prop · H703106 · 2020-03-10 00:00:00 — Mot denna bakgrund anser regeringen inte att det finns något behov av en reglering i lagen avseende vid vilka konkreta omständigheter det är olämpligt att lämna ut personuppgifter elektroniskt. av Samhällsmagasinet Avsnitt anser att uttrycket lämnas ut elektroniskt är för vitt i förhållande till uttrycket medium för automatiserad behandling. Det har tidigare föreslagits att uttrycket utlämnande på medium för automatiserad behandling bör utmönstras och att uttrycket utlämnande i elektronisk form i stället ska användas (se slutbetänkande Myndighetsdatalag, SOU 2015:39 s. 442). Regeringen har även uttalat att ett modernare uttryckssätt än utlämnande på medium för automatiserad behandling är att föredra och att det i samband med översynen av registerförfattningarna på brottsdatalagens område är lämpligt att göra den förändringen (prop. 2017/18:269 s. 136). Den förändringen bör få genomslag även i den nu föreslagna lagen. Det kan även framhållas att en begreppsmässig modernisering avsetts men däremot inte någon ändring i sak. Även i fortsättningen bör det dock göras tydlig skillnad mellan elektroniskt utlämnande i form av direktåtkomst och elektroniskt utlämnande på annat sätt. Direktåtkomst förekommer vid en del myndigheter som lämnar uppdrag till . Däremot gör inte någon information tillgänglig för andra genom direktåtkomst. Det är också svårt att se att det skulle uppstå ett behov av det. Det bör därför, så som utredningen föreslår, införas en bestämmelse om att utlämnande i form av direktåtkomst inte får ske. Avslutningsvis finner regeringen, i likhet med Kammarrätten i , att bestämmelsen bör placeras i lagens första kapitel med allmänna bestämmelser. 6.3.15Rätt att meddela föreskrifter Regeringens förslag: I lagen ska det upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheten att göra vissa sökningar avseende känsliga personuppgifter, närmare föreskrifter om tillgången till personuppgifter samt ytterligare föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter elektroniskt. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår en bestämmelse som upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om tillgången till personuppgifter på dataskyddsförordningens tillämpningsområde. Någon motsvarande bestämmelse på brottsdatalens område föreslås dock inte. Remissinstanserna: anser att det inte finns något behov Prop. 2019/20:106 av de föreslagna bestämmelserna. synpunkter på bestämmelsens placering. I övrigt yttrar sig ingen remissinstans särskilt över förslaget. Skälen för regeringens förslag: Regeringen får med stöd av 8 kap. 7 § regeringsformen meddela dels föreskrifter om verkställighet av lag, dels förskrifter inom den s.k. restkompetensen, dvs. sådana föreskrifter som inte enligt grundlag ska meddelas av . Det kan finnas behov av föreskrifter om begränsningar av möjligheten att göra sökningar avseende känsliga personuppgifter och av möjligheten att lämna ut personuppgifter elektroniskt på sådan detaljnivå att dessa inte lämpar sig att intas i lag. På samma sätt förhåller det sig när det gäller regleringen av tillgången till personuppgifter i verksamhet. Behovet av en mer detaljerad reglering av tillgången till personuppgifter är lika stort inom dataskyddsförordningens som brottsdatalagens område. Regeringen anser därför, till skillnad från utredningen, att det i den lag som föreslås även bör införas en bestämmelse som upplyser om möjligheten att meddela föreskrifter om tillgången till personuppgifter på brottsdatalagens område. I likhet med utredningen och till skillnad från anser regeringen därför att det bör införas bestämmelser som upplyser om att regeringen eller den myndighet som regeringen bestämmer, med stöd av 8 kap. 7 § regeringsformen, kan meddela föreskrifter med den innebörd som behandlas ovan. Regeringen finner vidare, i likhet med Kammarrätten i , att bestämmelsen om föreskrifter avseende möjligheterna att lämna ut personuppgifter elektroniskt bör placeras i lagens första kapitel med allmänna bestämmelser. Regeringens förslag: Sanktionsavgift ska få tas ut av vid överträdelser på brottsdatalagens område av bestämmelserna om ändamål eller om sökförbud. Sanktionsavgift ska även få tas ut av verket vid överträdelser av föreskrifter som har meddelats i anslutning till lagen och som gäller begränsningar av möjligheten att göra sökningar avseende känsliga personuppgifter. Sanktionsavgiften ska bestämmas till högst . Regeringens bedömning: Dataskyddslagens bestämmelser om sanktionsavgifter är tillämpliga på behandling av personuppgifter på dataskyddsförordningens område enligt den föreslagna lagen. Det krävs inte några särskilda regler om tillsyn utöver regleringen i brottsdatalagen respektive dataskyddslagen. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår att sanktionsavgiften ska bestämmas till högst . Dessutom föreslår utredningen ett minimibelopp. Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig över förslaget. Justitiekanslern anför att bestämmelsen inte i alla delar överensstämmer med brottsdatalagen. Bestämmelsen ger, enligt 2019/20:106 Justitiekanslern, till exempel inte besked om vem som beslutar om sanktionsavgift, hur den ska bestämmas eller om den får jämkas. Skälen för regeringens förslag och bedömning Vissa bestämmelser bör införas för behandling av personuppgifter på brottsdatalagens område Bestämmelser om möjligheten att ta ut en sanktionsavgift vid vissa överträdelser av brottsdatalagen, finns i 6 kap. i nämnda lag. Enligt brottsdatalagen kan en sanktionsavgift tas ut bl.a. vid överträdelser av bestämmelser om hur personuppgifter får behandlas. Regeringen har tidigare uttalat att om en bestämmelse i en registerförfattning ersätter, preciserar eller på annat sätt kompletterar en bestämmelse i brottsdatalagen som kan föranleda sanktionsavgift, bör även överträdelser av bestämmelsen i registerförfattningen kunna föranleda sanktionsavgift (prop. 2017/18:269 s. 114). I linje med detta ställningstagande bör överträdelser av bestämmelserna på brottsdatalagens område om tillåtna ändamål och om sökförbud kunna föranleda sanktionsavgifter. Som utredningen föreslår bör motsvarande gälla vid överträdelser av föreskrifter om begränsningar av möjligheten att göra sökningar avseende känsliga personuppgifter, som har meddelats i anslutning till lagen. I övrigt finns det inte skäl att införa ytterligare bestämmelser om möjlighet att ta ut sanktionsavgift. Regeringen delar utredningens uppfattning att sanktionsavgiftens storlek bör bestämmas i enlighet med vad som gäller för överträdelser av brottsdatalagen enligt 6 kap. 3 § andra stycket. brottsdatalagen gjorde dock regeringen bedömningen att sanktionsavgiften ska bestämmas till högst och att något minimibelopp inte ska anges (prop. 2017/18:232 s. 325–329). Regleringarna bör inte skilja sig åt utan starka skäl. Några sådana finns inte, varför regeringen föreslår samma reglering för . Justitiekanslern anför att bestämmelsen inte ger besked om bl.a. vem som beslutar om sanktionsavgift, hur den ska bestämmas eller om den får jämkas och föreslår att en hänvisning till brottsdatalagens bestämmelser med relevant innehåll införs i lagen. I 5 kap. brottsdatalagen finns bestämmelser om tillsyn. Av 5 kap. 2 § framgår, liksom av definitionen av tillsynsmyndighet i 1 kap. 6 §, att tillsynen omfattar all personuppgiftsbehandling inom brottsdatalagens tillämpningsområde. Av 5 kap. 7 § brottsdatalagen framgår bl.a. tillsynsmyndighetens befogenhet att besluta om sanktionsavgifter. I brottsdatalagen finns det vidare bestämmelser om hur sanktionsavgiften ska bestämmas och vad som gäller i fråga om beslut om sanktionsavgift (6 kap. 3–7 §§). Den omständigheten att brottsdatalagen gäller subsidiärt i förhållande till den lag som föreslås innebär att de tillsyns-, handläggnings- och verkställighetsregler som finns i brottsdatalagen även gäller i de fall där sanktionsavgift tas ut för överträdelser av bestämmelser i registerförfattningarna (prop. 2017/18:269 s. 115 och prop. 2018/19:65 s. 64–68). Några bestämmelser om detta behövs därför inte i den lag som föreslås. Inga bestämmelser behöver införas för behandling Prop. 2019/20:106 av personuppgifter på dataskyddsförordningens område Enligt artikel 83 i dataskyddsförordningen har tillsynsmyndigheten i vissa fall möjlighet att påföra personuppgiftsansvariga och personuppgiftsbiträden administrativa sanktionsavgifter vid överträdelser av förordningens bestämmelser. Varje medlemsstat får fastställa regler för om och i vilken utsträckning sådana sanktionsavgifter kan påföras offentliga myndigheter och organ som är inrättade i medlemsstaten. Dataskyddslagen innehåller bestämmelser som kompletterar dataskyddsförordningens reglering i dessa delar. I 6 kap. 1 § föreskrivs att de befogenheter som tillsynsmyndigheten har enligt dataskyddsförordningen även ska gälla vid tillsyn över efterlevnaden av bestämmelserna i dataskyddslagen och andra föreskrifter som kompletterar dataskyddsförordningen. I 6 kap. finns även kompletterande bestämmelser avseende tillsynsmyndighetens handläggning och beslut. Vad gäller sanktionsavgifter anges det i 6 kap. 1 § dataskyddslagen att sanktionsavgifter får tas ut av myndigheter vid vissa överträdelser av dataskyddsförordningen. Även bestämmelser om avgiftens storlek finns i Regeringen anser att det saknas skäl att i registerförfattning, i den del som faller inom dataskyddsförordningens tillämpningsområde, ha ett annat förfarande för tillsyn och sanktioner än det som kommer att gälla för andra myndigheter enligt dataskyddslagen. Eftersom dataskyddslagen kommer att gälla vid behandling av personuppgifter på dataskyddsförordningens område, under förutsättning att annat inte följer av registerförfattning eller föreskrifter som har meddelats i anslutning till den, krävs det inte någon särskild reglering för att dataskyddslagens bestämmelser om tillsyn och sanktionsavgifter ska bli tillämpliga. Regeringen anser därför att det inte behöver införas några regler om tillsyn eller om sanktionsavgifter såvitt gäller personuppgiftsbehandling som omfattas av dataskyddsförordningen. Regeringens förslag: Brottsdatalagens bestämmelse om skyldighet för den personuppgiftsansvarige att ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med brottsdatalagen har orsakat, ska gälla vid behandling av personuppgifter i strid med den nu föreslagna lagen eller föreskrifter som har meddelats i anslutning till den. Regeringens bedömning: Några särskilda bestämmelser om skadestånd behövs inte på dataskyddsförordningens område. Utredningens förslag och bedömning överensstämmer med Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget eller bedömningen. Skälen för regeringens förslag och bedömning: Enligt 7 kap. 1 § brottsdatalagen ska den personuppgiftsansvarige ersätta den registrerade 2019/20:106 för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med brottsdatalagen, eller föreskrifter som har meddelats i anslutning till den, har orsakat. En sådan rätt till skadestånd bör gälla även när personuppgifter har behandlats i strid med den lag för som föreslås. Lagen bör därför innehålla en bestämmelse som anger att 7 kap. 1 § brottsdatalagen ska tillämpas vid behandling av personuppgifter på brottsdatalagens område i strid med lagen eller föreskrifter som har meddelats i anslutning till den. Artikel 82 i dataskyddsförordningen föreskriver att en person ska ha rätt till ersättning för skada som denne har lidit till följd av en överträdelse av förordningen. Av skäl 146 i förordningen följer att med behandling som strider mot förordningen avses även behandling som strider mot medlemsstaternas nationella rätt med närmare specifikation av förordningens bestämmelser. I 7 kap. 1 § dataskyddslagen upplyses om detta, dvs. att rätten till ersättning enligt dataskyddsförordningen gäller även vid överträdelser av bestämmelser i dataskyddslagen och andra författningar som kompletterar dataskyddsförordningen. Någon ytterligare bestämmelse om skadestånd behövs därför inte i den nu föreslagna lagen. Regeringens förslag: Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig över anser att bestämmelsen bör omformuleras på ett sätt som säkerställer alla aspekter på läkarnas fullgörande av arbetsuppgifter så att förslaget inte leder till att undersökningsläkare kan ta del av vissa handlingar som man kunnat ta del av tidigare. anser att det inte finns något behov av bestämmelsen. Skälen för regeringens förslag: Registerförfattningar innehåller ofta en bestämmelse som begränsar tillgången till personuppgifter. Dataskyddsförordningen innehåller inte någon uttrycklig sådan bestämmelse. I artikel 5.1 c uttrycks dock den grundläggande principen att personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Enligt artikel 24.1 gäller vidare att den personuppgiftsansvarige ska, med beaktande av bl.a. behandlingens art, omfattning, ändamål och riskerna, genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med förordningen. Enligt artikel 25.2 ska den personuppgiftsansvarige också genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, tiden för dess lagring och deras tillgänglighet. Enligt artikel 32 i dataskyddsförordningen har den personuppgiftsansvarige vidare en skyldighet att se till att en lämplig säkerhetsnivå för behandlingen av Detta ska ske bl.a. genom lämpliga tekniska Prop. 2019/20:106 och organisatoriska åtgärder. Den personuppgiftsansvariges skyldigheter i denna del återfinns även i de allmänna principer för personuppgiftsbehandling som framgår av artikel 5.1 f i dataskyddsförordningen. behandlar bl.a. stora mängder känsliga personuppgifter. För att minska risken för obefogade intrång i den personliga integriteten vid behandling av uppgifter anser regeringen, till skillnad från , att det bör införas en bestämmelse som uttryckligen begränsar den krets av personer som får ha tillgång till personuppgifter. Även om skyldigheten för personuppgiftsansvariga att på olika sätt begränsa tillgången till personuppgifter kan sägas följa av dataskyddsförordningen menar regeringen att bestämmelsen utgör en sådan specificering som enligt artikel 6.2 och 6.3 är tillåten i nationell rätt. Genom en sådan bestämmelse åstadkoms också tydligare överensstämmelse mellan vad som gäller för personuppgiftsbehandling på brottsdatalagens respektive dataskyddsförordningens tillämpningsområde. Av 3 kap. 6 § brottsdatalagen följer nämligen en skyldighet för den personuppgiftsansvarige att se till att tillgången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina Denna bestämmelse gäller för behandling av personuppgifter inom brottsdatalagens tillämpningsområde. har inga invändningar mot förslaget i sig, men menar att bestämmelsen bör omformuleras på ett sätt som säkerställer alla aspekter på läkarnas fullgörande av arbetsuppgifter. Av bestämmelsen följer att tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Enligt regeringen ligger detta i linje med dataskyddsförordningens grundläggande princip om uppgiftsminimering (artikel 5.1 c) och utgör en rimlig och naturlig avvägning mellan effektivitet och integritet. Om en uppgift behövs för ett tjänsteåliggande är det rimligt att arbetstagaren får tillgång till uppgiften, men inte annars. Regeringen finner därför inte skäl att omformulera bestämmelsen och därigenom frångå den systematik som följer av ett flertal registerförfattningar på dataskyddsförordningens tillämpningsområde och av brottsdatalagen. Regeringens bedömning: Det behövs ingen bestämmelse som föreskriver en skyldighet för att utse ett dataskyddsombud. Bestämmelserna i dataskyddsförordningen och brottsdatalagen är tillräckliga. Det bör inte införas en författningsreglerad skyldighet för dataskyddsombudet att anmäla till tillsynsmyndigheten om den personuppgiftsansvarige bryter mot bestämmelser för behandling av personuppgifter och rättelse inte vidtas. Utredningens förslag och bedömning överensstämmer delvis med Enligt utredningens förslag ska dataskyddsombud personuppgiftsansvariga bryter mot bestämmelser för behandling av personuppgifter och rättelse inte vidtas. Remissinstanserna: anser att det inte finns något behov av den bestämmelse som utredningen föreslår. I övrigt yttrar sig inte någon remissinstans särskilt i denna del. Skälen för regeringens bedömning: Bland den person- uppgiftsansvariges skyldigheter finns ett krav på att i vissa fall utse ett innehåller inte någon definition av vad som är ett dataskyddsombud. brottsdatalagen framgår dock att ett dataskyddsombud är den person som utses av den personuppgiftsansvarige för att självständigt se till att person- uppgifter behandlas författningsenligt och på ett korrekt sätt (1 kap. 6 §). Enligt dataskyddsförordningen ska den personuppgiftsansvarige och personuppgiftsbiträdet utnämna ett dataskyddsombud bl.a. behandlingen av personuppgifter utförs av en myndighet (artikel 37.1 a). Motsvarande bestämmelse finns i artikel 32.1 i dataskyddsdirektivet, som anger att medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska utnämna ett dataskyddsombud. Från denna skyldighet får undantas domstolars och andra oberoende rättsliga myndigheters dömande Dataskyddsdirektivet genomförs i denna del av 3 kap. 13 § brottsdatalagen, som anger att den personuppgiftsansvarige ska utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. dessa bestämmelser i förordningen respektive brottsdatalagen, skyldigt att utse ett eller flera dataskyddsombud. Regeringen instämmer därmed i utredningens bedömning att det inte finns något behov av en bestämmelse i lagen som föreskriver en skyldighet att utse ett sådant ombud. Dataskyddsombudets uppgifter framgår, såvitt gäller den behandling av personuppgifter som äger rum inom dataskyddsförordningens tillämpningsområde, av artikel 39. Artikeln innehåller en uppräkning av de uppgifter ett dataskyddsombud minst ska ha och lämnar således möjligheten öppen för medlemsstaterna att föreskriva ytterligare uppgifter Av artikel 38.4 framgår dessutom att dataskyddsombudet ska vara tillgängligt för registrerade, eftersom bestämmelsen anger att den registrerade får kontakta dataskyddsombudet med avseende på alla frågor som rör behandlingen av dennes personuppgifter och utövandet av dennes rättigheter enligt förordningen. På dataskyddsdirektivets område finns motsvarande bestämmelser huvudsakligen i artikel 34, som genomförs genom 3 kap. 14 och 15 §§ Dataskyddsombudets uppgifter är i stort desamma inom båda regelkomplexens respektive tillämpningsområde. Utredningen om 2016 års dataskyddsdirektiv föreslog att dataskyddsombudet att anmäla till tillsynsmyndigheten om den personuppgiftsansvarige bryter mot bestämmelser för behandling av personuppgifter och rättelse inte vidtas. Denna reglering hade inte sitt ursprung i dataskyddsdirektivet, utan föreslogs med motiveringen att det är viktigt att dataskyddsombud uppmärksammar tillsynsmyndigheten på eventuella problem och brister, särskilt om den personuppgiftsansvarige inte rättar sig efter ombudets påpekanden (SOU 2017:29 s. 348). införandet av brottsdatalagen gjorde dock regeringen bedömningen att Prop. 2019/20:106 dataskyddsombuden inte bör ha en sådan författningsreglerad skyldighet 2017/18:232 s. 205). Regeringen framhöll att någon motsvarande anmälningsskyldighet inte gäller på dataskyddsförordningens område och att det inte är motiverat att införa en sådan skyldighet endast inom brottsdatalagens tillämpningsområde. Mot denna bakgrund anser regeringen, till skillnad från utredningen men i likhet med , att det inte bör införas någon anmälningsskyldighet för dataskyddsombuden i den nu föreslagna lagen. Regeringens bedömning: Det bör inte införas en bestämmelse om att , ifall någon begär information och uppgifter enligt artikel 15 i dataskyddsförordningen oftare än en gång , ska få ta ut en rimlig avgift eller avslå begäran. Utredningens förslag överensstämmer inte med regeringens bedömning. Utredningen föreslår att det ska införas en bestämmelse som innebär att om någon begär information och uppgifter enligt artikel 15 i dataskyddsförordningen oftare än en gång , ska få ta ut en rimlig avgift eller avslå begäran. Remissinstanserna: anser att det inte finns något behov av bestämmelsen. I övrigt yttrar sig inte någon remissinstans särskilt i denna del. Skälen för regeringens bedömning: Av artikel 15 i dataskyddsförordningen framgår att den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och viss närmare preciserad information. Av artikel 12.5 i dataskyddsförordningen följer att all kommunikation och samtliga åtgärder som vidtas enligt artikel 15 ska tillhandahållas kostnadsfritt. Om en begäran från en registrerad är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art, får den personuppgiftsansvarige antingen ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla informationen eller vidta den åtgärd som begärts, eller vägra att tillmötesgå begäran. Det åligger den personuppgiftsansvarige att visa att begäran är uppenbart ogrundad eller orimlig. Motsvarande reglering om enskildas rätt till information finns i dataskyddsdirektivet i bl.a. artikel 12. Av artikel 12.4 framgår att informationen ska tillhandahållas kostnadsfritt och att den personuppgiftsansvarige, om en begäran är uppenbart ogrundad eller orimlig, särskilt på grund av att den är repetitiv, antingen får ta ut en rimlig avgift eller vägra att tillmötesgå begäran. Genomförandet i svensk rätt återfinns i 4 kap. 12 § brottsdatalagen. Bestämmelsen anger att information enligt 3 § i samma kapitel, som i huvudsak motsvarar den information som ska lämnas enligt artikel 15 i förordningen, ska lämnas utan avgift en gång . Om någon begär information och uppgifter enligt 3 § oftare än en gång , får den personuppgiftsansvarige ta ut en rimlig avgift eller avslå begäran. 2019/20:106 Artiklarna 12 och 15 i dataskyddsförordningen är direkt tillämpliga. Enligt regeringens bedömning är det tveksamt om det på dataskyddsförordningens område finns utrymme att i nationell rätt föreskriva att en begäran som sker oftare än en gång får avslås eller att en rimlig avgift får tas ut. Det finns, enligt regeringens bedömning, inte heller förutsättningar att, när det gäller personuppgiftsbehandling, begränsa enskildas rätt till information enligt artikel 15 med stöd av artikel 23 i dataskyddsförordningen. I likhet med anser regeringen därför inte att lagen bör innehålla en sådan bestämmelse som utredningen föreslår. Begränsning av rätten till information om Regeringens förslag: Den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident enligt artikel 34 i dataskyddsförordningen ska inte gälla sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag