftet med lagen eller avgränsar dess tillämpningsområde till viss verksamhet eller viss typ av behandling är förenliga med dataskydds- direktivet och brottsdatalagen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians