Source: https://www.lagtinget.ax/arenden/LF%209%7C2018-2019/lagforslag-fran-alands-landskapsregering-lf-9-2018-2019-48964
Timestamp: 2019-09-19 11:29:26+00:00

Document:
Lagförslag från Ålands landskapsregering LF 9/2018-2019 | Ålands lagting
Lagförslag från Ålands landskapsregering LF 9/2018-2019
LAGFÖRSLAG nr 9/2018-2019
Dataskyddsförordningen började tillämpas den 25 maj 2018. I lagförslag nr 14/2017–2018 har landskapsregeringen tidigare föreslagit antagandet av landskapslagstiftning som kompletterar dataskyddsförordningen och som riktar sig till alla andra myndigheter inom landskaps- och kommunalförvaltningen än Ålands polismyndighet. Lagstiftningen antogs av lagtinget den 21 november 2018. Detta nya lagförslag utgår från att rikets dataskyddslagstiftning ska tillämpas då personuppgifter behandlas inom landskapets resterande behörighet över skyddet av personuppgifter. Den föreslagna blankettlagen syftar till ett enhetligt skydd av personuppgifter inom den privata sektorn och Ålands polismyndighet. Samtidigt ska blankettlagen genomföra det dataskyddsdirektiv som riktar sig till brottsbekämpande myndigheter.
2. Lagstiftning före EU:s dataskyddsreform.. 3
2.1. EU-lagstiftning. 3
2.2. Landskapslagstiftning. 4
2.3. Rikslagstiftning. 5
3. EU:s dataskyddsreform.. 5
3.1. Dataskyddsförordningen. 5
3.2. Dataskyddsdirektivet 6
3.3. Dataskyddsreformen i Finland och Sverige. 9
4. Landskapsregeringens överväganden. 10
4.1. Blankettlagstiftning. 10
4.2. Rikslagar som föreslås gälla inom landskapets behörighet 11
4.3. Tillsynsfunktionen. 13
5. Lagstiftningsbehörighet 14
5.1. Behörighetsfördelningen och skyddet av personuppgifter 14
5.2. Grundlagen och skyddet för personuppgifter 15
6. Landskapsregeringens förslag. 17
7. Förslagets verkningar 18
8. Ärendets beredning. 19
Detaljmotivering. 20
1. Landskapslag om tillämpning på Åland av riksförfattningar om dataskydd. 20
2. Landskapslag om ändring av 5 kap. 41 § polislagen för Åland. 24
3. Landskapslag om upphävande av 34b § 2 och 3 mom. landskapslagen om miljöskydd 24
Lagtext 25
L A N D S K A P S L A G om tillämpning på Åland av riksförfattningar om dataskydd 25
L A N D S K A P S L A G om ändring av 5 kap. 41 § polislagen för Åland. 26
L A N D S K A P S L A G om upphävande av 34b § 2 och 3 mom. landskapslagen om miljöskydd 27
Bilaga 1. 28
Dataskyddslag (FFS 1050/2018) 28
Bilaga 2. 39
Lag om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (FFS 1054/2018) 39
Bilaga 3. 58
Regeringens proposition till riksdagen med förslag till lag om behandling av personuppgifter i polisens verksamhet och till vissa lagar som har samband med den. 58
Parallelltexter 59
Europeiska unionens råd antog på våren 2016 både Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG, senare dataskyddsförordningen, och Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, senare dataskyddsdirektivet. EU:s dataskyddsreform har medfört ett omfattande behov av lagstiftningsåtgärder i medlemsstaterna, trots att dataskyddsförordningen är direkt tillämplig inom hela EU sedan den 25 maj 2018. Dataskyddsförordningen innehåller nämligen ett omfattande handlingsutrymme, dvs. många bestämmelser förpliktar eller tillåter medlemsstaterna att anta kompletterande lagstiftning. Därtill ska dataskyddsdirektivet i sin helhet genomföras i medlemsstaternas lagstiftning eftersom det rör sig om ett traditionellt EU-direktiv.
Tidigare har landskapsregeringen i lagförslag nr 14/2017–2018 föreslagit att det antas landskapslagstiftning som kompletterar dataskyddsförordningen. I det lagförslaget redogör landskapsregeringen för den lagstiftningsmodell som ska ligga till grund för skyddet av personuppgifter inom landskapets behörighetsområden. Lagstiftningsmodellen bygger på samma principer som gällande lagstiftning och består av tre huvudsakliga delar. Den första delen består av en allmän landskapslag som kompletterar dataskyddsförordningens bestämmelser. Landskapslagen innehåller från rikslagstiftningen materiellt självständiga bestämmelser och ska tillämpas i samband med behandlingen av personuppgifter vid alla andra myndigheter inom landskaps- och kommunalförvaltningen än Ålands polismyndighet. Denna allmänna landskapslag antogs av lagtinget den 21 november 2018. Den andra delen består av blankettlagstiftning som gör rikets allmänna dataskyddslagstiftning gällande i samband med sådan behandling av personuppgifter inom den privata sektorn och Ålands polismyndighet som faller inom landskapets lagstiftningsbehörighet. Den tredje delen innehåller de bestämmelser om skyddet av personuppgifter som finns i särskild landskapslagstiftning. Det föreliggande lagförslaget anknyter till den andra delen i den ovan nämnda lagstiftningsmodellen.
2. Lagstiftning före EU:s dataskyddsreform
2.1. EU-lagstiftning
Den EU-lagstiftning som EU:s institutioner har antagit om skyddet av personuppgifter har till sin substans delats upp i ett allmänt regelverk om skyddet av personuppgifter och särskilda regler riktade till brottsbekämpande myndigheter. Före dataskyddsreformen har Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, senare 1995 års dataskyddsdirektiv, utgjort den primära allmänna EU-rättsakten om skyddet av personuppgifter. Det direktivet gäller inte på området för polissamarbete och straffrättsligt samarbete och inte heller på området för nationell säkerhet. Rådets rambeslut 2008/977/RIF av den 27 november 2008 om skydd av personuppgifter som gäller för polissamarbete och straffrättsligt samarbete, senare polisrambeslutet, innehåller bestämmelser om bland annat allmänna principer för behandlingen av personuppgifter, behandling av känsliga personuppgifter, rättelse, radering och gallring av personuppgifter, information till den registrerade samt skadestånd och sanktioner. Bestämmelser om behandlingen av personuppgifter hos polisen finns också i vissa särskilda EU-rättsakter som tillämpas på polissamarbete mellan EU-medlemsstater (se RP 242/2018 rd, s. 19–20). Europarådet har dessutom utfärdat en rekommendation R(87)15 om användning av personuppgifter inom polissektorn.
Redan före EU:s dataskyddsreform har det inom EU antagits ett antal andra rättsakter som berör skyddet av personuppgifter. Till exempel finns en särskild rättsakt om dataskyddet när EU:s institutioner och organ behandlar personuppgifter. Det bör även noteras att inom EU finns en särskild stadga om de grundläggande rättigheterna och stadgan innehåller rättigheter som är relevanta för skyddet av personuppgifter. Stadgan blev juridiskt bindande inom EU i och med ikraftträdandet av Lissabonfördraget den 1 december 2009. I stadgans artikel 8 föreskrivs att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Stadgan riktar sig till verksamhet som utförs av EU:s egna organ och institutioner och den blir tillämplig för medlemsstaterna, dvs. inklusive myndigheterna i landskapet, endast i de fall där de tillämpar EU-rätten. För en närmare redogörelse av den EU-lagstiftning som gällt före EU:s dataskyddsreform hänvisas till lagförslag nr 14/2017–2018 (se avsnitt 2.3 i det lagförslaget).
2.2. Landskapslagstiftning
Landskapslagstiftningen om skyddet av personuppgifter och personregister sträcker sig tillbaka till början av 1990-talet. I lagförslag nr 14/2017–2018 (se avsnitt 2.1 i det lagförslaget) har landskapsregeringen redogjort för gällande landskapslagstiftning om skyddet av personuppgifter. Därför redogörs i detta sammanhang enbart för de bestämmelser i landskapslagstiftningen som direkt berör detta lagförslag, dvs. skyddet av personuppgifter inom den privata sektorn och Ålands polismyndighet. För skyddet av personuppgifter inom den privata sektorn och Ålands polismyndighet har antagits landskapslagen (1999:50) om tillämpning i landskapet Åland av riksförfattningar om personuppgifter, senare gällande blankettlag. Valet av blankettlag motiverades främst med att lagstiftningsbehörigheten inom dessa områden är delad mellan landskapet och riket. Tillsynen över tillämpningen av den gällande blankettlagen i fråga om angelägenheter som faller under landskapets behörighet utövas av landskapsregeringen. Däremot finns en särskild tillsynsmyndighet, Datainspektionen, som utövar tillsyn i förhållande till alla andra myndigheter inom landskaps- och kommunalförvaltningen än Ålands polismyndighet.
Enligt den gällande blankettlagen ska personuppgiftslagen (FFS 523/1999) samt lagen om behandling av personuppgifter i polisens verksamhet (FFS 761/2003) äga tillämpning på Åland, om inte annat följer av blankettlagen eller särskilda bestämmelser. I den gällande blankettlagen finns bestämmelser om polismyndighetens rätt att få uppgifter ur vissa register hos landskapsmyndigheter. Till exempel har polismyndigheten rätt att få uppgifter ur motorfordonsbyråns fordonsregister som gäller fordon som polisen spanar efter eller som är föremål för förundersökning, polisundersökning eller annan undersökning. I den gällande blankettlagen finns också bestämmelser om polismyndighetens rätt att lämna ut behövliga uppgifter ur polismyndighetens personregister till motorfordonsbyrån för upprätthållande av fordonsregistret. Till dessa uppgifter hör dock inte uppgifterna ur det s.k. Europolinformationssystemet och Schengens nationella informationssystem.
I gällande landskapslagstiftning finns vissa andra bestämmelser som berör skyddet av personuppgifter hos Ålands polismyndighet. Om Ålands polismyndighets grundregister föreskrivs i landskapslagen (1999:49) om polisens grundregister. Enligt lagen ska polismyndigheten med hjälp av automatiserad databehandling föra ett grundregister med uppgifter om brottsanmälningar, i anslutning till anmälan vidtagna åtgärder eller annat som polisen behöver för att fullgöra sina åligganden. Grundregistret ska föras för att förebygga, upptäcka och utreda brott samt främja den allmänna ordningen och säkerheten. För att sköta sina åligganden och föra ett grundregister har polismyndigheten rätt att få den information den behöver ur de register landskapsregeringen och under denna lydande myndigheter eller inrättningar för. Lagen om behandling av personuppgifter i polisens verksamhet och personuppgiftslagen ska i tillämpliga delar, med de avvikelser som anges i lagen, iakttas beträffande det grundregister polismyndigheten för, till den del bestämmelserna gäller personregister avsedda för en polisenhets bruk. Tillsynen över lagen utövas av landskapsregeringen.
2.3. Rikslagstiftning
Personuppgiftslagen (FFS 523/1999) trädde i kraft den 1 juni 1999 och lagen genomför bestämmelserna i 1995 års dataskyddsdirektiv. I personuppgiftslagen föreskrivs bl.a. om de allmänna grundläggande förutsättningarna för behandling av personuppgifter. Det rör sig om en allmän lag och i andra riksförfattningar finns särskilda bestämmelser om skyddet av personuppgifter som tillämpas framom bestämmelserna i personuppgiftslagen. Verkställigheten av personuppgiftslagen styrs och övervakas av dataombudsmannen. Vid behov ska dataombudsmannen hänskjuta ett ärende att behandlas av datasekretessnämnden. Om dataombudsmannen och datasekretessnämnden föreskrivs i lagen om datasekretessnämnden och dataombudsmannen (FFS 389/1994).
I Finland finns det ovanligt rikligt med speciallagstiftning om behandling av personuppgifter. Det finns flera hundra specialförfattningar som gäller behandling av personuppgifter. Till exempel lagen om integritetsskydd i arbetslivet (FFS 759/2004) innehåller bestämmelser om behandlingen av arbetstagares personuppgifter medan straffregisterlagen (FFS 770/1993) föreskriver hur uppgifter i straffregistret får behandlas. Rikslagstiftningen utgår från att det finns speciallagar om behandlingen av personuppgifter hos myndigheterna inom de olika förvaltningsgrenarna. På behandlingen av personuppgifter hos polisen tillämpas som specialförfattning lagen om behandling av personuppgifter i polisens verksamhet som blankettlagen har gjort gällande inom landskapets behörighet (se avsnitt 2.2). Polisrambeslutet har främst genomförts genom antagandet av den rikslagen.
3. EU:s dataskyddsreform
3.1. Dataskyddsförordningen
Före EU:s dataskyddsreform utgjorde 1995 års dataskyddsdirektiv den centrala rättsakten på EU-nivå för skyddet av personuppgifter. Sedan 1995 har både den tekniska och ekonomiska utvecklingen varit mycket snabb. Detta har i sin tur medfört att personuppgifter numera används på ett annorlunda sätt, oftast i en elektronisk miljö, och i en helt annan omfattning. EU:s dataskyddsreform syftar till att beakta denna utveckling. Dataskyddsförordningen utgör reformens centrala slutprodukt och förordningen upphäver 1995 års dataskyddsdirektiv. Dataskyddsförordningen trädde i kraft den 24 maj 2016 och tillämpas från och med den 25 maj 2018. I lagförslag nr 14/2017–2018 har redogjorts närmare för innehållet i dataskyddsförordningen (se särskilt avsnitt 3.2 i det lagförslaget).
3.2. Dataskyddsdirektivet
EU-lagstiftningen om skyddet av personuppgifter före dataskyddsreformen har delats upp i 1995 års dataskyddsdirektiv och polisrambeslutet. Även dataskyddsreformen utgår från att det ska finnas ett allmänt regelverk om skyddet av personuppgifter och ett särskilt regelverk riktat till brottsbekämpande myndigheter. Till skillnad från dataskyddsförordningen är det samtidigt antagna dataskyddsdirektivet inte direkt tillämpligt i medlemsstaterna. Dataskyddsdirektivet är mera detaljerat och har ett vidare tillämpningsområde än polisrambeslutet. Polisrambeslutet har enbart tillämpats på gränsöverskridande behandling av personuppgifter medan dataskyddsdirektivet även tillämpas på behandling av personuppgifter som enbart sker inom medlemsstaterna.
Syftet med dataskyddsdirektivet är att säkerställa skyddet för personuppgifter på direktivets tillämpningsområde samt underlätta det fria flödet av uppgifter mellan polismyndigheter och straffrättsliga myndigheter i medlemsstaterna. Det är till sin karaktär ett s.k. minimidirektiv eftersom det inte hindrar medlemsstaterna från att införa bestämmelser om en högre skyddsnivå för den registrerades rättigheter. Dataskyddsdirektivet innehåller nio kapitel. Kapitlen tar upp allmänna bestämmelser, principer, den registrerades rättigheter, personuppgiftsansvarig och personuppgiftsbiträde, överföringar av personuppgifter till tredjeländer eller internationella organisationer, oberoende tillsynsmyndigheter, samarbete, rättsmedel, ansvar och sanktioner, genomförandeakter samt slutbestämmelser.
3.2.2. Tillämpningsområde och principer
Dataskyddsdirektivets tillämpningsområde definieras i artikel 2. Direktivet ska tillämpas på behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Direktivet ska också tillämpas när det är fråga om att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Direktivet ska inte tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten eller som utförs av unionens institutioner, organ och byråer. I artikel 3 definieras direktivets centrala begrepp. Till dessa hör behörig myndighet som primärt avser en offentlig myndighet som har behörighet att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot eller förebygga hot mot den allmänna säkerheten.
Artiklarna 4 — 11 innehåller bestämmelser om de allmänna principerna för behandling av personuppgifter. Medlemsstaterna ska enligt artikel 4 föreskriva att personuppgifter ska behandlas på ett lagligt sätt och att de ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas på ett sätt som står i strid med dessa ändamål. Kravet på att behandlingen ska vara laglig preciseras i artikel 8 enligt vilken behandling ska vara laglig endast om och i den mån behandlingen är nödvändig för att utföra en uppgift som utförs av en behörig myndighet inom direktivets tillämpningsområde och som sker på grundval av lag. Enligt vad som föreskrivs i artikel 6 ska det i tillämpliga fall och så långt det är möjligt göras en klar åtskillnad mellan personuppgifter som rör olika kategorier av registrerade, såsom personer som dömts för brott och brottsoffer. Även personuppgifter som grundar sig på fakta ska så lång det är möjligt åtskiljas från personuppgifter som grundar sig på personliga bedömningar. Artikel 11 innehåller bestämmelser om profilering. Direktivet förutsätter också att datasäkerheten och kvaliteten på uppgifterna säkerställs.
3.2.3. Registrerades rättigheter och myndigheters skyldigheter
Artiklarna 12 — 18 innehåller bestämmelser om vilka lagstiftningsåtgärder som krävs av medlemsstaterna för att trygga de registrerades rättigheter. Enligt artikel 13 ska den personuppgiftsansvarige göra bl.a. följande information tillgänglig för den registrerade: den personuppgiftsansvariges identitet, ändamålen med den behandling för vilken personuppgifterna är avsedda, uppgifter om dataskyddsombudet, om ett sådant finns, liksom även information om rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter och begränsning av behandlingen av personuppgifter som rör den registrerade. Enligt artikel 14 ska den registrerade ha rätt att av den personuppgiftsansvarige få bekräftelse av huruvida personuppgifter som rör honom eller henne håller på att behandlas. Den registrerade ska också ha rätt att få tillgång till personuppgifterna och få information bl.a. om ändamålen med behandlingen och dess rättsliga grund. Enligt artikel 16 ska den registrerade ha rätt att kräva att den personuppgiftsansvarige rättar felaktiga personuppgifter som rör den registrerade.
Direktivet gör det möjligt för den registrerade att utöva sina rättigheter genom en tillsynsmyndighet. Dock kan medlemsstaterna föreskriva om rätt att begränsa tillhandahållandet av ovannämnda uppgifter eller skyldigheten att rätta personuppgifter, om en sådan åtgärd är nödvändig för att undvika att hindra officiella förfaranden, för att trygga förebyggande, förhindrande, upptäckt, utredning eller lagföring av brott eller verkställighet att straffrättsliga påföljder, för att skydda den allmänna säkerheten, för att skydda den nationella säkerheten eller för att skydda andra personers rättigheter och friheter. Enligt artikel 18 får medlemsstaterna föreskriva i sin nationella lagstiftning om de registrerades rätt till insyn och rättelse, om personuppgifterna ingår i ett domstolsbeslut eller ett rättsligt protokoll eller ärende som behandlas i samband med brottsutredningar och straffrättsliga förfaranden. Enligt skäl 16 i direktivets ingress påverkar direktivet inte tillämpningen av principen om allmänhetens rätt att få tillgång till allmänna handlingar.
I artiklarna 19 — 34 föreskrivs det om den personuppgiftsansvariges och personuppgiftsbiträdets ansvar, säkerhet för personuppgifter och dataskyddsombudet. Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa, och kunna visa, att behandlingen utförs i enlighet med direktivet. Sådana åtgärder ska vidtas i synnerhet för att säkerställa att nödvändiga skyddsåtgärder integreras i behandlingen (s.k. inbyggt dataskydd) och att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas (s.k. dataskydd som standard). Den personuppgiftsansvarige och personuppgiftsbiträdet ska föra ett register över verksamheter i samband med behandling som de ansvarar för. De loggar som avses i artikel 25 ska föras i automatiserade behandlingsystem. Loggarna över läsning och utlämning ska göra det möjligt att fastställa motivering, datum och tidpunkt för sådan behandling och i möjligaste mån vem som har läst eller lämnat ut personuppgifter, samt vilka som har fått tillgång till personuppgifterna.
Artikel 27 innehåller bestämmelser om den personuppgiftsansvariges skyldighet att utföra en konsekvensbedömning avseende dataskydd. En bedömning ska utföras om en typ av behandling, med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Om det är fråga om ett nytt register som ska inrättas och en konsekvensbedömning visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken, ska tillsynsmyndigheten höras innan behandlingen av personuppgifterna inleds. Tillsynsmyndigheten ska höras också om typen av behandling medför en hög risk för de registrerades rättigheter och friheter, t.ex. vid användning av ny teknik eller nya rutiner eller förfaranden. Artikel 29 innehåller bestämmelser om den personuppgiftsansvariges och personuppgiftsbiträdets skyldighet att vidta tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå.
Den personuppgiftsansvarige ska vid en personuppgiftsincident utan onödigt dröjsmål och, om så är möjligt, inte senare än 72 timmar efter att ha fått vetskap om incidenten, anmäla den till tillsynsmyndigheten. Personuppgiftsbiträdet är för sin del skyldigt att underrätta den personuppgiftsansvarige om personuppgiftsincidenter. Den personuppgiftsansvarige ska informera också den registrerade om personuppgiftsincidenten om den sannolikt kommer att leda till en hög risk för fysiska personers rättigheter och friheter. Under de förutsättningar som anges i direktivet behöver den registrerade inte informeras. Medlemsstaterna ska föreskriva att den personuppgiftsansvarige ska utnämna ett dataskyddsombud. Medlemsstaterna får undanta domstolars och andra oberoende rättsliga myndigheters dömande verksamhet från denna skyldighet.
I artiklarna 35 — 38 finns det bestämmelser om vilka villkor som ska uppfyllas för att personuppgifter ska kunna överföras till tredjeländer eller internationella organisationer. Överföringen ska vara nödvändig när behöriga myndigheter i tredjelandet sköter uppgifter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Uppgifter kan överföras endast till ett sådant tredjeland för vilket Europeiska kommissionen har antagit ett beslut om adekvat skyddsnivå. Om kommissionen inte har antagit ett sådant beslut för landet i fråga, får uppgifterna överföras förutsatt att åtgärder för skydd av personuppgifterna har fastställts i ett avtal eller att den personuppgiftsansvarige har gjort en omfattande bedömning och dragit slutsatsen att lämpliga skyddsåtgärder för personuppgifterna föreligger. Om det inte finns något beslut av kommissionen eller lämpliga skyddsåtgärder saknas, får personuppgifter överföras endast av ytterst vägande skäl.
3.2.4. Tillsyn, rättsmedel och annat
Direktivet förutsätter att varje medlemsstat har minst en oberoende myndighet med ansvar att övervaka de i direktivet angivna rättigheterna i landet i fråga. Denna tillsynsmyndighet kan vara samma myndighet som övervakar efterlevnaden av dataskyddsförordningen. Varje tillsynsmyndighet ska vara oberoende. I dess behörighet ingår dock inte att utöva tillsyn över domstolar som behandlar personuppgifter inom ramen för sin dömande verksamhet. Enligt artikel 46 behandlar och undersöker tillsynsmyndigheten klagomål som gäller iakttagande av de rättigheter som anges i direktivet. Utöver sin tillsynsuppgift har den oberoende myndigheten omfattande uppgifter som handlar om att öka medvetenheten, ge rådgivning, avge yttranden och idka samarbete. Utförandet av tillsynsmyndigheters uppgifter ska i regel vara avgiftsfritt för den registrerade och för dataskyddsombudet.
Enligt artikel 52 ska alla registrerade personer ha rätt att lämna in ett klagomål till tillsynsmyndigheten om de anser att behandling som avser dem står i strid med de bestämmelser som antas i enlighet med direktivet. I artikel 53 och 54 finns bestämmelser som ska garantera rätten till ett effektivt rättsmedel, både i förhållande till tillsynsmyndigheten och en personuppgiftsansvarig eller ett personuppgiftsbiträde. Den registrerade ska också ha rätt till ersättning för materiell eller immateriell skada till följd av en åtgärd som står i strid med de bestämmelser som antas i enlighet med direktivet. Medlemsstaterna ska föreskriva sanktioner för överträdelser av bestämmelser som antas enligt direktivet och ska vidta de åtgärder som krävs för att säkerställa att dessa sanktioner genomförs. Sanktionerna ska vara effektiva, proportionella och avskräckande.
Direktivet förutsätter att medlemsstaterna senast den 6 maj 2018 antar och offentliggör de lagar och andra författningar som är nödvändiga för att följa direktivet. De ska genast överlämna texten till dessa bestämmelser till kommissionen och tillämpa dem från och med den 6 maj 2018. Medlemsstaterna får dock föreskriva att de automatiserade behandlingssystem som inrättades före den 6 maj 2016, när det innebär oproportionella ansträngningar, ska bringas i överensstämmelse med artikel 25 om loggning senast den 6 maj 2023. Om fullgörandet av skyldigheten att föra loggar under exceptionella omständigheter skulle medföra allvarliga problem för driften av det automatiserade behandlingssystemet, kan övergångsperioden förlängas till högst den 6 maj 2026.
3.3. Dataskyddsreformen i Finland och Sverige
3.3.1. Finland
I detta lagförslag begränsas redogörelsen av beredningsarbetet i Finland huvudsakligen till det som har hänt efter att landskapsregeringen lämnade lagförslaget nr 14/2017–2018 till lagtinget den 8 mars 2018. För den tidigare beredningen i Finland, se avsnitt 3.3.1 i det tidigare lagförslaget. Rikets regering överlämnade den 1 mars 2018 en proposition till riksdagen innehållande förslag till dataskyddslag (RP 9/2018 rd). Propositionen var föremål för en långvarig behandling i riksdagen. Riksdagen antog dataskyddslagen och annan lagstiftning som kompletterar dataskyddsförordningen den 13 november 2018. Samtidigt fattade riksdagen beslut om att upphäva personuppgiftslagen och lagen om datasekretessnämnden och dataombudsmannen. Dataskyddslagen (FFS 1050/2018) träder i kraft den 1 januari 2019.
När det gäller genomförandet av dataskyddsdirektivet så överlämnade rikets regering den 5 april 2018 en proposition till riksdagen innehållande förslag till en lag om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (RP 31/2018 rd). Riksdagen antog den föreslagna lagstiftningen den 13 november 2018. Lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (FFS 1054/2018) träder i kraft den 1 januari 2019. Det har också överlämnats ett stort antal propositioner till riksdagen där det föreslås dataskyddslagstiftning inom enskilda förvaltningsområden. I detta sammanhang är propositionen innehållande ett förslag till lag om behandling av personuppgifter i polisens verksamhet av särskilt intresse. Propositionen överlämnades den 22 november 2018 till riksdagen (RP 242/2018 rd).
3.3.2. Sverige
I Sverige påbörjades ett omfattande utredningsarbete med anledning av dataskyddsreformen. Dataskyddsutredningen utgör den huvudsakliga utredningen (SOU 2017:39). På basis av utredningen överlämnade regeringen till riksdagen den 15 februari 2018 förslaget till ny dataskyddslagstiftning som ska komplettera dataskyddsförordningen (prop. 2017/18:105). Riksdagen fattade beslut i ärendet i slutet av april 2018 och lagändringarna trädde i kraft den 25 maj 2018. Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning utgör den huvudsakliga svenska författningen.
När det gäller implementeringen av dataskyddsdirektivet så tillsattes en särskild utredning för att ta fram förslag till ny lagstiftning för polisens och andra brottsbekämpande myndigheters personuppgiftsbehandling (SOU 2017:29). Den svenska regeringen överlämnade en proposition till riksdagen den 18 april 2018 enligt vilken dataskyddsdirektivet i huvudsak genomförs genom en ny ramlag, brottsdatalagen (prop. 2017/18:232). Lagstiftningen trädde i kraft den 1 augusti 2018. Den svenska regeringen har också föreslagit en ny personuppgiftslag för polisen (lagen om polisens behandling av personuppgifter inom brottsdatalagens område). Lagen kompletterar brottsdatalagen (prop. 2017/18:269). Det finns också ett stort antal utredningar och förslag som syftar till anpassning av svensk sektorlagstiftning till dataskyddsförordningen.
4. Landskapsregeringens överväganden
4.1. Blankettlagstiftning
I avsnitt 1 framgick att den övergripande lagstiftningsmodellen för genomförandet av EU:s dataskyddsreform i landskapslagstiftningen består av tre huvudsakliga delar. Detta lagförslag, som anknyter till den andra delen, gäller vilka dataskyddsregler som ska gälla i samband med behandling av personuppgifter som sker inom den privata sektorn och Ålands polismyndighet. I dagsläget har rikslagstiftning om skyddet av personuppgifter gjorts gällande inom dessa områden, också till den del behandlingen faller inom landskapets behörighet.
Blankettlagstiftning kan vara särskilt ändamålsenlig om behörigheten inom ett rättsområde är delad eller om det rör sig om teknisk reglering där mervärdet av egna bestämmelser är marginell. Detta är fallet i förhållande till den behandling av personuppgifter som sker inom den privata sektorn och Ålands polismyndighet. När det gäller specifikt polisens uppgifter på Åland så kan konstateras att Ålands polismyndighet har tillgång till rikstäckande myndighetsregister som används vid skötseln av polismyndighetens i lag föreskrivna uppgifter. Merparten av personuppgifterna i dessa register har samlats in i riket och används av riksmyndigheterna enligt rikslagstiftningen. Landskapsregeringen anser att det fortfarande finns vägande skäl för att rikets dataskyddslagstiftning ska tillämpas i samband med all behandling av personuppgifter inom Ålands polismyndighet och den privata sektorn.
Sedan den 25 maj 2018 tillämpas dataskyddsförordningens direkt tillämpliga bestämmelser också inom Ålands polismyndighet och den privata sektorn. I rikslagstiftningen preciseras och kompletteras dataskyddsförordningen av dataskyddslagen. Dataskyddsförordningen och den kompletterande dataskyddslagen utgör tillsammans det centrala regelverket för skyddet av personuppgifter inom den privata sektorn. Även om både dataskyddsförordningen och dataskyddslagen i viss mån kan komma att tillämpas i polisens verksamhet baserar sig skyddet av personuppgifter inom polisen huvudsakligen på särskild rikslagstiftning.
Varken dataskyddsförordningen eller dataskyddslagen tillämpas på sådan behandling av personuppgifter som regleras i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten. Det är huvudsakligen den rikslagen som genomför dataskyddsdirektivet i riket, även om också den i riket nyligen föreslagna lagen om behandling av personuppgifter i polisens verksamhet kommer att vara en central riksförfattning om dataskyddet inom polisen. Det är således tre rikslagar som med stöd av en ny blankettlag ska göras tillämpliga också inom landskapets lagstiftningsbehörighet. Gällande blankettlag ska upphävas.
4.2. Rikslagar som föreslås gälla inom landskapets behörighet
4.2.1. Dataskyddslagen
Den dataskyddslag som publicerades den 10 december 2018 och som träder i kraft den 1 januari 2019 kompletterar och preciserar dataskyddsförordningen. Dataskyddslagen är en allmän lag som tillämpas på behandling av personuppgifter. I och med att den kompletterar och preciserar dataskyddsförordningen utgör den ingen självständig och samlad lagstiftningshelhet, utan den tillämpas parallellt med dataskyddsförordningen. Undantag från dataskyddslagens bestämmelser kan göras i speciallagstiftning, om det är möjligt inom ramen för det handlingsutrymme som den nationella lagstiftaren ges i dataskyddsförordningen. Enligt dataskyddslagen blir dataskyddsförordningen med vissa avgränsningar tillämplig också när behandlingen av personuppgifter inte omfattas av tillämpningsområdet för dataskyddsförordningen eller -direktivet.
Dataskyddslagen innehåller 38 paragrafer fördelade på sex kapitel. Dataskyddslagens struktur följer i det stora hela dataskyddsförordningens struktur. Dataskyddslagen innehåller bestämmelser om den rättsliga grunden för behandling av personuppgifter, om behandling av särskilda kategorier av personuppgifter i vissa situationer, om den åldersgräns som tillämpas när informationssamhällets tjänster erbjuds till barn, om tillsynsmyndigheten, om rättssäkerhet och om särskilda behandlingssituationer. Dataombudsmannen är den nationella tillsynsmyndighet som avses i dataskyddsförordningen. För närmare information om dataskyddslagens innehåll hänvisas till lagtexten samt förarbeten till lagen (FFS 1080/2018, RP 9/2018 rd, GrUU 14/2018 rd, LaUU 5/2018 rd, GrUU 24/2018 rd, FvUB 13/2018 rd). Landskapsregeringen konstaterar att dataskyddslagens innehåll till stor del motsvarar det i den av lagtinget den 21 november antagna landskapslagen om dataskydd inom landskaps- och kommunalförvaltningen.
Med stöd av den föreslagna blankettlagen kommer det allmänna skyddet av personuppgifter inom den privata sektorn på Åland att basera sig på dataskyddsförordningen och dataskyddslagen, oberoende av om behandlingen faller inom landskapets eller rikets behörighetsområde. Dataskyddsförordningen och dataskyddslagen kommer också att tillämpas inom Ålands polismyndighet, men endast till den del de två rikslagar som det redogörs för i avsnitt 4.2.2 och 4.2.3 inte är tillämpliga. Dataskyddsförordningen och dataskyddslagen tillämpas inom polisen på uppgifter i anknytning till tillståndsförvaltning samt på sådana övervakningsuppgifter som föreskrivits för polisen där det inte är fråga om att förebygga, avslöja eller utreda brott eller föra brott till åtalsprövning eller åtgärder i anknytning till dessa för att upprätthålla allmän ordning och säkerhet (se RP 242/2018 rd, s. 24). På polisens behandling av personuppgifter tillämpas i dagsläget rikets personuppgiftslag som allmän lag. Dataskyddslagen upphäver personuppgiftslagen. Eftersom gällande blankettlag också ska upphävas kommer inte personuppgiftslagen heller att tillämpas inom landskapets behörighet efter att den nya blankettlagen träder i kraft.
4.2.2. Lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten
Lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten publicerades den 10 december 2018 och den träder i kraft den 1 januari 2019. Genom denna lag genomförs dataskyddsdirektivet i riket. Lagen ska tillämpas på behandling av personuppgifter som utförs av polisen, åklagarna, de allmänna domstolarna, Brottspåföljdsmyndigheten, Tullen, Gränsbevakningsväsendet och andra behöriga myndigheter, när det är fråga om förebyggande, avslöjande och utredning av brott eller förande av brott till åtalsprövning, åklagarverksamhet i samband med brott, handläggning av brottmål i domstol, verkställighet av straffrättsliga påföljder eller skydd mot eller förhindrande av brott mot den allmänna säkerheten. Lagen ska också tillämpas när Försvarsmakten, polisen och Gränsbevakningsväsendet behandlar personuppgifter i samband med upprätthållande av den nationella säkerheten. Det är till denna del fråga om en nationell lösning, dvs. inte något som förutsätts i dataskyddsdirektivet.
Lagen innehåller 64 paragrafer fördelade på elva kapitel. Lagen innehåller bestämmelser om ändamålsbegränsning och andra allmänna principer för behandling av personuppgifter, den personuppgiftsansvariges och personuppgiftsbiträdets ansvar, rätten till insyn och andra rättigheter för den registrerade, krav på informationssäkerhet, utnämning av ett dataskyddsombud och dataskyddsombudets uppgifter, krav när personuppgifter överförs till tredjeländer, tillsynen över efterlevnaden av lagen samt rättsmedel och påföljder. För närmare information om lagens innehåll hänvisas till lagtexten och förarbeten till lagen (FFS 1054/2018, RP 31/2018 rd, LaUU 10/2018 rd, GrUU 26/2018 rd, FvUB 14/2018 rd).
Regleringen av dataskyddet inom polisen är inte okomplicerad. Dataskyddsförordningen och dataskyddslagen ska tillämpas som allmänna författningar om dataskyddet. Varken dataskyddsförordningen eller dataskyddslagen ska tillämpas inom polisen då det är fråga om att förebygga, avslöja eller utreda brott eller föra brott till åtalsprövning eller åtgärder i anknytning till dessa för att upprätthålla allmän ordning och säkerhet. Den typen av verksamhet faller inom dataskyddsdirektivets tillämpningsområde och lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten ska fungera som allmän författning. Med stöd av den föreslagna blankettlagen kommer lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten att tillämpas som allmän författning på den största delen av behandlingen av personuppgifter inom Ålands polismyndighet, oberoende av om behandlingen faller inom landskapets eller rikets behörighetsområde. Dock kommer den föreslagna lagen om behandling av personuppgifter i polisens verksamhet att fungera som en specialförfattning inom dataskyddsdirektivets tillämpningsområde (se avsnitt 4.2.3).
4.2.3. Lagen om behandling av personuppgifter i polisens verksamhet
Rikets regering överlämnade till riksdagen den 22 november 2018 en proposition med förslag till lag om behandling av personuppgifter i polisens verksamhet och till vissa lagar som har samband med den (RP 242/2018 rd). En av målsättningarna med förslaget till en ny lag om behandling av personuppgifter i polisens verksamhet är att förtydliga och förenkla bestämmelserna. Den viktigaste målsättningen med propositionen är ändå att den nya lagen om behandling av personuppgifter i polisens verksamhet uppfyller kraven i EU-lagstiftningen om dataskydd. Enligt förslaget ska i lagen inte längre föreskrivas separat om registrering och användning av uppgifter utan om ändamålet med behandlingen av uppgifter. Ändamålen med behandlingen knyts till polisens lagstadgade uppgifter. Enligt förslaget till rikslag ska de grundläggande uppgifter om en person som får behandlas regleras i en särskild paragraf (se förslag till 4 §). I fråga om övriga personuppgifter föreslås att i lagen inte längre föreskrivs vilka enskilda personuppgifter som får registreras i respektive register, utan om uppgiftskategorier innehållande de personuppgifter som polisen får behandla för skötseln av sina uppgifter (5–12 §§). Det föreslås särskilda bestämmelser om behandling av personuppgifter för andra ändamål än det ursprungliga (13 – 14 §§).
I 3 kap. i den föreslagna lagen om behandling av personuppgifter i polisens verksamhet ingår bestämmelser om polisens rätt att få uppgifter ur vissa register och informationssystem. I förslag till 16 § finns en förteckning över olika myndighetsregister som polisen trots sekretessbestämmelserna ska ha rätt att få uppgifter från genom en teknisk anslutning eller som en datamängd för att utföra sina uppgifter och föra sina personregister. Förteckningen motsvarar i huvudsak den som ingår i 13 § i den gällande lagen. Även i den nya blankettlagen behöver ingå kompletterande bestämmelser som ligger till grund för Ålands polismyndighets rätt att få personuppgifter från vissa andra landskapsmyndigheters register. På ett liknande sätt ingår i förslag till 22 § i lagen om behandling av personuppgifter i polisens verksamhet en förteckning över när polisen får lämna ut uppgifter till andra myndigheter som behöver dessa för att utföra en uppgift som myndigheten har enligt lag. Den nya blankettlagen behöver kompletteras med motsvarande bestämmelser om polismyndighetens överlämnande av uppgifter till landskapsmyndighet som behöver uppgifterna för fullgörandet av myndighetens lagstadgade uppgifter.
För närmare information om innehållet i den föreslagna lagen om behandling av personuppgifter i polisens verksamhet hänvisas till den proposition som har överlämnats till riksdagen den 22 november 2018 (RP 242/2018 rd). Med stöd av den nya blankettlagen kommer den föreslagna rikslagen att också inom landskapets behörighet fungera som en specialförfattning i förhållande till lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten då polismyndigheten behandlar personuppgifter inom dataskyddsdirektivets tillämpningsområde. Den föreslagna rikslagen ska upphäva den gällande lagen om behandling av personuppgifter i polisens verksamhet. Eftersom den nya blankettlagen upphäver den gällande kommer motsvarande upphävande av den gällande lagen om behandling av personuppgifter i polisens verksamhet också att ske inom landskapets behörighet.
4.3. Tillsynsfunktionen
I gällande blankettlag föreskrivs att tillsyn över tillämpningen av lagen i fråga om angelägenheter som faller under landskapets behörighet utövas av landskapsregeringen. Landskapsregeringen bedömer att det finns principiella orsaker att ändra på hur tillsynen är organiserad. Den främsta orsaken till denna slutsats är att både dataskyddsförordningen och -direktivet ställer krav på fullständigt oberoende vid utförandet av tillsynsmyndighetens uppgifter. EU-domstolen har tolkat begreppet fullständigt oberoende och ansett att det stred mot ett sådant oberoende att dataskyddsmyndigheten i Österrike var en federal tjänsteman som stod under sin arbetsgivares överinseende, att myndighetens kansli var integrerat i förbundskanslerns kansli och att förbundskanslern hade en ovillkorlig rätt till upplysningar rörande samtliga aspekter av myndighetens administration.[1] Tillsynsmyndigheten får varken begära eller ta emot instruktioner av någon. Landskapsregeringens roll som tillsynsmyndighet kan ifrågasättas i ljuset av EU-domstolens slutsatser.
Lagtinget har den 21 november 2018 antagit en landskapslag som tillsammans med dataskyddsförordningen ska ligga till grund för det allmänna dataskyddet inom landskaps- och kommunalförvaltningen, dock med polismyndigheten som ett undantag. Enligt den landskapslagen ansvarar Datainspektionen för tillsynen enligt dataskyddsförordningen och den kompletterande landskapslagen då personuppgifter behandlas inom landskaps- och kommunalförvaltningen. Tillsynen i riket av den rikslagstiftning som den nya blankettlagen skulle göra gällande inom landskapets behörighet sköts av dataombudsmannen. Enligt 8 § i dataskyddslagen ska dataombudsmannen fungera som den nationella tillsynsmyndighet som avses i dataskyddsförordningen. I 45 § i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten föreskrivs att tillsyn över efterlevnaden av lagen utövas av dataombudsmannen enligt 8 § i dataskyddslagen. I den föreslagna lagen om behandling av personuppgifter i polisens verksamhet finns inte några särskilda bestämmelser om tillsyn.
Landskapsregeringen anser att det är ändamålsenligt att dataombudsmannen också utövar tillsynen över dataskyddet inom blankettlagens tillämpningsområde. Dock är det inte rättsligt möjligt att i landskapslag föreskriva om att riksmyndighet ska ansvara för tillsyn inom landskapets behörighetsområden. Därför måste bestämmelserna i den nya blankettlagen peka ut en landskapsmyndighet som enligt lag ska vara ansvarig för tillsynen. Landskapsregeringen föreslår att Datainspektionen ska vara denna tillsynsmyndighet. Blankettlagens ikraftträdande är en förutsättning för överlåtandet av tillsynsfunktionen till riksmyndigheten med stöd av en överenskommelseförordning. Landskapsregeringen har fört preliminära diskussioner med justitieministeriet och ett utkast till överenskommelseförordning har utarbetats. Det bör noteras att riksdagen i samband med antagandet av dataskyddslagen förutsatte att rikets regering utreder huruvida organisationen för tillsynsmyndigheten för dataskyddet bör utvecklas som ett ämbetsverk och vid behov bereder relevanta lagändringar i ärendet (se RSv 108/2018 rd). Man bör följa med sådana framtida organisatoriska förändringar av tillsynsfunktionen i riket. I blankettlagen behöver också specificeras att administrativa sanktionsavgifter inte ska kunna påföras Ålands polismyndighet i samband med tillämpningen av blankettlagen.
5.1. Behörighetsfördelningen och skyddet av personuppgifter
I lagförslag nr 14/2017–2018 redogjordes för behörighetsfördelningen mellan landskapet och riket gällande skyddet av personuppgifter. Slutsatsen var att landskapet har behörighet gällande skyddet av personuppgifter inom de rättsområden som landskapet annars också har behörighet inom enligt självstyrelselagen. I sitt utlåtande från den 27 juni 1991 ansåg högsta domstolen att behörigheten gällande personregister och datasekretess ska bedömas utgående från vilka områden landstingsbeslutet kan beröra (27.6.1991, OH 91/118). Domstolen konstaterade att landstingsbeslutet gällde allmänna stadganden om personregister och därför berördes ett stort antal rättsområden. Domstolen räknade upp ett antal områden inom landstingets behörighet som berördes av blankettlagen. Eftersom den antagna landskapslagen inte alls skulle tillämpas vid myndigheter eller andra organ som omfattas av landskapslagen om allmänna handlingars offentlighet blir slutsatsen att landskapets behörighet över personregister också utsträcks till aktörer inom den privata sektorn. Med hänvisning till detta anser landskapsregeringen att landskapet är behörigt att anta landskapslagstiftning om skyddet av personuppgifter i förhållande till den privata sektorn, inom de ramar som 18 § i självstyrelselagen ställer upp.
När det gäller skyddet av personuppgifter inom Ålands polismyndighet så tog högsta domstolen den 22 juni 2000 ställning till behörighetsfördelningen gällande skyddet av personuppgifter inom polismyndigheten (22.6.2000, OH 2000/51). Utlåtandet gällde av lagtinget antagen blankettlagstiftning om tillämpningen i landskapet Åland av riksförfattningar om personregister. Domstolen hänvisade inledningsvis till sina slutsatser i det tidigare nämnda utlåtandet från den 27 juni 1991. Därefter konstaterade domstolen att det rättsområde som landskapslagen gäller är allmän ordning och säkerhet. På detta område är lagstiftningsbehörigheten delad enligt självstyrelselagen. Samtidigt hänvisade domstolen till att landskapet har behörighet ifråga om bland annat landskapsstyrelsen och de myndigheter som lyder under denna. Lagtingsbeslutet ansågs falla inom landskapets behörighet då det hade begränsats till att gälla endast de åländska polismyndigheterna. Med hänvisning till detta anser landskapsregeringen att landskapet är behörigt att anta landskapslagstiftning om skyddet av personuppgifter i förhållande till Ålands polismyndighet, inom de ramar som 18 § i självstyrelselagen ställer upp.
Slutligen kan noteras att skyddet av personuppgifter inom Ålands polismyndighet knyter nära an till förvaltningsförfarandet och den allmänna förvaltningsrättsliga regleringen. Tidigare utlåtanden från högsta domstolen kan tolkas så att rikets förvaltningsrättsliga procedurbestämmelser ska tillämpas på verksamhet hos landskapets myndigheter när dessa sköter förvaltningsuppgifter som hör till rikets behörighet (31.1.2003, OH 2002/107). Av denna slutsats följer i så fall även det omvända, dvs. riksmyndigheterna ska följa landskapets allmänna förvaltningsrättsliga procedurbestämmelser då de genom en överenskommelseförordning har påförts skötseln av uppgifter som hör till landskapets behörighetsområde (jfr lagutskottets betänkande nr 13/2006–2007). Dessa slutsatser är relevanta i detta sammanhang eftersom det med stöd av överenskommelseförordning har skett en relativt omfattande överföring av förvaltningsbehörighet till Ålands polismyndighet så att myndigheten utöver sina egna uppgifter även sköter sådana uppgifter som annars skulle skötas av rikets myndigheter. De praktiska och juridiska konsekvenserna av att en myndighet på detta sätt är tvungen att växla mellan landskapets och rikets lagstiftning om förvaltningsförfarandet kan verka oändamålsenliga, särskilt om det finns väsentliga skillnader mellan landskapets och riket förvaltningsrättsliga reglering.
5.2. Grundlagen och skyddet för personuppgifter
5.2.1. Tidigare praxis gällande 10 § 1 mom. i grundlagen
Riket har enligt 27 § 1 punkten i självstyrelselagen lagstiftningsbehörighet i fråga om stiftande, ändring och upphävande av grundlag samt avvikelse från grundlag. Grundlagens 10 § 1 mom. föreskriver att närmare bestämmelser om skydd för personuppgifter utfärdas genom lag. Denna konstitutionella bestämmelse introducerades i samband med grundrättighetsreformen i medlet av 1990-talet. I förarbetena anges att bestämmelsen hänvisar ”till behovet att genom lagstiftning trygga individens rättsskydd och skydd för privatlivet i behandlingen, registreringen och användningen av personuppgifter” (RP 309/1993 rd, s. 57). Därefter har riksdagens grundlagsutskott utvecklat en tolkningspraxis utgående från att lagstiftaren stadgar om den behöriga rättigheten men att detaljerna i regleringen är beroende av lagstiftarens prövning (GrUB 25/1994 rd, s. 6/11).
Grundlagsutskottets praxis har baserat sig på att lagstiftarens handlingsutrymme begränsas både av kravet i grundlagens 10 § 1 mom. om att närmare bestämmelser om skyddet för personuppgifter utfärdas genom lag och av att skyddet för personuppgifter delvis också ingår i det konstitutionella skyddet för privatlivet i samma moment. Om man ser till skyddet för personuppgifter har grundlagsutskottet ansett det viktigt att reglera åtminstone syftet med registreringen av uppgifterna, uppgifternas innehåll, det tillåtna användningsändamålet inklusive rätten att överlåta registrerade uppgifter, den tid uppgifterna finns kvar i registret och den registrerades rättsskydd. Dessutom ska regleringen av dessa faktorer på lagnivå vara heltäckande och detaljerad (se GrUU 14/1998 rd, s. 2, och t.ex. GrUU 1/2018 rd, s. 2). Denna tolkningspraxis är åtminstone en delförklaring till att det finns ovanligt rikligt med specialbestämmelser om behandling av personuppgifter i rikslagstiftningen. I landskapslagstiftningen har specialbestämmelser om personuppgifter förblivit ganska ovanliga.
5.2.2. Tolkningspraxis efter EU:s dataskyddsreform
EU:s dataskyddsreform har medfört att det numera är primärt dataskyddsförordningen som lägger fast reglerna för skydd av fysiska personer vid behandling av personuppgifter och reglerna för fri rörlighet för personuppgifter. Dataskyddsförordningen är direkt tillämplig lagstiftning i samtliga medlemsstater och unionslagstiftningen har företräde framför nationell rätt i överensstämmelse med de villkor som fastställts i EU-domstolens rättspraxis. Grundlagsutskottet konstaterade nyligen att genomförandet av skyddet för personuppgifter inte längre kan bygga på en liknande regleringsmodell som den nuvarande. I stället bör tillgodoseendet av skyddet för personuppgifter i framtiden i första hand garanteras med stöd av dataskyddsförordningen och en nationell allmän lag. I det sammanhanget bör man undvika nationell speciallagstiftning, som bör reserveras för situationer då den är dels tillåten enligt dataskyddsförordningen, dels nödvändig för att tillgodose skyddet för personuppgifter (GrUU 2/2018 rd, s. 5).
Av den grundläggande förändring i regelverket som dataskyddsförordningen innebär följde också att grundlagsutskottet justerade sin tidigare tolkningspraxis om skyddet för personuppgifter enligt 10 § 1 mom. i grundlagen. Utskottet ansåg att dataskyddsförordningens detaljerade bestämmelser över lag utgör en tillräcklig rättslig grund även med avseende på skyddet för privatlivet och personuppgifter i grundlagen. Korrekt tolkade och tillämpade motsvarar bestämmelserna i dataskyddsförordningen enligt utskottets uppfattning också den nivå på skyddet för personuppgifter som bestäms utifrån Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Således är det inte längre av konstitutionella skäl nödvändigt att speciallagstiftningen inom förordningens tillämpningsområde heltäckande och detaljerat föreskriver om behandling av personuppgifter (GrUU 14/2018 rd, s. 4).
Grundlagsutskottet anser att det härefter i princip räcker att bestämmelserna om skydd för och behandling av personuppgifter är harmoniserade med dataskyddsförordningen. De detaljerade bestämmelserna i dataskyddsförordningen gör det också möjligt att i fråga om myndighetsverksamhet lagstifta betydligt mer generellt om skydd för och behandling av personuppgifter jämfört med nuvarande nationella regleringsmodell. Även med tanke på tydligheten bör man förhålla sig restriktivt när det gäller att införa nationell speciallagstiftning. Sådan lagstiftning bör vara avgränsad till nödvändiga bestämmelser inom ramen för det nationella handlingsutrymme som dataskyddsförordningen medger. Dock påpekar grundlagsutskottet att behovet av speciallagstiftning också måste bedömas utifrån de hot och risker som behandlingen av personuppgifter orsakar (GrUU 14/2018 rd, s. 5).
Som ett undantag från ovan nämnda slutsatser anser grundlagsutskottet att det fortsättningsvis är motiverat med specialbestämmelser om behandlingen av personuppgifter om det rör sig om känsliga uppgifter. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser. Grundlagsutskottet anser att omfattande databaser med känsliga uppgifter medför allvarliga risker för informationssäkerheten och missbruk av uppgifter. Riskerna kan i sista hand utgöra ett hot mot personers identitet (GrUU 13/2016 rd, GrUU 14/2009 rd, s. 3/I). Grundlagsutskottet menar att bestämmelserna om behandling av känsliga uppgifter fortfarande bör analyseras utifrån praxisen för tidigare bestämmelser på lagnivå i den utsträckning dataskyddsförordningen tillåter. Behovet av lagbestämmelser som är mer detaljerade än dataskyddsförordningen bör dock motiveras i varje enskilt fall, också inom ramen för förordningen (GrUU 14/2018 rd, s. 6).
Grundlagsutskottet har särskilt lyft fram polislagstiftningen som ett område där det känsliga sambandet med de grundläggande fri- och rättigheterna accentueras och där utskottet tillmäter rättigheterna enligt 10 § i grundlagen särskild betydelse. Grundlagsutskottet menar att bestämmelserna om behandling av personuppgifter fortfarande bör analyseras utifrån utskottets tidigare praxis med fokus på exakta och heltäckande bestämmelser på lagnivå i en sådan regleringskontext, där det finns ett känsligt samband med de grundläggande fri- och rättigheterna (GrUU 26/2018 rd, s. 3). Därtill är dataskyddsförordningen inte alls tillämplig på behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.
5.2.3. Blankettlagen och skyddet för personuppgifter enligt grundlagen
Lagförslaget utgår från att rikets dataskyddslagstiftning också ska utsträckas till sådan behandling av personuppgifter inom landskapets behörighet som sker inom den privata sektorn och Ålands polismyndighet. Därför är den justering av grundlagsutskottets tolkningspraxis som i korthet redogjordes för ovan även relevant i detta sammanhang. Landskapsregeringen anser att behovet av allmän dataskyddsreglering inom den privata sektorn enligt 10 § 1 mom. i grundlagen i princip är täckt genom dataskyddsförordningen och den kompletterande dataskyddslagen som med stöd av blankettlagen också ska tillämpas inom landskapets behörighet. Eftersom behandlingen av personuppgifter inom Ålands polismyndighet har ett mera känsligt samband med de grundläggande fri- och rättigheterna är rikets dataskyddsbestämmelser, som med stöd av blankettlagen också ska gälla inom landskapets behörighet, mera exakta och heltäckande. Dock utgår landskapsregeringen från att behovet av allmän dataskyddsreglering inom polisen enligt 10 § 1 mom. i grundlagen är täckt genom blankettlagen. När det gäller den mera specifika bedömningen av de tre rikslagarnas grundlagsenlighet hänvisas till förarbetena i riket (särskilt GrUU 14/2018 rd och GrUU 26/2018 rd).
6. Landskapsregeringens förslag
I lagförslag nr 14/2017–2018 föreslog landskapsregeringen att lagtinget antar dataskyddslagstiftning inom landskaps- och kommunalförvaltningen som kompletterar dataskyddsförordningen. Efter vissa ändringar antog Ålands lagting landskapslagstiftningen den 21 november 2018. I detta nya lagförslag föreslår landskapsregeringen att lagtinget antar en ny blankettlag som gör rikslagstiftningen tillämplig inom de lagstiftningsområden inom landskapets behörighet som inte är föremål för den tidigare av lagtinget antagna landskapslagen om dataskydd inom landskaps- och kommunalförvaltningen. Samtidigt ska den gällande blankettlagen upphävas.
Förslaget till ny blankettlag kan indelas i två delar. För det första föreslår landskapsregeringen att rikets dataskyddslag ska tillämpas vid sidan av dataskyddsförordningen inom blankettlagens tillämpningsområde. Denna del av förslaget berör främst behandlingen av personuppgifter inom den privata sektorn. Dataskyddsförordningen och rikets dataskyddslag kan också bli tillämpliga inom polisen, men enbart till den del särskild dataskyddslagstiftning riktad till polismyndigheten inte är tillämplig. För det andra föreslår landskapsregeringen att den rikslagstiftning som syftar till implementeringen av dataskyddsdirektivet också ska tillämpas inom landskapets behörighet. Denna del i den nya blankettlagen gäller i praktiken Ålands polismyndighet. Den nya blankettlagen gör lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten samt lagen om behandling av personuppgifter i polisens verksamhet gällande inom landskapets behörighet.
Lagförslaget utgår från att tillsynen av dataskyddsbestämmelserna ska överföras till rikets tillsynsmyndighet, dataombudsmannen. Eftersom detta inte kan föreskrivas i landskapslag utpekas Datainspektionen som ansvarig tillsynsmyndighet i den föreslagna blankettlagen. Avsikten är att senare överlåta denna förvaltningsuppgift till dataombudsmannen genom att en överenskommelseförordning bereds och antas. Landskapsregeringen har fört preliminära diskussioner med justitieministeriet och ett utkast till överenskommelseförordning har tagits fram. Dataskyddsdirektivet förutsätter att medlemsstaterna senast den 6 maj 2018 antar och offentliggör de lagar och andra författningar som är nödvändiga för att följa direktivet. Kommissionen har påbörjat ett s.k. överträdelseförfarande med anledning av den försenade implementeringen. I sitt svar har landskapsregeringen meddelat att landskapets genomförande är avhängigt rikets genomförande, men att avsikten är att landskapets nya blankettlag ska träda i kraft snarast möjligt efter att rikets lagstiftning trätt i kraft. Enligt förslaget lämnas datum för ikraftträdande öppet för landskapsregeringen att fatta beslut om i enlighet med 20 § 2 mom. i självstyrelselagen.
Förslaget till lag om behandling av personuppgifter i polisens verksamhet, som den nya blankettlagen ska göra gällande inom landskapets behörighet, är ännu under behandling i riksdagen. Propositionen överlämnades till riksdagen den 22 november 2018 (RP 242/2018 rd). Högsta domstolen har i samband med lagstiftningskontrollen bedömt under vilka förutsättningar rikslagar som inte ännu trätt i kraft kan tas in i landskapslag (3.3.2017, OH2017/6). Därför bör man i samband med lagtingsbehandlingen vara uppmärksam på behandlingen av propositionen i riksdagen. Det kan också noteras att de övriga två rikslagarna träder i kraft den 1 januari 2019. Landskapsregeringen kommer att följa den fortsatta utvecklingen i riket samt förse lagtinget och dess utskott med nödvändig information.
7. Förslagets verkningar
De flesta av dataskyddsförordningens bestämmelser tillämpas som sådana från och med den 25 maj 2018. Dataskyddsförordningen har medfört att antalet bestämmelser om skyddet av personuppgifter har ökat. Samtidigt har registrerade personer fått ett starkare skydd vid behandlingen av deras personuppgifter. Dataskyddsförordningen förväntas öka kostnaderna för de myndigheter och enskilda som fungerar som personuppgiftsansvariga eller personuppgiftsbiträden. Det handlar då främst om ökad administration i form av dataskyddsombud och ökade kostnader för anpassning av befintliga datasystem. Dataskyddsförordningens slutliga kostnadseffekter är till stor del beroende av i vilken omfattning det redan i ett tidigare skede har skett en anpassning till de skyldigheter som följer av gällande lagstiftning om skyddet av personuppgifter. I en studie gjord av Tammerfors universitet har de stora företagen som sin egen uppskattning lagt fram ett belopp på i genomsnitt 2,5 miljoner euro för kostnader av engångsnatur samt beredskapen för de nya förpliktelserna i förordningen (RP 9/2018 rd, s. 67).
I lagförslag nr 14/2017–2018 bedömdes konsekvenserna av den landskapslagstiftning som ska komplettera dataskyddsförordningen och gälla inom landskaps- och kommunalförvaltningen. I detta nya lagförslag föreslås en ny blankettlag som ska göra rikets dataskyddslagstiftning gällande inom de områden som inte var föremål för det tidigare lagförslaget. Den nya blankettlagens konsekvenser är i vissa avseenden svåra att konkretisera. En bidragande orsak till detta är att landskapet och riket har delad behörighet gällande skyddet av personuppgifter inom de områden som blankettlagen gäller. Landskapsregeringen bedömer att förslagets konsekvenser för den privata sektorn är marginell och i dagsläget innehåller landskapslagstiftningen mycket få bestämmelser om skyddet av personuppgifter som är riktade till privata aktörer. Till stor del är detta en konsekvens av att landskapets lagstiftningsbehörighet har en mycket starkare koppling till den offentliga sektorn. En annan bidragande orsak till att förslagets konsekvenser är svåra att förutse är att många av bestämmelserna i dataskyddsförordningen och -direktivet är tolkningsbara. Eftersom det rör sig om en blankettlag är redogörelserna av konsekvenserna i riksregeringens propositioner relevanta (se RP 9/2018 rd, s. 66–71, RP 31/2018 rd, s. 25–29 och RP 242/2018 rd, s. 40–49).
Generellt förbättrar den föreslagna lagstiftningen skyddet för enskildas integritet. När det gäller den lagstiftning som föreslås för genomförandet av dataskyddsdirektivet så ger förbättrat dataskydd möjlighet till ökat informationsutbyte mellan brottsbekämpande myndigheter. Samtidigt behöver datasystem och registerhantering vid Ålands polismyndighet uppfylla de krav som ställs vilket kan medföra ökade kostnader. Kostnadsverkningarna kan som helhet vara betydande för Ålands polismyndighet till den del det är fråga om obligatoriska skyldigheter som inte tidigare har genomförts i informationssystemen. Med tanke på polismyndighetens it-kostnader bör det noteras att dataskyddsdirektivet förutsätter att det ska föras loggar i anslutning till automatiserade behandlingssystem. Enligt 64 § i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten ska automatiserade behandlingssystem som har inrättats före den 6 maj 2016 bringas i överensstämmelse med lagens bestämmelser om loggning senast den 6 maj 2023. Dataskyddsdirektivet förutsätter att den personuppgiftsansvarige utser ett dataskyddsombud, dvs. detta medför direkta kostnader för en del av de personuppgiftsansvariga. Landskapsregeringen konstaterar att det bör utredas närmare hur funktionen som dataskyddsombud ska organiseras vid Ålands polismyndighet.
En central fråga vid konsekvensbedömningen är hur tillsynsfunktionen organiseras. Behovet av resurser för Datainspektionen ökar väsentligt om myndigheten även ska ansvara för tillsyn till den del behandlingen av personuppgifter vid Ålands polismyndighet och inom den privata sektorn faller inom landskapets behörighet. Landskapsregeringen anser att detta inte är ändamålsenligt och föreslår att tillsynen i sin helhet ska skötas av rikets tillsynsmyndighet, dataombudsmannen, när det gäller behandlingen av personuppgifter inom dessa områden. Förverkligandet av detta alternativ förutsätter en överenskommelseförordning och kostnaderna för att dataombudsmannen också sköter om tillsynen inom landskapets behörighet ska klargöras i samband med beredning av förordningen. Helt oberoende av hur tillsynen organiseras inom ramen för den nya blankettlagens tillämpningsområde kommer dataombudsmannen att vara ansvarig för tillsynen till den del behandlingen inom den privata sektorn och Ålands polismyndighet sker inom rikets behörighetsområde.
8. Ärendets beredning
Ärendet har beretts som tjänstemannauppdrag vid lagberedningen i samarbete med ansvariga tjänstemän vid landskapsregeringens regeringskansli. Under beredningen har Fordonsmyndighetens, Ålands näringslivs och Ålands polismyndighets utlåtanden inhämtats. I anslutning till beredningen har landskapsregeringen varit i kontakt med tjänstemän vid justitieministeriet och även skickat utkast till lagförslag för kommentarer till ministeriet.
1 § Tillämpningsområde. Landskapsregeringen föreslår att det antas en ny blankettlag om tillämpning på Åland av riksförfattningar om dataskydd. Enligt 1 mom. ska dataskyddslagen (FFS 1050/2018), lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (FFS 1054/2018) samt lagen om behandling av personuppgifter i polisens verksamhet (FFS / ) tillämpas på Åland med de avvikelser som föreskrivs i den nya blankettlagen. Den första rikslagen, dataskyddslagen, är den allmänna rikslag som preciserar och kompletterar dataskyddsförordningens bestämmelser. Om tillämpningsområdet bestäms i dataskyddslagens 2 §. Dataskyddslagens tillämpningsområde utgår från dataskyddsförordningens tillämpningsområde enligt artikel 2 i dataskyddsförordningen, dock så att tillämpningen av dataskyddslagens och dataskyddsförordningens bestämmelser också utvidgas till områden utanför dataskyddsförordningens EU-rättsliga tillämpningsområde.
Lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten är riktad till samtliga brottsbekämpande myndigheter. Ur lagens 1 § framgår att lagen inte enbart ska tillämpas vid polisen utan också hos bl.a. åklagarna, de allmänna domstolarna, Brottspåföljdsmyndigheten och Tullen. Denna andra rikslag utgör den allmänna rikslag som implementerar dataskyddsdirektivet och lagens tillämpningsområde utgår från tillämpningsområdet för dataskyddsdirektivet enligt artikel 2. Lagen om behandling av personuppgifter i polisens verksamhet ska rikta sig mera specifikt till polismyndigheter och implementerar dataskyddsdirektivet med mera specifika bestämmelser inom polisens verksamhetsområde. Förslaget till denna tredje rikslag är fortfarande under behandling i riksdagen. Ur förslag till lagens 1 § framgår lagens tillämpningsområde.
Tillämpningen inom landskapets behörighet av de i 1 mom. nämnda tre rikslagarna följer av bestämmelserna om tillämpningsområdet för de enskilda rikslagarna, om det inte finns avvikelser i blankettlagen. Av de tre rikslagarna blir enbart dataskyddslagen tillämplig till den del landskapet har behörighet över skyddet av personuppgifter inom den privata sektorn. Inom Ålands polismyndighet kan samtliga tre rikslagar bli tillämpliga. Dataskyddsförordningen och den kompletterande dataskyddslagen torde komma att tillämpas inom polismyndigheten främst i samband med tillståndsärenden samt sådana övervakningsuppgifter som föreskrivits för polisen där det inte är fråga om att förebygga, avslöja eller utreda brott eller föra brott till åtalsprövning eller åtgärder i anknytning till dessa för att upprätthålla allmän ordning och säkerhet. Till största delen kommer behandlingen av personuppgifter inom Ålands polismyndighet att vara föremål för den andra och tredje rikslagen.
I 2 mom. föreskrivs om ett väsentligt undantag från tillämpningen av blankettlagen. Enligt bestämmelsen ska blankettlagen inte tillämpas på sådan behandling av personuppgifter som är föremål för landskapslagen om dataskydd inom landskaps- och kommunalförvaltningen. Enligt 2 § i den landskapslagen tillämpas lagen på behandling av personuppgifter vid landskapets myndigheter, kommunala myndigheter och till Ålands lagting ansluten förvaltning. Lagen ska också tillämpas vid landskapets affärsverk då de sköter offentliga förvaltningsuppgifter samt på andra juridiska och fysiska personer då de genom landskapslag eller med stöd av landskapslag sköter offentliga förvaltningsuppgifter. Däremot tillämpas lagen inte vid Ålands polismyndighet. Landskapslagen har antagits av lagtinget den 21 november 2018, men har inte genomgått lagstiftningskontrollen eller trätt i kraft ännu.
Det egentliga lagtingsarbetet är inte föremål för landskapslagen om dataskydd inom landskaps- och kommunalförvaltningen även om landskapslagen nog tillämpas i förhållande till Ålands lagting ansluten förvaltning (se LKU 2/2018–2019). Dataskyddslagen, som den föreslagna blankettlagen gör gällande inom landskapets behörighet, tillämpas på all behandling av personuppgifter och lagens tillämpningsområde utsträcks också till behandling utanför unionsrättens tillämpningsområde. Detta innebär att blankettlagen medför att dataskyddslagen ska tillämpas på behandling av personuppgifter i anslutning till det egentliga lagtingsarbetet, om inte något annat föreskrivs i blankettlagen (se även GrUU 14/2018 rd, s. 11). Det kan inte anses vara förenligt med lagtingets grundläggande ställning i självstyrelsesystemet att en förvaltningsmyndighet ska vara behörig att utöva tillsyn över hur den åländska befolkningens företrädare behandlar personuppgifter i plenum och utskott. Det föreslagna undantaget gällande lagtingsarbetet innebär också att lagtinget inte kan påföras sådana administrativa sanktionsavgifter som följer direkt av dataskyddsförordningen.
Enligt 3 mom. ska ändringar i de tre rikslagarna gälla i landskapet från tidpunkten för deras ikraftträdande i riket.
Enligt 4 mom. ska specifika bestämmelser om behandling av personuppgifter som finns i en annan landskapslag gälla om dessa bestämmelser avviker från blankettlagens bestämmelser. Till skillnad från rikslagstiftningen finns i gällande landskapslagstiftning få specialbestämmelser om behandlingen av personuppgifter. Sådana särskilda bestämmelser i landskapslagstiftning ska ges företräde, om de förekommer inom blankettlagens tillämpningsområde. För tydlighetens skull bör noteras att blankettlagen inte medför att specialbestämmelser om behandlingen av personuppgifter i rikslagstiftningen blir tillämpliga inom landskapets behörighet. Behovet av att göra sådana särskilda riksbestämmelser gällande inom landskapets behörighet genom blankettlag måste bedömas skilt för sig.
Av 5 mom. följer att hänvisningar i dataskyddslagen, lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten samt i lagen om behandling av personuppgifter i polisens verksamhet till bestämmelser i rikslagstiftningen ska avse hänvisningar till motsvarande bestämmelser i landskapslagstiftningen.
2 § Polismyndighetens rätt att få uppgifter ur vissa register. I 2a § i gällande blankettlag räknas upp vissa register inom landskapsförvaltningen som polismyndigheten ska ha rätt att få uppgifter ur. Förteckningen över register inom landskapsförvaltningen kompletterar den förteckning som finns i 13 § i gällande lag om behandling av personuppgifter i polisens verksamhet. Denna förteckning har föreslagits bli överförd till 16 § i den nya lagen om behandling av personuppgifter i polisens verksamhet (RP 242/2018 rd, s. 82). Polisen, inklusive Ålands polismyndighet, ska trots sekretessbestämmelserna ha rätt att få information från de riksregister som 16 § i föreslagen rikslag räknar upp. Den gällande förteckningen har utökats med en ny 14 punkt som ska ge polisen rätt att få uppgifter ur Lantmäteriverkets bostadsdatasystem och fastighetsdatasystem. Enligt förslaget till blankettlag ska hänvisningarna till de register som 2a § i gällande blankettlag räknar upp överföras med vissa ändringar och kompletteringar. Polismyndigheten ska trots sekretessbestämmelserna ha en rätt att ur dessa register få sådan information som polisen behöver för att utföra sina uppgifter och föra sina personregister genom en teknisk anslutning eller som en datamängd.
Motorfordonsbyrån har bytt namn till Fordonsmyndigheten genom att landskapslagen (2018:8) om Fordonsmyndigheten trädde i kraft den 1 maj 2018. Med stöd av 1–3 punkterna ska polismyndigheten få uppgifter ur register som Fordonsmyndigheten för och som är nödvändiga för skötseln av polisens i lag föreskriven uppgift. Det rör sig om det elektroniska fordonsregister som avses i 8 kap. i landskapslagen (1993:19) om besiktning och registrering av fordon, det körkortsregister som avses i 9 kap. i körkortslagen (2015:88) för Åland samt det vattenfarkostregister som avses i landskapslagen (2017:29) om vattenfarkoster. I 4 punkten förs in gällande hänvisning till landskapsregeringens register för trafiktillstånd som behövs vid övervakningen av tillståndspliktig trafik enligt landskapslagen (1976:33) om yrkesmässig trafik. Enligt 11 § i landskapslagen om yrkesmässig trafik övervakar polisen att trafikidkare utövar trafiken enligt gällande bestämmelser.
Enligt 5 punkten ska polismyndigheten ha rätt att få uppgifter ur det register över beviljade näringsrätter som avses i 4 § 4 mom. i landskapslagen (1996:47) om rätt att idka näring och som är nödvändiga för polisens skötsel av i lag föreskriven uppgift. I 57 § i jaktlagen (1985:31) för landskapet Åland föreskrivs att tillsynen av jakten utövas av landskapsregeringen med bistånd av polismyndighet. Med stöd av 6 punkten ska polismyndigheten ha rätt att få uppgifter registrerade hos landskapsregeringen om enskilda personers rätt att bedriva jakt enligt jaktlagen för landskapet Åland. Uppgifterna ska vara nödvändiga vid tillsynen av jakt eller för fullgörandet av annan för polisen lagstadgad uppgifter. Enligt 57 § i jaktlagen bistår polismyndigheten landskapsregeringen vid tillsynen över jakten.
Förteckningen över uppgifter som polismyndigheten har rätt att få av andra landskapsmyndigheter enligt paragrafen är inte uttömmande utan det kan finnas särskilda bestämmelser om sådan rätt i annan landskapslagstiftning. Ett exempel på detta finns i 31 § 1 mom. i landskapslagen (2015:100) om hembygdsrättsförfaranden som ger polismyndigheten rätt att få tillgång till hembygdsrättsregistret i samband med utfärdandet av pass. I 68 § i räddningslagen (2006:106) för landskapet Åland föreskrivs att uppgifter från åtgärdsregistret hos kommunens räddningsmyndighet får lämnas ut till polismyndigheten.
3 § Polismyndighetens rätt att lämna ut uppgifter till andra myndigheter. I 2b § i gällande blankettlag föreskrivs om polisens rätt att lämna ut uppgifter till motorfordonsbyrån för upprätthållande av fordonsregistret. Paragrafen kompletterar det som föreskrivs i gällande 19 § 1 mom. i lagen om behandling av personuppgifter i polisens verksamhet. Motsvarande bestämmelser om utlämnandet av personuppgifter ur polisens informationssystem föreslås bli införda med vissa preciseringar i 22 § i den nya lagen om behandling av personuppgifter i polisens verksamhet (RP 242/2018 rd, s. 87). Bestämmelsen kompletterar rikslagens 21 § som ska ligga till grund för utlämnande av personuppgifter till en sådan behörig myndighet som avses i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten.
Det finns fortfarande ett behov för utlämnandet av uppgifter från polismyndigheten till Fordonsmyndigheten för upprätthållandet av fordonsregistret. Enligt förslaget till paragraf får polismyndigheten, utöver vad som föreskrivs i 22 § i lagen om behandling av personuppgifter i polisens verksamhet, trots sekretessbestämmelserna genom teknisk anslutning eller som en datamängd lämna ut personuppgifter till Fordonsmyndigheten för förandet av det elektroniska fordonsregister som avses i 8 kap. i landskapslagen om besiktning och registrering av fordon. De nya bestämmelserna om det elektroniska fordonsregistret finns i landskapslagen (2018:3) om ändring av landskapslagen om besiktning och registrering som trädde i kraft den 1 mars 2018.
I annan landskapslagstiftning kan finnas särskilda bestämmelser om polismyndighetens rätt att lämna ut uppgifter till andra myndigheter inom landskaps- och kommunalförvaltningen. Enligt gällande bestämmelser i räddningslagen sköter polismyndigheten om mottagandet av nödmeddelanden och alarmering av räddningsenheter. I räddningslagens 66 § 2 mom. föreskrivs åt vilka myndigheter uppgifter ur det alarmdataregister som polismyndigheten ska föra får lämnas ut.
4 § Tillsynsmyndighet. Enligt 1 mom. ska Datainspektionen vid tillämpningen av blankettlagen fungera som tillsynsmyndighet enligt dataskyddsförordningen. Bestämmelsen följer av artikel 51 i dataskyddsförordningen som anger att varje medlemsstat ska föreskriva att en eller flera offentliga myndigheter ska vara ansvariga för att övervaka tillämpningen av förordningen. Dataskyddsförordningens bestämmelser är i huvudsak direkt tillämpliga, också inom ramen för blankettlagens tillämpningsområde. I momentet finns också direkta hänvisningar till uppgifterna som tillsynsmyndighet enligt 8 § i dataskyddslagen och 45 § i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten. Datainspektionen ska istället för dataombudsmannen ansvara för motsvarande tillsyn inom landskapets behörighet med stöd av blankettlagen. I den allmänna motiveringen har landskapsregeringen redogjort för varför det kan anses vara mera ändamålsenligt att dataombudsmannen också utövar tillsyn över dataskyddet inom blankettlagens tillämpningsområde (se avsnitt 4.3). En sådan överlåtelse på en riksmyndighet av uppgifter som hör till landskapsförvaltningen kan enbart ske genom antagandet av en överenskommelseförordning enligt 32 § 1 mom. i självstyrelselagen.
Enligt 2 mom. ska bestämmelserna om tillsynsmyndighet i 3 kap. i dataskyddslagen inte tillämpas i förhållande till Datainspektionen utan istället tillämpas bestämmelserna i 3 kap. i landskapslagen om dataskydd inom land-skaps- och kommunalförvaltningen. Momentet beaktar det faktum att Datainspektionens tillsyn i praktiken inte kan skötas i enlighet med bestämmelserna om dataombudsmannens organisation eftersom de utgår från förhållandena i riket. Om tillsynsmyndighetens uppgifter överförs på dataombudsmannen tillämpar riksmyndigheten bestämmelserna om sin egen organisation huvudsakligen i dataskyddslagen. Tillsynsmyndighetens uppgifter och befogenheter följer huvudsakligen av artiklarna 55 — 59 i dataskyddsförordningen och 8 kap. i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten.
Enligt 3 mom. får vid tillämpningen av blankettlagen Ålands polismyndighet inte påföras sådana administrativa sanktionsavgifter som avses i dataskyddsförordningen. Enligt 27 § i landskapslagen om dataskydd inom landskaps- och kommunalförvaltningen har myndigheterna inom landskaps- och kommunalförvaltningen undantagits från de administrativa sanktionsavgifterna. Den landskapslagen tillämpas inte i förhållande till Ålands polismyndighet. Eftersom blankettlagen ligger till grund för tillsynsmyndighetens befogenheter enligt dataskyddsförordningen och då Ålands polismyndighet inte ingår i den förteckning i dataskyddslagen över organ som undantas från sanktionsavgifterna måste undantaget regleras i blankettlagen. Rikets polismyndigheter har redan undantagits från de administrativa sanktionsavgifterna med stöd av 24 § 4 mom. i dataskyddslagen.
5 § Ikraftträdande. I enlighet med 20 § 2 mom. i självstyrelselagen föreslås i 1 mom. att datum för ikraftträdande lämnas öppet för landskapsregeringen att fatta beslut om. Avsikten är att denna nya blankettlag sätts i kraft så snart som möjligt eftersom dataskyddsdirektivet förutsattes vara implementerat senast den 6 maj 2018. Den lagstiftning som ska komplettera dataskyddsförordningen förutsattes vara tillämplig redan den 25 maj 2018. Kommissionen har påbörjat ett överträdelseförfarande med anledning av den försenade implementeringen på Åland av dataskyddsdirektivet.
Enligt 2 mom. ska lagen upphäva den gällande blankettlagen, dvs. landskapslagen om tillämpning i landskapet Åland av riksförfattningar om personuppgifter. Enligt förslaget ska även landskapslagen (1999:49) om polisens grundregister upphävas eftersom registret inte mera är i bruk inom polismyndigheten.
41 §. Behandling av uppgifter om en informationskälla och betalning av arvode. I gällande 1 mom. finns en hänvisning till gällande blankettlag. Enligt förslaget ska hänvisning uppdateras så att den nya blankettlagen tillämpas på sådana uppgifter som avses i bestämmelsen.
Ikraftträdelsebestämmelsen. Landskapsregeringen föreslår att ikraftträdelsedagen för ändringen av landskapslagen med stöd av 20 § 2 mom. självstyrelselagen lämnas öppen för landskapsregeringen att fatta beslut om. Avsikten är att lagen ska träda i kraft samtidigt med den nya blankettlagen.
1 §. Genom landskapslagen 2017/72 fogades ett nytt 8a kap. till landskapslagen om miljöskydd. Kapitlet är av blankettnatur och bestämmelserna i 17 kap. i miljöskyddslagen (FFS 527/2014) ska tillämpas på Åland med de avvikelser som anges i 34b och c §§. Enligt landskapslagens 34b § 2 mom. ska hänvisningen till lagen om offentlighet i myndigheternas verksamhet (FFS 621/1999) på Åland avse landskapslagen (1977:72) om allmänna handlingars offentlighet. Enligt 34b § 3 mom. ska hänvisningen till personuppgiftslagen (FFS 523/1999) på Åland avse landskapslagen (1999:50) om tillämpning i landskapet Åland av riksförfattningar om personuppgifter. Rikets miljöskyddslag har sedermera ändrats så att 17 kap. inte mera innehåller några hänvisningar varken till lagen om offentlighet i myndigheternas verksamhet eller personuppgiftslagen. Därför föreslår landskapsregeringen att 34 § 2 och 3 mom. upphävs.
2 §. Avsikten är att lagen ska träda i kraft så snart som möjligt. I enlighet med 20 § 2 mom. i självstyrelselagen föreslås i paragrafen att datumet för ikraftträdandet lämnas öppen för landskapsregeringen att fatta beslut om. Lagen ska träda i kraft samtidigt med den nya blankettlagen.
Dataskyddslagen (FFS 1050/2018), lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (FFS 1054/2018) samt lagen om behandling av personuppgifter i polisens verksamhet (FFS / ) ska tillämpas på Åland med de avvikelser som anges i denna lag.
Denna lag tillämpas inte på sådan behandling av personuppgifter som är föremål för landskapslagen ( : ) om dataskydd inom landskaps- och kommunalförvaltningen. Denna lag tillämpas inte heller på lagtingsarbetet.
Ändras de i 1 mom. nämnda rikslagarna ska ändringarna gälla i landskapet från tidpunkten för deras ikraftträdande i riket.
Om det i en annan landskapslag finns särskilda bestämmelser om behandlingen av personuppgifter som avviker från denna lag ska de bestämmelserna gälla.
Hänvisas i de i 1 mom. nämnda rikslagarna till bestämmelser i rikslagstiftningen ska hänvisningarna avse motsvarande bestämmelser i landskapslagstiftningen.
Polismyndighetens rätt att få uppgifter ur vissa register
Utöver vad som föreskrivs i 16 § i lagen om behandling av personuppgifter i polisens verksamhet samt för att utföra sina uppgifter och föra sina personregister har Ålands polismyndighet trots sekretessbestämmelserna rätt att genom teknisk anslutning eller som en datamängd få
1) uppgifter ur det elektroniska fordonsregister som avses i 8 kap. i landskapslagen (1993:19) om besiktning och registrering av fordon och som är nödvändiga för polisens skötsel av i lag föreskriven uppgift,
2) uppgifter ur det körkortsregister som avses i 9 kap. i körkortslagen (2015:88) för Åland och som är nödvändiga för polisens skötsel av i lag föreskriven uppgift,
3) uppgifter ur det vattenfarkostregister som avses i landskapslagen (2017:29) om vattenfarkoster och som är nödvändiga för polisens skötsel av i lag föreskriven uppgift,
4) uppgifter ur landskapsregeringens register för trafiktillstånd som behövs vid övervakningen av tillståndspliktig trafik enligt landskapslagen (1976:33) om yrkesmässig trafik,
5) uppgifter ur det register över beviljade näringsrätter som avses i 4 § 4 mom. i landskapslagen (1996:47) om rätt att idka näring och som är nödvändiga för polisens skötsel av i lag föreskriven uppgift och
6) uppgifter registrerade hos landskapsregeringen om enskilda personers rätt att bedriva jakt enligt jaktlag (1985:31) för landskapet Åland och som är nödvändiga vid tillsynen av jakt eller för polisens skötsel av annan i lag föreskriven uppgift.
Polismyndighetens rätt att lämna ut uppgifter till andra myndigheter
Utöver vad som föreskrivs i 22 § i lagen om behandling av personuppgifter i polisens verksamhet får Ålands polismyndighet trots sekretessbestämmelserna genom teknisk anslutning eller som en datamängd lämna ut personuppgifter till Fordonsmyndigheten för förandet av det elektroniska fordonsregister som avses i 8 kap. i landskapslagen (1993:19) om besiktning och registrering av fordon.
Vid tillämpningen av denna lag fungerar Datainspektionen som tillsynsmyndighet enligt dataskyddsförordningen. Datainspektionen ansvarar istället för dataombudsmannen för den tillsyn som avses i 8 § i dataskyddslagen och 45 § i lagen om behandling av personuppgifter i brottmål och vid upprätt-hållandet av den nationella säkerheten.
Bestämmelserna om tillsynsmyndighet i 3 kap. i dataskyddslagen ska inte tillämpas i förhållande till Datainspektionen utan istället tillämpas bestämmelserna i 3 kap. i landskapslagen om dataskydd inom landskaps- och kommunalförvaltningen.
Vid tillämpningen av denna lag får Ålands polismyndighet inte påföras sådana administrativa sanktionsavgifter som avses i dataskyddsförordningen.
Genom denna lag upphävs landskapslagen (1999:50) om tillämpning i landskapet Åland av riksförfattningar om personuppgifter och landskapslagen (1999:49) om polisens grundregister.
om ändring av 5 kap. 41 § polislagen för Åland
I enlighet med lagtingets beslut ändras 5 kap. 41 § 1 mom. polislagen (2013:87) för Åland som följer:
Uppgifter om en informationskälla får registreras i ett personregister. På behandlingen av uppgifterna tillämpas landskapslagen ( : ) om tillämpning på Åland av riksförfattningar om dataskydd.
om upphävande av 34b § 2 och 3 mom. landskapslagen om miljöskydd
Genom denna lag upphävs 34b § 2 och 3 mom. landskapslagen (2008:124) om miljöskydd.
Dataskyddslag (FFS 1050/2018)
Lag om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (FFS 1054/2018)
På sådan behandling av personuppgifter som avses ovan i 2 mom. tillämpas dock inte bestämmelserna i 10 § 2 mom. om överföring av personuppgifter till en mottagare inom Europeiska unionen, bestämmelserna i 54 § om ömsesidigt bistånd i fråga om andra medlemsstater i Europeiska unionen och bestämmelserna i 7 kap. om överföringar av personuppgifter till tredjeländer och internationella organisationer.
Den personuppgiftsansvarige ska göra en skriftlig konsekvensbedömning, om den planerade behandlingen av personuppgifter kan medföra en betydande risk för tillgodoseendet av fysiska personers rättigheter. Konsekvensbedömningen ska innehålla en allmän beskrivning av den planerade behandlingen, en bedömning av riskerna för den registrerades rättigheter och åtgärder för att minska riskerna samt åtgärder för att säkerställa skyddet av personuppgifter.
Den personuppgiftsansvarige ska bevara information om de grunder på vilka rätten till insyn har vägrats eller begränsats.
Tillsyn över efterlevnaden av denna lag utövas av dataombudsmannen enligt 8 § i dataskyddslagen (1050/2018).
Bestämmelserna om tillsyn i denna lag tillämpas inte på domstolarna, justitiekanslern i statsrådet och riksdagens justitieombudsman.
Regeringens proposition till riksdagen med förslag till lag om behandling av personuppgifter i polisens verksamhet och till vissa lagar som har samband med den.
RP 242/2018 rd.
· Parallelltexter till landskapsregeringens lagförslag nr 9/2018-2019
[1] Domstolens dom av den 16 oktober 2012 i mål C-614/10, kommissionen mot Österrike. EU:C:2012:631.

References: § 2
 § 2
 domstolen 
 Domstolen 
 Domstolen 
 domstolen 
 Domstolen 
 domstolen 
 domstolen 
 domstolen 
 § 1
 § 1
 § 1
 § 1
 § 1
 § 1
 § 1
 § 2
 domstolen 
 § 4
 § 1
 § 1
 § 2
 § 1
 § 4
 § 2
 § 2
 § 2
 § 3
 § 2
 § 2
 § 4
 § 1
 § 2
 § 2
 § 2