bet · H901KU28 · 2022-04-11 00:00:00 — Vidare ska uppgifterna enligt artikel 5.1 bl.a. vara adekvata och korrekta och får inte förvaras än vad som är nödvändigt (leden c, d och e). Uppgifterna måste också behandlas på ett sätt som säkerställer lämplig säkerhet (led f). Artiklarna 5 och 6 i dataskyddsförordningen är grundläggande och kumulativa. Dels måste någon av de rättsliga grunder som anges i artikel 6.1 vara tillämplig, dels måste samtliga principer i artikel 5.1 följas. För vissa typer av personuppgifter måste därutöver särskilda krav vara uppfyllda för att behandling ska få ske. Enligt artikel 9.1 i dataskyddsförordningen är det förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Enligt artikel 9.2 ska dock förordningens förbud inte tillämpas om någon av de situationer som beskrivs i punkterna a–j föreligger. Således kan känsliga personuppgifter behandlas under vissa förutsättningar när den registrerade lämnat sitt samtycke (artikel 9.2 a) eller vid viss behandling som avser arbetsrätt och social trygghet m.m. (artikel 9.2 b), skydd av en persons grundläggande intressen (artikel 9.2 c), stiftelser och ideella föreningar m.m. (artikel 9.2 d), uppgifter som offentliggjorts av den registrerade (artikel 9.2 e), rättsliga anspråk och dömande verksamhet (artikel 9.2 f), viktigt allmänt intresse (artikel ), hälso- och sjukvård m.m. (artikel 9.2 h), folkhälsa (artikel 9.2 i) samt arkiv, forskning och statistik (artikel 9.2 j). I dataskyddsförordningen har den registrerades rättigheter förstärkts i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Den information som ska tillhandahållas den registrerade har preciserats och utvidgats och det anges uttryckligen att den personuppgiftsansvarige ska tillhandahålla informationen i en begriplig och lättillgänglig form. Den personuppgiftsansvariges skyldighet att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter anges i artiklarna 13 och 14. Den registrerade har vidare enligt artikel 15 rätt att på begäran få tillgång till de personuppgifter som behandlas och viss information. I 5 kap. 1 och 2 §§ dataskyddslagen föreskrivs vissa undantag från bestämmelserna i dataskyddsförordningen om den registrerades rätt till information, rätt att få tillgång till personuppgifter och rätt till bekräftelse på om personuppgifter som rör honom eller henne behandlas. Enligt 5 kap. 3 § dataskyddslagen bemyndigas regeringen att meddela ytterligare föreskrifter om vissa begränsningar av de registrerades rättigheter och de personuppgiftsansvarigas skyldigheter enligt dataskyddsförordningen. Enligt artikel 16 har den registrerade rätt att på begäran få felaktiga personuppgifter rättade. Förutsättningarna för att den registrerade ska få sina personuppgifter raderade anges i artikel 17 (rätten att bli bortglömd). Det anges i artikel 17.1 att den registrerade ska ha rätt att utan onödigt dröjsmål få sina personuppgifter raderade av den personuppgiftsansvarige och att den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter under vissa förutsättningar. Således ska personuppgifterna raderas om något av följande gäller (artikel 17.1 a–f): – om uppgifterna inte längre behövs för de ändamål som de samlades in för. – om behandlingen grundar sig på den registrerades samtycke och han eller hon återkallar samtycket. – om behandlingen sker för direkt marknadsföring och den registrerade motsätter sig att uppgifterna behandlas. – om den enskilde motsätter sig personuppgiftsbehandling som sker inom ramen för myndighetsutövning eller efter en intresseavvägning och det inte finns berättigade skäl som väger tyngre än den registrerades intresse. – om personuppgifterna har behandlats olagligt. – om radering krävs för att uppfylla en rättslig förpliktelse. – om personuppgifterna avser barn och har samlats in i samband med erbjudande av informationssamhällets tjänster. I artikel 17.2 i dataskyddsförordningen föreskrivs att om den personuppgiftsansvarige har offentliggjort personuppgifterna och är skyldig att radera personuppgifterna enligt regleringen i artikel 17.1, ska den personuppgiftsansvarige med beaktande av tillgänglig teknik och kostnaden för genomförandet vidta rimliga åtgärder, inbegripet tekniska åtgärder, för att underrätta personuppgiftsansvariga som behandlar personuppgifterna om att den registrerade har begärt att de ska radera eventuella länkar till eller kopior eller reproduktioner av dessa personuppgifter. Av bestämmelsen i artikel 17.2 följer alltså att när personuppgifterna har publicerats eller på annat sätt gjorts offentliga (exempelvis i ett socialt nätverk, ett internetforum eller på en webbsida) räcker det inte alltid att de raderas där. I dessa situationer ska den som offentliggjort uppgifterna också vidta rimliga åtgärder för att informera andra som behandlar uppgifterna om den registrerades begäran så att även kopior av eller länkar till uppgifterna tas bort. I artikel 17.3 i dataskyddsförordningen finns undantag från den registrerades rätt till radering (artikel 17.1) och den personuppgiftsansvariges informationsskyldighet (artikel 17.2), bl.a. om personuppgiftsbehandlingen är nödvändig för att utöva rätten till yttrande- och informationsfrihet, uppfylla en rättslig förpliktelse, utföra en uppgift av allmänt intresse eller om behandlingen är ett led i myndighetsutövning. I artikel 18 anges att den registrerade under vissa omständigheter har rätt att kräva att behandlingen begränsas. Av artikel 19 i dataskyddsförordningen följer att om uppgifter raderas på den registrerades begäran, måste den personuppgiftsansvarige också informera varje mottagare till vilken den personuppgiftsansvarige har lämnat ut den registrerades personuppgifter om raderingen. Det gäller dock inte om detta skulle visa sig vara omöjligt eller medföra en oproportionerlig ansträngning. Den registrerade har också rätt att begära att få information om till vem hans eller hennes personuppgifter har lämnats ut. Förordningen innehåller i artikel 20 en bestämmelse som ger den registrerade rätt att få åtkomst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataportabilitet, om behandlingen grundar sig på den registrerades samtycke eller avtal med honom eller henne. Enligt artikel 21 har den registrerade rätt att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller f, dvs. som sker för att utföra en uppgift av allmänt intresse, i myndighetsutövning eller efter en intresseavvägning. En motsvarande rättighet föreskrevs även i dataskyddsdirektivet, men hade genomförts i personuppgiftslagen (1998:204), förkortad PUL, endast i fråga om direkt marknadsföring (11 § PUL). Dataskyddsförordningen innebär därmed en utvidgning av rätten att göra invändningar jämfört med tidigare ordning. Slutligen har den registrerade enligt huvudregeln i artikel 22 rätt att inte bli föremål för ett automatiserat individuellt beslutsfattande, inbegripet profilering. En nyhet i dataskyddsförordningen som saknar motsvarighet i dataskyddsdirektivet och PUL är administrativa sanktionsavgifter. Sanktionsavgifterna införs enligt skäl 148 till förordningen för att stärka verkställigheten av densamma. Bestämmelserna om administrativa sanktionsavgifter finns i förordningens artikel 83 och förtydligas i skäl 148–150. Av artikel 83.1 framgår att det är den nationella tillsynsmyndigheten som ska besluta om sanktionsavgifter vid överträdelser av förordningens bestämmelser. Det stora flertalet bestämmelser i förordningen som innehåller rättigheter för registrerade eller skyldigheter för personuppgiftsansvariga, personuppgiftsbiträden, certifieringsorgan och övervakningsorgan omfattas av regleringen av sanktionsavgifter, vilket framgår av artikel 83.4–6. Enligt artikel 83.7 är det upp till varje medlemsstat att fastställa regler om och i vilken utsträckning sanktionsavgifter ska kunna påföras offentliga myndigheter och organ i den medlemsstaten. I 6 kap. 2 § dataskyddslagen anges att tillsynsmyndigheten får ta ut sanktionsavgifter även av statliga och kommunala myndigheter vid överträdelser av bestämmelserna i dataskyddsförordningen. Av 6 kap. 3 § dataskyddslagen följer att tillsynsmyndigheten får ta ut sanktionsavgift enligt EU:s dataskyddsförordning även vid överträdelser av förordningens bestämmelser om behandling av personuppgifter som rör lagöverträdelser. är tillsynsmyndighet enligt bl.a. dataskyddsförordningen och dataskyddslagen (2 a § förordningen med instruktion för ). Skyddet av privatlivet vid överföring av personuppgifter till ett land utanför EU Enligt artikel 44 i dataskyddsförordningen får överföring av personuppgifter till ett tredjeland, dvs. ett land utanför EU, eller en internationell organisation bara ske under förutsättning att det landet säkerställer en skyddsnivå för uppgifterna som motsvarar förordningens. Enligt artikel 45 kan kommissionen slå fast att ett tredjeland eller en organisation säkerställer en adekvat skyddsnivå. Bedömningen ska bl.a. beakta rättsstatsprincipen, respekten för de mänskliga rättigheterna och de grundläggande friheterna, lagstiftning om allmän säkerhet, försvar, nationell säkerhet, straffrätt och dataskydd samt offentliga myndigheters tillgång till personuppgifter. Om det inte finns något beslut om adekvat skyddsnivå får personuppgifter överföras bara om den personuppgiftsansvarige inom EU har vidtagit lämpliga skyddsåtgärder. Sådana kan bl.a. utgöras av standardiserade dataskyddsbestämmelser som antas av kommissionen, och under förutsättning att det finns lagstadgade rättigheter och effektiva rättsmedel för de registrerade (artikel 46.1 och 46.2). publicerade nya standardavtalsklausuler för överföring av personuppgifter till tredjeland[7], dvs. som kan användas för att vidta lämpliga skyddsåtgärder enligt artikel 46.2 c) dataskyddsförordningen. Dessa standardavtalsklausuler kan användas när uppgifter överförs från en exportör som omfattas av dataskyddsförordningen till en importör som inte omfattas av förordningen. Privacy Shield är en mekanism i för självcertifiering. Det innebär att företag i kan anmäla sig till det amerikanska och meddela att de uppfyller de krav som ställs i Privacy Shield. Enligt ett tidigare beslut från var det tillåtet för personuppgiftsansvariga i EU att överföra personuppgifter till mottagare som har anslutit sig till Privacy Shield. slog emellertid fast i det s.k. Schrems II-målet[8] att Privacy mellan och inte gav ett tillräckligt skydd för personuppgifter när dessa förts över till . Domstolen motiverar sitt ställningstagande med att amerikanska myndigheter kan få åtkomst till överförda uppgifter genom nationella övervakningsprogram och att det i saknas effektiva rättsmedel för den som menar att hans eller hennes dataskyddsrättigheter har kränkts. Domen innebär att det är tillåtet för personuppgiftsansvariga i EU att med Privacy Shield som grund överföra personuppgifter till mottagare i . Europeiska dataskyddsstyrelsen har tagit fram rekommendationer om vilka ytterligare skyddsåtgärder som kan användas vid överföring av personuppgifter till länder utanför EU och EES när skyddsnivån i mottagarlandet inte kan anses tillförsäkra en likvärdig skyddsnivå. [9] Rekommendationerna innefattar också kriterier som tydliggör under vilka tänkbara omständigheter som en överföring inte är möjlig. Bedömningen av vilka åtgärder som ska användas och i vilken utsträckning det är tillräckligt för att uppnå en godtagbar skyddsnivå ska göras i varje enskilt fall och av exportören. har inlett förhandlingar med om ett nytt avtal om dataskydd vid överföring av personuppgifter. När frågan behandlades vid rådet för rättsliga och inrikes frågor () den 8–var ståndpunkt att möjligheten att överföra personuppgifter till är mycket viktig för , inte minst för svenska exportföretag, och att det därför är angeläget att ett nytt system, som är förenligt med krav på integritetsskydd, kommer på plats . kom EU-kommissionären för rättsliga frågor och handelsminister med ett gemensamt uttalande om att intensifiera förhandlingarna för att få fram ett förbättrat skydd för privatlivet vid dataöverföring mellan och som är förenlig med den s.k. Schrems II-domen. Vid möte den 7–informerade kommissionen medlemsstaterna om uppföljningen av Schrems II-domen. Frågan om ett nytt avtal förhandlas inom EU. Regeringen informerade om det pågående förhandlingsarbetet senast vid utskottets möte . Utskottet har tidigare behandlat motioner med samma eller liknande innehåll och då avstyrkt dessa (bet. 2014/15:KU15, bet. 2016/17:KU15, bet. 2017/18:KU38 och bet. 2018/19:KU26). Utskottet uttalade i sitt ställningstagande att det är viktigt att värna den personliga integriteten. Den tekniska utvecklingen har medfört nya integritetsrisker och på många områden krävs noggranna avvägningar mellan olika intressen och skyddet av den personliga integriteten för att en godtagbar balans ska uppnås. Ett av syftena med den genomförda dataskyddsreformen är att skapa en enhetlig och likvärdig nivå för skyddet av personuppgifter samt att stärka enskildas rättigheter i syfte att ge enskilda ökad kontroll över sina personuppgifter och att det är för tidigt att utvärdera dataskyddsreformen och följderna av det nya regelverket på dataskyddsområdet. Senast utskottet behandlade motioner med samma innehåll var (bet. 2020/21:KU19). Utskottet avstyrkte motionerna efter beredning i förenklad form. Utskottet vidhåller sitt tidigare ställningstagande och finner inte skäl att föreslå någon åtgärd med anledning av motionsyrkandena. En utredning om ökad kontroll över hur det offentliga använder personliga data Utskottets förslag i korthet avslår en motion om en utredning om ökad kontroll över hur det offentliga använder personliga data. Jämför reservation 4 (C). I partimotion 2021/22:3509 av m.fl. (C) begärs ett tillkännagivande om att tillsätta en utredning med uppdrag att stärka medborgarnas kontroll över hur det offentliga använder deras personliga data. Motionärerna menar att staten har fått nya möjligheter att övervaka medborgarna bl.a. genom kamerabevakning och möjlighet till insyn i digitala kommunikationer. En sådan övervakning kan grunda sig på legitima skäl, t.ex. i syfte att bekämpa brott. Övervakningen måste dock enligt motionärerna ske i sund balans med medborgarnas rätt till personlig integritet. Motionärerna vill stärka individens kontroll över sina personliga data och skapa bättre insyn i hur myndigheter och andra offentliga aktörer använder dessa uppgifter. Motionärerna menar att man bör överväga att införa ett system som innebär att medborgarna får information om när deras personliga data använts eller överförts från en myndighet till en annan i , undantaget vissa situationer som t.ex. vid pågående brottsutredning. Myndigheters behandling av personuppgifter enligt dataskyddsförordningen och dataskyddslagen Myndigheter är personuppgiftsansvariga för behandling av personuppgifter i respektive myndighets verksamhet. Vid behandling av personuppgifter måste myndigheter följa flera regelverk, såsom dataskyddsförordningen, dataskyddslagen och sektorsspecifik registerförfattning. Dataskyddsförordningen utgör den generella regleringen av behandling av personuppgifter inom EU . Dataskyddsförordningen kompletteras av dataskyddslagen och av sektorsspecifika registerförfattningar. En närmare redogörelse för den europeiska dataskyddsregleringen har redovisats tidigare i betänkandet (se s. 32 f.). Av redovisningen framgår bl.a. att varje behandling av personuppgifter måste vila på en rättslig grund enligt artikel 6.1 i dataskyddsförordningen. En sådan rättslig grund för behandling av personuppgifter är t.ex. att den registrerade har lämnat sitt samtycke till att hans eller hennes personuppgifter behandlas för ett eller flera specifika ändamål eller att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Utöver det grundläggande kravet på att all behandling måste vara laglig, i betydelsen att någon av de rättsliga grunder som anges i artikel 6.1 är tillämplig, måste varje behandling av personuppgifter leva upp till vissa principer eller allmänna krav enligt artikel 5.1 i dataskyddsförordningen. Det handlar bl.a. om krav på att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade samt att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Artiklarna 5 och 6 i dataskyddsförordningen är grundläggande och kumulativa. Dels måste någon av de rättsliga grunder som anges i artikel 6.1 vara tillämplig, dels måste samtliga principer i artikel 5.1 följas. I dataskyddsförordningen har den registrerades rättigheter förstärkts i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Den information som ska tillhandahållas den registrerade har preciserats och utvidgats och det anges uttryckligen att den personuppgiftsansvarige ska tillhandahålla informationen i en begriplig och lättillgänglig form. Den personuppgiftsansvariges skyldighet att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter anges i artiklarna 13 och 14. Den registrerade har vidare enligt artikel 15 rätt att på begäran få tillgång till de personuppgifter som behandlas och viss information. I 5 kap. 1 och 2 §§ dataskyddslagen föreskrivs vissa undantag från bestämmelserna i dataskyddsförordningen om den registrerades rätt till information, rätt att få tillgång till personuppgifter och rätt till bekräftelse på om personuppgifter som rör honom eller henne behandlas. Enligt artikel 16 har den registrerade rätt att på begäran få felaktiga personuppgifter rättade. Förutsättningarna för att den registrerade ska få sina personuppgifter raderade anges i artikel 17 (rätten att bli bortglömd). Det anges i artikel 17.1 att den registrerade ska ha rätt att utan onödigt dröjsmål få sina personuppgifter raderade av den personuppgiftsansvarige och att den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter under vissa förutsättningar. Personuppgifterna ska t.ex. raderas om uppgifterna inte längre behövs för de ändamål som de samlades in för eller om behandlingen grundar sig på den registrerades samtycke och han eller hon återkallar samtycket. Enligt artikel 21 har den registrerade rätt att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller f, dvs. som sker för att utföra en uppgift av allmänt intresse, i myndighetsutövning eller efter en intresseavvägning. En motsvarande rättighet föreskrevs även i dataskyddsdirektivet, men hade genomförts i PUL endast i fråga om direkt marknadsföring (11 § PUL). Dataskyddsförordningen innebär därmed en utvidgning av rätten att göra invändningar jämfört med tidigare ordning. Slutligen har den registrerade enligt huvudregeln i artikel 22 rätt att inte bli föremål för ett automatiserat individuellt beslutsfattande, inbegripet profilering. är tillsynsmyndighet enligt bl.a. dataskyddsförordningen och dataskyddslagen (2 a § förordningen med instruktion för ). Vidareutnyttjande av information som finns hos myndigheter Inom EU har två direktiv antagits som rör vidareutnyttjande av information som finns hos myndigheter. Det är det s.k. PSI-direktivet respektive öppna data-direktivet. PSI-direktivet har genomförts genom den s.k. PSI-lagen och beslutade regeringen om en lagrådsremiss med förslag på en ny lag som ska ersätta PSI-lagen och genomföra öppna data-direktivet. En redogörelse för direktiven och de lagar som syftar till att genomföra direktiven har lämnats på s. 28 f. i betänkandet. Dataskyddsregleringen bygger på en avvägning mellan bl.a. myndigheters och andra offentliga organs behov av att behandla personuppgifter i syfte att utföra sitt uppdrag och skyddet för den enskildes rätt till personlig integritet. Utskottet, som vill betona vikten av att en balans mellan dessa intressen upprätthålls, finner inte skäl att föreslå någon åtgärd med anledning av motionsyrkandet. En utredning om brottsbekämpning och integritet Utskottets förslag i korthet avslår en motion om en utredning om brottsbekämpning och integritet. Jämför reservation 5 (C). I kommittémotion 2021/22:3579 yrkande 19 av m.fl. (C) begärs ett tillkännagivande om en utredning som ser över frågan om integritet, brottsbekämpning och informationshantering. Motionärerna anför att ett ökat informationsutbyte och utvecklingen på teknik- och informationsområdet aktualiserar frågan om integritet. Integritetskänslig information måste hanteras rättssäkert och med respekt för den enskildes rätt till privatliv som hot och brott motverkas. En utredning bör därför enligt motionärerna tillsättas för att skapa ett modernt, rättssäkert och ändamålsenligt regelverk. Gällande rätt och pågående arbete Som redovisats närmare i det inledande bakgrundsavsnittet i detta betänkande finns bestämmelser till skydd för den enskildes personliga integritet i regeringsformen, och EU:s rättighetsstadga. Genom den s.k. dataskyddsreformen antogs vidare i EU nya regleringar på dataskyddsområdet, genom den generellt tillämpliga dataskyddsförordningen och den motsvarande regleringen inom det brottsbekämpande området, dataskyddsdirektivet. Förordningen har i svensk rätt kompletterats genom i första hand dataskyddslagen (2018:218), och direktivet har genomförts i huvudsak genom brottsdatalagen (2018:1177). Dessutom finns ett antal registerförfattningar på brottsdatalagens område för bl.a. Kamerabevakningslagen (2018:1200) kompletterar de allmänna reglerna om behandling av personuppgifter vid kamerabevakning. Syftet med kamerabevakningslagen är att tillgodose behovet av kamerabevakning för berättigade ändamål och att skydda fysiska personer mot otillbörligt intrång i den personliga integriteten vid sådan bevakning (2 §). Kamerabevakning kräver som huvudregel tillstånd av . Tillstånd förutsätter att intresset av bevakning väger tyngre än den enskildes intresse av att inte bli bevakad (8 §). Som också nämnts i det inledande bakgrundsavsnittet i detta betänkande har nya regler om lagring och tillgång till uppgifter om elektronisk kommunikation (s.k. datalagring) genomförts (prop. 2018/19:86, bet. 2018/19JuU27, rskr. 2018/19:296). Ändringarna baserades på förslag av Utredningen om datalagring och i betänkandet Datalagring – brottsbekämpning och integritet (SOU 2017:75). Lagändringarna innebar bl.a. att omfattningen av lagringsskyldigheten minskades och att lagringstiderna differentierades. Lagringen ska heller inte längre få ske utanför EU. Dessutom ska det krävas beslut av åklagare för att de brottsbekämpande myndigheterna ska få hämta in uppgifter om elektronisk kommunikation i underrättelseverksamhet. Som framkommit tidigare i betänkandet har en ny utredning tillsatts med uppdraget att se över hur datalagringsregleringen kan moderniseras (dir. 2021:58). Uppdraget ska redovisas . tillsatte regeringen en parlamentariskt sammansatt kommitté, , bestående av företrädare för de åtta riksdagspartierna (dir. 2014:65). Kommittén fick i uppdrag att kartlägga och analysera företeelser i samhället, inom både privat och offentlig sektor, som kan påverka den personliga integriteten. överlämnade betänkandet Så stärker vi den personliga integriteten (SOU 2017:52). Kommittén hade i sitt tidigare delbetänkande Hur står det till med den personliga integriteten? (SOU 2016:41) redovisat en kartläggning av risker för den personliga integriteten.