prop · H60365 · 2019-03-19 00:00:00 — Europeiska unionen har enats om en genomgripande dataskyddsreform som ska vara genomförd . Reformen omfattar dels och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning), här kallad dataskyddsförordningen, dels och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, här kallat dataskydds- direktivet. Inrikesministern gav en utredare i uppdrag att biträda med att undersöka vilka anpassningar som är behövliga eller lämpliga och lämna förslag på de författningsändringar som EU:s dataskyddsreform föranleder i fråga om den personuppgifts- reglering som departementets enhet för lagstiftning om allmän ordning och säkerhet och samhällets krisberedskap ansvarar för och som inte tagits om hand av (SOU 2017:39) eller Utredningen om 2016 års dataskyddsdirektiv (SOU 2017:29 och SOU 2017:74). Uppdraget redovisades i promemorian EU:s dataskyddsreform – anpassningar av vissa författningar om allmän ordning och säkerhet (Ds 2017:58). En sammanfattning av promemorian och dess lagförslag finns i bilaga 1 och bilaga 2. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissvaren finns tillgängliga i (Ju2017/09003/L4). Justitieministern gav en utredare i uppdrag att biträda departementet med att utreda bl.a. hur behandlingen av personuppgifter vid ärendehandläggning respektive uppbörd av böter i samband med förelägganden av ordningsbot samt vid uppbörd av böter efter strafförelägganden och uppbörd av domstolsböter bör regleras. Uppdraget redovisades i promemorian Uppbörd av böter (Ds 2015:5). Justitieministern gav en utredare i uppdrag att biträda departementet med att se över de författningsförslag som lämnades i Ds 2015:5 och lämna förslag på de ändringar som behövs med anledning av EU:s dataskyddsreform. Uppdraget redovisades i promemorian Uppbörd av böter efter EU:s dataskyddsreform (Ds 2018:3). En sammanfattning av promemorian och dess lagförslag finns i bilaga 4 och bilaga 5. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 6. Remissvaren finns tillgängliga i (Ju2018/01394/L4). I denna proposition behandlas både förslagen i Ds 2017:58 (kapitel 4– 11) och i Ds 2018:3 (kapitel 12). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 7. Lagrådets yttrande finns i bilaga 8. Regeringen följer i allt väsentligt Lagrådets förslag. och förslag behandlas i avsnitt 6.6.5 och 7.4.2 och i författnings- I förhållande till lagrådsremissen föreslås ändringar i ikraftträdande- och övergångsbestämmelserna till lagen (2018:1694) om behandling av personuppgifter inom brottsdatalagens område. författningstekniskt och även i övrigt av sådan beskaffenhet att Lagrådets hörande skulle sakna betydelse. Regeringen har därför inte inhämtat Lagrådets yttrande över det förslaget. Vidare har några språkliga och redaktionella ändringar gjorts. Den generella regleringen om behandling av personuppgifter inom EU har funnits i och rådets direktiv /46/EG av den om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektiv). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av person- uppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet har genomförts i svensk rätt huvudsakligen genom person- uppgiftslagen. Bestämmelserna i personuppgiftslagen har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen, som gäller för myndigheter och enskilda som behandlar personuppgifter, följer i princip samma struktur som direktivet och innehåller bestämmelser om bl.a. personuppgifts- ansvar, grundläggande krav för behandling av personuppgifter och information till den registrerade. Personuppgiftslagen har emellertid ett vidare tillämpningsområde än direktivet, bl.a. eftersom den omfattar även områden som faller utanför unionsrätten och inte gör något generellt undantag för personuppgiftsbehandling på straffrättens område. Personuppgiftslagen är subsidiär, vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande regler i en annan författning. Det finns en stor mängd sådana bestämmelser i vad som brukar kallas särskilda registerförfattningar eller annan sektorsspecifik reglering. Dessa reglerar framför allt hur olika myndigheter får behandla personuppgifter och är ibland avgränsade till att avse ett specifikt register. Syftet med sådana författningar är att anpassa personuppgiftsregleringen till de särskilda behov som myndigheterna har i sina respektive verksamheter samt att göra 2018/19:65 avvägningar mellan verksamhetens behov av effektivitet och den enskildes rätt till skydd för sin integritet. Europeiska kommissionen presenterade förslag till en genomgripande reform av om skydd för personuppgifter. Reformen omfattar dels en allmän dataskyddsförordning (dataskydds- förordningen) som ersätter dataskyddsdirektiv, dels ett nytt direktiv med särregler för personuppgiftsbehandling i främst den brotts- bekämpande sektorn (dataskyddsdirektivet). Dataskyddsförordningen utgör grunden för generell personuppgiftsbehandling inom EU. Det huvudsakliga syftet med förordningen är bl.a. att säkerställa en enhetlig skyddsnivå över hela unionen och att undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Förordningen baseras till stor del på den struktur och reglering som finns dataskyddsdirektiv, men är i många avseenden mer detaljerad och innehåller även en rad nyheter. Förordningen är direkt tillämplig i alla EU:s medlemsstater men både förutsätter och medger kompletterande och specificerande nationella bestämmelser av olika slag. Dataskyddsdirektivet, som ska vara genomfört i nationell rätt senast den , innehåller bestämmelser om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Även sådan personuppgiftsbehandling som utförs av behöriga myndigheter för att skydda mot, förebygga och förhindra hot mot den allmänna säkerheten ingår i tillämpningsområdet. Syftet med direktivet är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, samt att säkerställa att det utbyte av personuppgifter som krävs inom unionen mellan behöriga myndigheter varken begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter. På många områden överensstämmer regleringen i dataskyddsdirektivet med motsvarande i dataskyddsförordningen. Av artikel 2.2 d i dataskyddsförordningen jämförd med artikel 1.1 i dataskyddsdirektivet framgår att förordningen inte gäller för sådan personuppgiftsbehandling som omfattas av direktivets tillämpnings- område. Viss behandling av personuppgifter undantas från både dataskydds- direktivets och dataskyddsförordningens tillämpningsområde. Det gäller bl.a. personuppgiftsbehandling i verksamhet som inte omfattas av unions- rätten (artikel 2 i respektive rättsakt). Som en nödvändig följd av att dataskyddsförordningen är direkt tillämplig upphävdes personuppgiftslagen . (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) i kraft. Dataskyddslagen innehåller kompletterande bestämmelser av generell karaktär till dataskyddsförordningen och reglerar bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, begränsningar av vissa rättigheter och skyldigheter, administrativa sanktionsavgifter samt skadestånd och överklagande. Dataskyddslagen utvidgar dessutom tillämpningen av bestämmelserna i dataskydds- förordningen till att, med vissa undantag, gälla även vid personuppgifts- behandling i verksamhet som inte omfattas av unionsrätten. Dataskyddslagen är subsidiär till annan författning. I den mån data- skyddsförordningen medger det kan alltså andra författningar innehålla avvikande bestämmelser i förhållande till dataskyddslagen. Dataskyddsdirektivet har i huvudsak genomförts genom en ny ramlag, brottsdatalagen (2018:1177), innehållande bestämmelser om hantering av personuppgifter inom direktivets tillämpningsområde. Brottsdatalagen, som trädde i kraft , innehåller bestämmelser bl.a. om rättslig grund och ändamål för behandling av personuppgifter, känsliga personuppgifter, längsta tid som personuppgifter får behandlas, personuppgiftsansvarigas skyldigheter, enskildas rättigheter, administrativa sanktionsavgifter samt skadestånd och överklagande. Även brottsdatalagen är subsidiär till annan författning. I den mån dataskyddsdirektivet medger det kan alltså andra författningar innehålla avvikande bestämmelser i förhållande till brottsdatalagen. 4.2.4Gränsdragningen mellan dataskyddsförordningen och brottsdatalagen Flera av de registerförfattningar som omfattas av förslagen i denna proposition reglerar behandling av personuppgifter för syften som ligger i gränsområdet mellan dataskyddsförordningens och brottsdatalagens Ett grundläggande krav för att brottsdatalagen ska vara tillämplig är att den som behandlar personuppgifterna är en myndighet som fullgör arbetsuppgifter inom brottsdatalagens tillämpningsområde eller annars anförtrotts myndighetsutövning i samma syften. Utöver kravet på att personuppgiftsbehandlingen görs av en sådan myndighet uppställer brottsdatalagen också krav på att behandlingen i det enskilda fallet sker för vissa syften, för att den behandlande myndigheten ska anses vara en behörig myndighet och lagen ska bli tillämplig. personuppgiftsbehandling, vilken verksamhet den behandlas i eller personuppgiftens karaktär är alltså inte avgörande för vilket regelverk som En myndighets behandling av samma personuppgift kan 2018/19:65 därför antingen styras av brottsdatalagens eller dataskyddsförordningens regler. Att syftet i det enskilda fallet är avgörande för om personuppgifts- behandling omfattas av brottsdatalagen eller inte innebär att det är möjligt att en registerförfattning, som tidigare kompletterat personuppgiftslagen, framöver både kommer gälla utöver brottsdatalagen och komplettera dataskyddsförordningen. Regeringen återkommer till frågor om gränsdragningen mellan dataskyddsförordningen och dataskyddsdirektivet i flera av de avsnitt där behovet av anpassningar i de enskilda registerförfattningarna prövas. Redan här kan emellertid hänvisas till propositionen Brottsdatalag, där ytterligare ett antal allmänna principer att tillämpa vid bedömningen av om brottsdatalagen är tillämplig eller inte redovisas (prop. 2017/18:232 s. 111–113). 4.3Utgångspunkter för anpassningarna av de aktuella registerförfattningarna Regeringens bedömning: Detta lagstiftningsärende bör begränsas till att hantera de ändringar i de aktuella registerförfattningarna som behövs eller är lämpliga med hänsyn till EU:s dataskyddsreform. Utformningen av bestämmelserna i registerförfattningarna bör så långt möjligt anpassas till motsvarande bestämmelser i andra författ- ningar på dataskyddsområdet. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Förvaltningsrätten i har framfört att det bör övervägas om inte dataskyddslagar avseende en och samma myndighet ska slås samman till en lag som reglerar all personuppgiftsbehandling i myndighetens verksamhet. Alternativt att de lagar som ska komplettera brottsdatalagen bör lyftas in som kapitel i den lagen och motsvarande för de bestämmelser i lagar som reglerar annan verksamhet än brottsbekämpande sådan. har ifrågasatt lämpligheten av den existerande särregleringen på dataskyddsområdet av enskilda databaser samt efterlyst en genomlysning av registerförfattningarna med avseende på vilka av deras bestämmelser som faktiskt bidrar till ett starkare integritetsskydd och vilka som inte gör det. Ett antal remissinstanser, däribland Justitiekanslern och Kammarrätten i , har påtalat vikten av att bestämmelserna i de olika registerförfattningarna på dataskyddsområdet ges en så likartad utformning som möjligt och att en del av de bestämmelser som föreslås i promemorian skiljer sig från motsvarande i andra författningar. Skälen för regeringens bedömning: Den utredare som bistått Justitie- departementet med utarbetandet av promemorian har endast haft i uppdrag att undersöka vilka anpassningar av personuppgiftsregleringen i de aktuella registerförfattningarna som är behövliga eller lämpliga med anledning av EU:s dataskyddsreform. En utgångspunkt för detta arbete har varit att den författningsreglering som finns avseende personuppgiftsbehandling ska behållas oförändrad i så stor utsträckning som möjligt och att det inte finns skäl att nu ompröva redan gjorda Prop. 2018/19:65 ställningstaganden och överväganden i den mån de fortfarande är Dataskyddsförordningen började tillämpas och brottsdatalagen, som genomför dataskyddsdirektivet, trädde i kraft . Även om utredaren gjort den övergripande bedömningen att befintlig personuppgiftsreglering i huvudsak är förenlig med de nämnda rättsakterna, är det angeläget att anpassningarna görs så snart det är möjligt. Mot den bakgrunden finns inte utrymme att inom ramen för detta lagstiftningsärende göra ändringar utöver vad som behövs eller är lämpligt för att anpassa de aktuella registerförfattningarna till EU:s dataskyddsreform. Någon möjlighet att i propositionen hantera frågor om ändringar av sådana slag som Förvaltningsrätten i och föreslår finns alltså inte. Som Justitiekanslern och Kammarrätten i har påtalat är det, inte minst för att underlätta för de enskilda tillämparna, av vikt att det dataskyddsrättsliga regelverket ges en så enhetlig utformning som möjligt. Vid utformningen av de ändringar som föreslås i detta lagstiftningsärende måste därför hänsyn tas till regleringens utformning i andra författningar på dataskyddsområdet. 5Allmänna överväganden om anpassningar till dataskyddsförordningen och dataskyddslagen Regeringens bedömning: Den behandling av personuppgifter som regleras i de aktuella registerförfattningarna omfattas av bestäm- melserna i dataskyddsförordningen, i den utsträckning behandlingen inte omfattas av dataskyddsdirektivets tillämpningsområde. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Av artikel 2 i dataskydds- förordningen framgår att förordningens materiella tillämpningsområde är avgränsat till behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (se definitionen i artikel 4.6). Samtliga registerförfattningar som omfattas av propositionen reglerar sådan personuppgiftsbehandling som är helt eller delvis automatiserad eller avser regelrätta register. Den behandling av personuppgifter som sker enligt de aktuella författningarna är alltså sådan att den omfattas av dataskyddsförordningens tillämpningsområde, såvida inte något av undantagen i artikel 2.2 är aktuellt. 2018/19:65 Det undantag från dataskyddsförordningens tillämpningsområde som återfinns i artikel 2.2 a innebär att förordningen inte ska tillämpas på behandling som utgör ett led i en verksamhet som inte omfattas av unionsrätten. Utsträckningen av undantaget är inte helt klar. Genom regleringen i 1 kap. 2 § dataskyddslagen har tillämpningsområdet för bestämmelserna i dataskyddsförordningen emellertid utsträckts i svensk rätt till att omfatta även sådan personuppgiftsbehandling som annars skulle ha undantagits enligt artikel 2.2 a. Det nämnda undantaget påverkar därför inte tillämpligheten av dataskyddsförordningens bestämmelser vad gäller nu aktuella författningar. Detsamma gäller undantaget i artikel 2.2 b avseende verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken. De nu aktuella registerförfattningarna avser samtliga personuppgifts- behandling vid olika myndigheter. Undantaget från förordningens tillämp- ningsområde i artikel 2.2 c, rörande behandling som en fysisk person utför i verksamhet av rent privat natur, är därför inte heller aktuellt. Enligt artikel 2.2 d undantas slutligen personuppgiftsbehandling som omfattas av dataskyddsdirektivets tillämpningsområde från dataskydds- förordningens tillämpningsområde. Såvida personuppgiftsbehandlingen enligt registerförfattningarna inte omfattas av dataskyddsdirektivets, och därmed även brottsdatalagens, tillämpningsområde omfattas den alltså av bestämmelserna i dataskyddsförordningen. 5.2Rättslig grund för personuppgiftsbehandlingen Den europeiska dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. I dataskyddsförordningen räknas dessa rättsliga grunder upp i artikel 6.1. Behandling av person- uppgifter är enligt denna bestämmelse endast laglig om och i den mån som åtminstone ett av de villkor som räknas upp i bestämmelsen är uppfyllt. De olika villkoren är i viss mån överlappande och kan därför vara tillämpliga avseende en och samma behandling. Den behandling av personuppgifter som myndigheter utför kommer huvudsakligen att ske med stöd av de rättsliga grunder som kommer till uttryck i artikel 6.1 c eller e, vilka enligt artikel 6.3 första stycket ska fastställas i enlighet med unionsrätten eller nationell rätt. I normalfallet utgör en myndighets uppdrag enligt författning, instruktion eller regleringsbrev en rättslig grund för behandling av personuppgifter enligt artikel 6.1 e (propositionen Ny dataskyddslag, prop. 2017/18:105, s. 53 f.). Enligt nämnda artikel gäller att behandlingen är laglig om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. All verksamhet som myndigheter bedriver, inom ramen för sin befogenhet, anses vara av allmänt intresse och även privata aktörer kan utföra uppgifter av allmänt intresse (prop. 2017/18:105 s. 56–59). Av 2 kap. 2 § 1 data- skyddslagen följer att en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning utgör en rättslig grund för behandling av personuppgifter. Tydliga uppdrag att behandla personuppgifter i författning, exempelvis Prop. 2018/19:65 en myndighets instruktion, kan dock också utgöra en rättslig förpliktelse. Enligt artikel 6.1 c är personuppgiftsbehandling laglig om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den Begreppet omfattar i första hand offentligrättsliga förpliktelser och av 2 kap. 1 § dataskyddslagen följer att en förpliktelse utgör en rättslig grund för behandling av personuppgifter om förpliktelsen följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Gemensamt för artikel 6.1 c och e är att personuppgiftsbehandlingen ska vara nödvändig i förhållande till den rättsliga grunden för att vara laglig. Detta innebär inte att det måste vara omöjligt att utföra en uppgift utan att behandla personuppgifter, utan det är tillräckligt att personuppgifts- behandlingen bidrar till effektivitetsvinster. På motsvarande sätt bör det mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom en informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag (prop. 2017/18:105 s. 46 f.). Utöver det grundläggande kravet på att all behandling måste vara laglig, i betydelsen att någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen är tillämplig, omgärdas varje behandling av personuppgifter också av andra krav. Principerna för behandling av personuppgifter, dvs. vilka allmänna krav som gäller för all person- uppgiftsbehandling, anges i artikel 5.1 i dataskyddsförordningen. Den första principen som läggs fast i artikel 5.1 är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (led a). Vidare ska personuppgifterna samlas in för särskilda, uttryckligt angivna och berättigade ändamål och de får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (led b). Uppgifterna ska även bl.a. vara adekvata och riktiga och får inte förvaras än vad som är nödvändigt (leden c, d och e). Uppgifterna måste också behandlas på ett sätt som säkerställer lämplig säkerhet (led f). Artiklarna 5 och 6 i dataskyddsförordningen är grundläggande och kumulativa. Dels måste någon av de rättsliga grunder som anges i artikel 6.1 vara tillämplig, dels måste samtliga principer i artikel 5.1 följas. 5.3Övergripande om möjligheten att behålla och införa särreglering Regeringens bedömning: Dataskyddsförordningen ger fortsatt ut- rymme för sådan sektorsspecifik särreglering om behandling av person- uppgifter inom offentlig sektor som finns i de aktuella register- författningarna. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians 2018/19:65 Skälen för regeringens bedömning: Trots att dataskyddsförordningen är direkt tillämplig i alla EU:s medlemsstater kan den, framför allt när det gäller den offentliga sektorn, sägas ha en direktivliknande karaktär på så vis att den tillåter att dess regler specificeras i nationell rätt. Detta följer bl.a. av artikel 6.2, där det anges att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen när det gäller behandling som sker enligt artikel 6.1 c (rättslig förpliktelse) och 6.1 e (uppgift av allmänt intresse och myndighetsutövning). Detta får ske genom att medlemsstaterna närmare fastställer specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Av skäl 10 framgår att detta även gäller för behandlingen av känsliga personuppgifter. Av artikel 6.3 framgår vidare att vid behandling enligt artikel 6.1 c och e, ska den rättsliga grunden fastställas i unionsrätten eller i nationell rätt. Där anges också att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen, bl.a. de all- männa villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Förordningen innehåller också andra artiklar som tillåter kompletterande bestämmelser i vissa avseenden, exempelvis när det gäller särskilda kategorier av personuppgifter (artikel ) och inskränkningar av den registrerades rättigheter (artikel 23). Som framgår av den bedömning regeringen har gjort i propositionen Ny dataskyddslag innebär detta att det även fortsättningsvis finns ett utrymme för sådan sektorsspecifik särreglering om behandling av personuppgifter inom offentlig sektor som finns i registerförfattningarna (prop. 2017/18:105 s. 21 f.). 5.4Bestämmelser som är förenliga med dataskyddsförordningen