prop · H60365 · 2019-03-19 00:00:00 — 5.4.1Bestämmelser om syfte och tillämpningsområde Regeringens bedömning: Bestämmelser i registerförfattningar som anger syftet med lagen eller avgränsar dess tillämpningsområde till en viss verksamhet eller en viss typ av behandling är förenliga med data- skyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Vissa registerförfattningar inleds med en allmän bestämmelse som anger syftet med lagstiftningen. Detta kan exempelvis vara att möjliggöra personuppgiftsbehandling och skydda människors personliga integritet. Sådana bestämmelser har inget direkt materiellt innehåll och utgör i sig ingen reglering av den Bestämmelser av detta slag Prop. 2018/19:65 är därför förenliga med dataskyddsförordningen. Regeringen delar bedömningen i promemorian att också bestämmelser som avgränsar tillämpningsområdet för en viss registerförfattning är förenliga med dataskyddsförordningen. Eftersom särreglering är möjlig enligt förordningen måste den nationella lagstiftaren också kunna specificera inom vilken verksamhet eller för vilken typ av personuppgifts- behandling en viss särreglering gäller. Regeringens bedömning: Bestämmelser i registerförfattningar som preciserar personuppgiftsansvaret är förenliga med dataskydds- förordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Av definitionen i artikel 4.7 i dataskyddsförordningen framgår att en personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt enligt samma artikel. Dataskydds- förordningen ger alltså möjlighet att fastställa eller precisera person- uppgiftsansvaret i författning. Sådana bestämmelser i register- författningarna är därför förenliga med dataskyddsförordningen. Regeringens bedömning: Ändamålsbestämmelser i registerförfatt- ningar är förenliga med dataskyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: ifrågasätter promemorians bedöm- ning och menar att denna bygger på en sammanblandning mellan vad som i dataskyddsrättslig mening är särskilt bestämda ändamål och tillåtna rättsliga grunder för behandling. Övriga remissinstanser yttrar sig inte över Skälen för regeringens bedömning: Registerförfattningar – däribland de nu aktuella – innehåller vanligen ändamålsbestämmelser som anger den yttersta ram inom vilken personuppgifter får behandlas. fattningar kategoriseras ändamålen som primära och sekundära ändamål. De primära ändamålen reglerar behandlingen av de personuppgifter som behövs i den berörda myndighetens egen verksamhet. målen reglerar i vilken utsträckning personuppgifter som behandlas för något av de primära ändamålen får behandlas för att lämnas ut till andra 2018/19:65 myndigheter eller till enskilda för att tillgodose deras behov. Syftet med uppdelningen i primära och sekundära ändamål är att göra det tydligt hur personuppgifter dels får användas i myndighetens egen verksamhet, dels får behandlas för att lämnas ut till andra. Ändamålsbestämmelser av detta slag kan ses som sådana specifika bestämmelser som anpassar tillämpningen av bestämmelserna i dataskyddsförordningen och säkerställer en laglig och rättvis behandling och som är tillåtna enligt artikel 6.2 i dataskyddsförordningen när det gäller behandling som grundar sig på artikel 6.1 c och e. Av artikel 6.3 framgår också att den rättsliga grunden för sådan personuppgifts- behandling kan innehålla ändamålsbegränsningar. I enlighet med artikel 23.2a i förordningen ska dessutom, när så är relevant, lagstiftning som begränsar tillämpningsområdet för förordningens rättigheter och skyldigheter innehålla specifika ändamålsbestämmelser. Dataskydds- förordningen ger alltså utrymme för att ha bestämmelser om tillåtna ändamål i nationella registerförfattningar och regeringen ansluter sig därför till bedömningen i promemorian. Det sagda innebär att ändamålsbestämmelser i många fall torde kunna ses som en del av den rättsliga grunden för personuppgiftsbehandlingen. har påtalat att det kan finnas en risk för sammanblandning av begreppen i myndigheternas praktiska behandling av personuppgifter. I brottsdatalagen och de registerförfattningar som uteslutande reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde görs av detta skäl en tydligare åtskillnad mellan bestämmelser om rättslig grund och ändamål (prop. 2017/18:232 och propositionen Brottsdatalag – kompletterande lagstiftning, prop. 2017/18:269). Regeringen återkommer till frågor om utformningen av ändamålsbestämmelserna i samband med behandlingen av de enskilda registerförfattningarna. Regeringens bedömning: Sekretessbrytande bestämmelser i register- författningar om utlämnande av personuppgifter, liksom bestämmelser om elektroniskt utlämnande, är förenliga med dataskyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning Bestämmelser om utlämnande av personuppgifter Som framgår av föregående avsnitt kan frågor om utlämnande regleras i sekundära ändamålsbestämmelser. Många registerförfattningar innehåller emellertid bestämmelser om utlämnande av personuppgifter vars syfte är att möjliggöra ett uppgiftsutbyte som annars skulle förhindras av sekretess. Uppgiftsskyldighet mellan svenska myndigheter bryter exempelvis eventuell sekretess och kan förekomma i registerförfattningar (10 kap. 28 § offentlighets- och sekretesslagen [2009:400]). När det gäller utländska myndigheter föreskrivs normalt sett inte uppgiftsskyldighet utan att uppgifter får lämnas ut under vissa förutsättningar. Även sådana Prop. 2018/19:65 bestämmelser innebär att sekretessbelagda uppgifter kan lämnas (8 kap. 3§ offentlighets- och sekretesslagen). Även om sekretessbrytande bestämmelser inte i första hand reglerar förutsättningar för automatiserad personuppgiftsbehandling får de en sådan betydelse för personuppgiftsbehandlingen att de bör ingå i en bedömning av regleringens förenlighet med dataskyddsförordningen. Sekretessbrytande bestämmelser möjliggör nämligen utlämnanden som annars inte hade kunnat komma i fråga. Uppgiftsskyldighet för en myndighet som för ett automatiserat register som innehåller person- uppgifter kommer dessutom alltid innebära en automatiserad person- uppgiftsbehandling för att kunna fullgöras. Regeringen delar bedömningen i promemorian att regler som syftar till att bryta sekretess får anses vara sådana preciseringar av principer om personuppgiftsbehandling som är tillåtna enligt artikel 6.2. Att automat- iserat utlämnande kan regleras i nationell rätt har också stöd i artikel 6.3, av vilken det framgår att den rättsliga grunden kan innehålla bestämmelser om till vilka ”enheter” personuppgifter får lämnas och för vilka ändamål. Även om sekretessbrytande bestämmelser inte är ändamålsbestämmelser i egentligen mening framgår dessutom ofta syftet med utlämnandet av bestämmelserna. Elektroniskt utlämnande av personuppgifter I registerförfattningar regleras ibland vissa särskilda tekniska former av utlämnande, exempelvis s.k. direktåtkomst. I artikel 6.3 nämns särskilt ”typer av behandling och förfaranden för behandling”. Regeringen delar därför bedömningen i promemorian att nationella bestämmelser som preciserar förutsättningarna för elektroniskt utlämnande, inklusive direktåtkomst, får anses förenliga med dataskyddsförordningen. 5.4.5Bestämmelser om vilka uppgifter som får behandlas Regeringens bedömning: Bestämmelser i registerförfattningar om vilka uppgifter som får behandlas är generellt förenliga med dataskyddsförordningen. I de fall bestämmelsen innebär att person- eller samordningsnummer ska behandlas måste lämpliga skydds- åtgärder finnas. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: I registerförfattningar föreskrivs ofta vilka personuppgifter som får behandlas. Detta kan göras allmänt genom en bestämmelse om att möjligheten att behandla personuppgifter gäller personuppgifter som behövs för ett visst angivet ändamål. I författningar som avser ett särskilt register kan dessutom mer precisa bestämmelser finnas, där en uppräkning ibland görs av de personuppgifter som ska ingå i registret. 2018/19:65 I artikel 6.3 i dataskyddsförordningen sägs uttryckligen att den rättsliga grunden kan innehålla bestämmelser om vilka uppgifter som får behandlas. En bestämmelse om vilka uppgifter som får behandlas kan också uppfattas som en precisering som syftar till att följa principen om uppgiftsminimering i artikel 5.1 c och det följer därmed även av artikel 6.2 att nationell rätt kan innehålla sådana bestämmelser. Generellt är bestämmelser av nämnda slag alltså förenliga med dataskydds- förordningen. I de fall det i bestämmelsen föreskrivs att person- eller samordnings- nummer ska ingå i registret krävs emellertid ytterligare överväganden. Sådana uppgifter har nämligen getts en särställning i dataskydds- förordningen genom att medlemsstaterna getts möjlighet att införa särskilda villkor för behandlingen, och villkoren ska i sådana fall säkerställa att identifikationsuppgifterna bara får användas med iakttagande av lämpliga skyddsåtgärder för de registrerades fri- och rättigheter (artikel 87). I 3 kap. 10 § dataskyddslagen har sådana särskilda villkor ställts upp. Enligt bestämmelsen får personnummer och samordningsnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. I samband med införandet av bestämmelsen konstaterades att en bestämmelse som tillåter behandling av personnummer och samordningsnummer i andra fall än enligt 3 kap. 10 §dataskyddslagen måste leva upp till förordningens krav på lämpliga skyddsåtgärder för de registrerades fri- och rättigheter (prop. 2017/18:105 s. 101 f.). I några av de registerförfattningar som behandlas i propositionen finns sådana bestämmelser som anger att person- eller samordningsnummer ska eller får behandlas i vissa sammanhang. För att dessa ska vara förenliga med dataskyddsförordningen krävs alltså att det finns lämpliga skyddsåtgärder enligt artikel 87. Regeringen återkommer till dessa frågor i samband med att de enskilda bestämmelserna behandlas. 5.4.6Åtkomst till personuppgifter inom myndigheten och sökbegränsningar Regeringens bedömning: Bestämmelser i registerförfattningar som begränsar åtkomsten till personuppgifter inom myndigheten samt bestämmelser om sökbegränsningar är förenliga med dataskydds- förordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: I registerförfattningar kan den interna åtkomsten till personuppgifter regleras, exempelvis vilka uppgifter som får göras gemensamt tillgängliga. Med detta begrepp brukar avses tillgänglighet för en vidare krets tjänstemän inom myndigheten. Andra begränsande bestämmelser kan vara att det anges att åtkomsten till person- uppgifter för varje tjänsteman ska begränsas till vad som är nödvändigt för att han eller hon ska kunna fullgöra sin arbetsuppgift eller bestämmelser Prop. 2018/19:65 som reglerar behörigheter att ta del av personuppgifter. En annan typ av reglering som kan sägas minska åtkomsten till personuppgifter är bestämmelser som begränsar sökmöjligheterna, exempelvis genom att ange att vissa sökbegrepp inte får användas. Regeringen delar bedömningen i promemorian att bestämmelser som på sådana sätt begränsar åtkomsten till personuppgifter får ses som preciseringar av antingen principen om uppgiftsminimering (artikel 5.1 c) eller principen om integritet och konfidentialitet (artikel 5.1 f). De bör därför betraktas som tillåtna kompletteringar i nationell rätt enligt artikel 6.2 och 6.3 i dataskyddsförordningen. 5.4.7Bestämmelser om bevarande och gallring Regeringens bedömning: Bestämmelser i registerförfattningar om gallring är förenliga med dataskyddsförordningen. Det måste bedömas från fall till fall om bestämmelser i register- författningar om att man inte får bevara personuppgifter när uppgifterna inte längre behövs för vissa ändamål är förenliga med dataskyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Att personuppgifter inte får lagras i identifierbar form än vad som är nödvändigt för de ändamål för vilka de behandlas är en grundläggande princip för behandling av personuppgifter enligt artikel 5.1 e i dataskyddsförordningen. Vad gäller bevarande för exempelvis arkivändamål av allmänt intresse anges i bestämmelsen att sådant bevarande är tillåtet under förutsättning att bl.a. tekniska åtgärder säkerställer den registrerades rättigheter. Bestämmelser i registerförfattningar om bevarande och gallring kan ha formen av absoluta tidsgränser för när en uppgift ska gallras eller när den inte längre får bevaras. En precisering av när uppgifter senast ska gallras är en integritetsskyddande åtgärd, och av artikel 6.3 i dataskydds- förordningen framgår att lagringstid kan regleras i nationell rätt. Sådana bestämmelser om gallring är alltså förenliga med dataskyddsförordningen (jfr propositionen Anpassning av utlänningsdatalagen till EU:s data- skyddsreform, prop. 2017/18:254, s. 52 f.). Det förekommer också bestämmelser som mer allmänt anger att bevarande av personuppgifter inte får ske eller att gallring ska ske, om personuppgifterna inte längre behövs för vissa ändamål. När det gäller sådana bestämmelser kan det ifrågasättas om de tillför något utöver dataskyddsförordningens allmänna princip om lagringsminimering. Vissa sådana bestämmelser fyller dock en funktion i förtydligande syfte och bör behållas med stöd av skäl 8 i dataskyddsförordningen. En bedömning av om bestämmelserna bör behållas måste därför göras i det enskilda fallet med hänsyn till den närmare utformningen av bestämmelsen. I de nya registerförfattningarna på brottsdatalagens område används inte längre begreppet gallring, eftersom bedömningen gjorts att begreppet inte 2018/19:65 bör användas i bestämmelser som avser dataskydd (prop. 2017/18:269 s. 122 f.). Regeringen återkommer till denna fråga i anslutning till att gallringsbestämmelserna i de enskilda registerförfattningarna behandlas. Regeringens bedömning: Dataskyddsförordningen påverkar inte nuvarande bestämmelser i registerförfattningar om rätt för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om personuppgiftsbehandling. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Registerförfattningar som är lagar ger ofta en rätt för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter i något eller några avseenden som rör personuppgiftsbehandling, eller upplyser om att regeringen eller den myndighet regeringen bestämmer meddelar sådana föreskrifter. Regeringen delar bedömningen i promemorian att sådana bestämmelser inte berörs av dataskyddsförordningen. Förordningen använder ofta uttryck som nationell rätt eller bestämmelser, se exempelvis artikel 6.2 eller 6.4. Som framgår av skäl 41 avses inte heller med uttrycket rättslig grund eller lagstiftningsåtgärd att det måste vara fråga om en lag antagen av ett nationellt parlament. Att frågor regleras i förordnings- eller föreskriftsform får alltså i sig anses vara förenligt med dataskydds- förordningen. 5.5Bestämmelser som inte kan behållas Regeringens bedömning: Bestämmelser i registerförfattningar som innehåller hänvisningar till personuppgiftslagen och bestämmelser om skyldighet att utse personuppgiftsombud kan inte behållas. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: I samband med att dataskydds- lagen trädde i kraft upphävdes personuppgiftslagen. Bestämmelser i registerförfattningar som hänvisar till personuppgiftslagen måste därför tas bort, antingen genom att bestämmelserna upphävs eller genom att hänvisningar i stället görs till dataskyddsförordningen och dataskydds- lagen. Regeringen återkommer till behovet av sådana bestämmelser (se avsnitt 5.8.1). I registerförfattningar föreskrivs ibland en skyldighet för den person- uppgiftsansvarige att utse personuppgiftsombud. Begreppet härrör från personuppgiftslagen och har varit nödvändigt för att genomföra dataskyddsdirektiv. I dataskyddsförordningen finns i stället bestämmelser om dataskyddsombud (artikel 37). Av förordningen framgår en direkt skyldighet att utse sådant ombud om personuppgiftsbehandling genomförs Prop. 2018/19:65 av en myndighet eller ett offentligt organ (artikel 37.1 a). om skyldighet att utse personuppgiftsombud innebär därför en otillåten nationell reglering av en direkt tillämplig bestämmelse i dataskydds- förordningen. Sådana bestämmelser bör därför inte behållas. Regeringens bedömning: Bestämmelser i de befintliga register- författningarna som i förhållande till regleringen i dataskyddslagen inskränker myndigheters möjligheter att behandla känsliga personuppgifter, eller i vart fall inte utvidgar dessa, är förenliga med dataskyddsförordningen. Det måste bedömas från fall till fall om bestämmelser i de befintliga registerförfattningarna som i förhållande till regleringen i dataskydds- lagen utvidgar myndigheters möjligheter att behandla känsliga personuppgifter är förenliga med dataskyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Artikel 9 i dataskyddsför- ordningen innehåller särskild reglering av behandling av särskilda kategorier av personuppgifter. Med detta begrepp avses sådana uppgifter som i personuppgiftslagen benämndes känsliga personuppgifter, alltså uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Dessutom omfattar begreppet genetiska och biometriska uppgifter samt uppgifter om sexuell läggning. I dataskyddslagen används numera begreppet känsliga personuppgifter om samtliga uppgifter som omfattas av regleringen i artikel 9. Utgångspunkten enligt artikel 9.1 är att behandling av känsliga person- uppgifter är förbjuden. Från förbudet görs sedan vissa undantag i artikel 9.2.För personuppgiftsbehandling som utförs av myndigheter är det i första hand undantaget i artikel som kan bli aktuellt. Enligt detta tillåts behandling av känsliga personuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Den nationella rätten ska i så fall uppfylla vissa krav, bl.a. ska den vara förenlig med det väsentliga innehållet i rätten till dataskydd. 2017/18:105 har regeringen närmare analyserat kraven för att kunna göra undantag från dataskyddsförordningens förbud att behandla känsliga personuppgifter. Detta har bl.a. utmynnat i den generella regleringen i 3 kap. 3 § dataskyddslagen av myndigheters möjligheter att under vissa förutsättningar behandla känsliga personuppgifter med stöd av artikel samt tillhörande sökförbud. Regeringen har alltså tidigare gjort bedömningen att det är förenligt med dataskyddsförordningen att myndigheter ges möjlighet att behandla känsliga personuppgifter i den utsträckning som framgår av 3 kap. 3 § Även de bestämmelser i registerförfattningarna som i 2018/19:65 förhållande till 3 kap. 3 § dataskyddslagen inskränker, eller i vart fall inte utvidgar, myndigheters möjligheter att behandla känsliga uppgifter bör i enlighet med detta vara förenliga med dataskyddsförordningen. Även bestämmelser som ger utrymme för en behandling i större omfattning än 3 kap. 3 § dataskyddslagen är tänkbar, men förenligheten med dataskyddsförordningen måste då prövas särskilt. 5.7Bestämmelser om registrerades rättigheter Dataskyddsförordningen innehåller en rad bestämmelser om registrerades rättigheter, såsom rätt till rättelse (artikel 16), radering (artikel 17), begränsning av behandling (artikel 18), att göra invändningar mot behandling (artikel 21) samt att få information om personuppgiftsincidenter (artikel 34). Motsvarigheter till dessa rättigheter finns delvis i personuppgiftslagen, medan de i andra delar innebär nyheter i svensk rätt. I den mån rättigheterna innebär att den registrerade, i större utsträckning än vad som tidigare gällt, kan förhindra eller försvåra personuppgifts- behandlingen vid någon myndighet finns det, som anges i promemorian, anledning att överväga att utnyttja möjligheterna till inskränkningar i artikel 23 i dataskyddsförordningen. Regeringen gör i detta avsnitt sådana bedömningar avseende ovannämnda rättigheter. Dataskyddsförordningen innehåller dessutom bestämmelser om reg- istrerades rätt till information i artikel 13–15. Dessa bestämmelser behandlas inte i detta avsnitt, utan regeringen återkommer till vissa överväganden kring bestämmelserna i anslutning till att de enskilda registerförfattningarna behandlas. Regeringens bedömning: Det saknas skäl att i registerförfattningarna inskränka den registrerades rätt till rättelse eller komplettering enligt artikel 16 i dataskyddsförordningen. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot promemorians Skälen för regeringens bedömning: Artikel 16 i dataskydds- förordningen innehåller en rätt för den registrerade att få felaktiga personuppgifter som rör honom eller henne rättade. Motsvarande rätt fanns tidigare i 28 § personuppgiftslagen, vilken de flesta registerförfattningar hänvisar till. Bestämmelsen i artikel 16 om rätt till rättelse innebär inte någon förändring i förhållande till vad som gällt . Regeringen delar därför bedömningen i promemorian att det saknas anledning att inom ramen för detta lagstiftningsärende överväga om det finns skäl att göra inskränkningar i denna rättighet. Artikel 16 i dataskyddsförordningen innehåller även en rätt för den registrerade att få ofullständiga personuppgifter kompletterade, bland annat genom att tillhandahålla ett kompletterande utlåtande. Denna rättighet, som också återfinns i artikel 16.1 i dataskyddsdirektivet, saknade motsvarighet i personuppgiftslagen. 2017/18:232 s. 247 konstateras Prop. 2018/19:65 att det är oklart vad motsvarande bestämmelse i dataskyddsdirektivet syftar på, men att en möjlig tolkning är att den registrerade ska ha rätt att ge in en skrivelse till den personuppgiftsansvarige där den registrerade utvecklar skälen för sin begäran. En sådan rätt följer redan av förvaltningslagen och regeringen delar därför bedömningen i promemorian att det inte finns skäl att inskränka den enskildes rätt till komplettering. I detta sammanhang förtjänar det att påpekas att rätten till komplettering inte kan uppfattas som en rättighet för en registrerad att tillföra uppgifter till ett författningsreglerat register. Om det i författningen regleras vilka uppgifter registret ska innehålla och uppgifterna om den registrerade inte är ofullständiga i förhållande till författningens krav, innebär alltså inte artikel 16 någon rätt för den registrerade att föra in ytterligare uppgifter i registret.