Source: https://www.eduskunta.fi/SV/vaski/Mietinto/Sidor/EkUB_15+2018.aspx
Timestamp: 2019-09-19 12:58:17+00:00

Document:
Regeringens proposition till riksdagen med förslag till ändring av lagstiftningen om behandling av personuppgifter inom arbets- och näringsministeriets förvaltningsområde (RP 98/2018 rd): Ärendet har remitterats till ekonomiutskottet för betänkande
Regeringen föreslår ändringar i lagen om inkvarterings- och förplägnadsverksamhet, lagen om leverantörer av kombinerade resetjänster, lagen om säkerhet vid hantering av farliga kemikalier och explosiva varor, lagen om konstaterande av tillförlitligheten hos tjänster för bedömning av överensstämmelse med kraven, lagen om mätinstrument, revisionslagen och lagen om kundinformationssystemet för företagstjänster. Det rör sig om nödvändiga ändringar som följer av Europeiska unionens allmänna dataskyddsförordning och av ändringar i den nationella lagstiftningen om skydd för personuppgifter. Ändringarna är huvudsakligen av teknisk natur och gäller till stor del hänvisningarna till lagstiftningen om skydd för personuppgifter.
Dessutom föreslås lagen om Konkurrens- och konsumentverket få bestämmelser om undantag från dataskyddsförordningen till den del det är fråga om den registrerades rätt att få tillgång till de uppgifter som samlats in om honom eller henne.
Den föreslagna lagstiftningens huvudsakliga innehåll.
Syftet med propositionen är att göra de nödvändiga ändringar i en del lagar på arbets- och näringsministeriets förvaltningsområde som följer av Europeiska unionens allmänna dataskyddsförordning och av ändringar i den nationella lagstiftningen om skydd för personuppgifter. Dataskyddsförordningen är till alla delar förpliktande och direkt tillämplig lagstiftning i samtliga medlemsstater. De föreslagna ändringarna är därför i huvudsak av teknisk natur och gäller till största delen hänvisningar till personuppgiftslagen.
Ekonomiutskottet tillstyrker propositionen med smärre tekniska ändringar, på det sätt som anges närmare i detaljmotiveringen.
Samband med den nationella dataskyddslagstiftningen.
Det är inte helt enkelt att bedöma den föreslagna lagstiftningen eftersom man ännu inte vet hur innehållet i den nationella dataskyddslagen kommer att utformas. Av grundlagsutskottets utlåtande (GrUU 14/2018 rd — RP 9/2018 rd) framgår att det är uppenbart att dataskyddslagstiftningen inte kommer att träda i kraft i den form som regeringen föreslagit, utan den kommer att ändras på vissa punkter. Grundlagsutskottet påpekar i sitt utlåtande att det finns skäl att undvika nationell speciallagstiftning, som bör reserveras för situationer då sådan är dels tillåten enligt dataskyddsförordningen, dels nödvändig för att tillgodose skyddet för personuppgifter. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen av personuppgifter, desto mer motiverat är det med mer detaljerade bestämmelser. Detta har aktualiserats särskilt vid bedömningen av bestämmelserna i lagförslag 7 (revisionslagen). I ljuset av grundlagsutskottets utlåtande anser ekonomiutskottet att förslaget i propositionen är motiverat.
Enligt den nya regleringen har den registrerade inte rätt att ur Konkurrens- och konsumentverkets register få tillgång till sådana uppgifter om sig själv som verket behandlar när det sköter sina tillsynsuppgifter, om det med stöd av 24 § 1 mom. 15 punkten i lagen om offentlighet i myndigheternas verksamhet (offentlighetslagen), för att säkerställa tillsynen eller uppnåendet av syftet med tillsynen, är nödvändigt att uppgifterna inte lämnas ut. Bestämmelsen behövs för att säkerställa att Konkurrens- och konsumentverkets tillsynsuppgifter sköts effektivt samt för att klargöra förhållandet mellan den registrerades rätt enligt artikel 15 i dataskyddsförordningen och sekretessen enligt offentlighetslagen. Den registrerades rätt enligt artikel 15 äventyrar Konkurrens- och konsumentverkets lagstadgade tillsyn eller uppnåendet av dess syfte, om rätten gäller de personuppgifter som är sekretessbelagda med stöd av den ovannämnda punkten i offentlighetslagen. Också flera andra författningar som gäller myndigheternas befogenheter kommer att få en motsvarande bestämmelse med anledning av dataskyddsförordningen. Ekonomiutskottet anser att den föreslagna begränsningen av den registrerades rätt är motiverad och proportionerlig.
Informationsgången mellan myndigheterna.
Enligt ekonomiutskottet är det viktigt att lagstiftningen tillåter att relevanta gemensamma kunduppgifter utnyttjas och utväxlas mellan aktörerna. När man föreskriver om informationssystem och deras användning måste man ta hänsyn till vilka roller och behov de berörda parterna har. I detta sammanhang måste det säkerställas att informationen fungerar mellan aktörerna, det vill säga att kunddata finns tillgängliga för alla som behöver dem, och på ett ändamålsenligt och säkert sätt. Ekonomiutskottet anser att den föreslagna regleringen gör det möjligt att införa en systematisk verksamhetsmodell för dataskyddet som säkerställer samordnad åtkomsträtt och kontroll för sekretessbelagd information.
Utskottet anser att den förslagna lagstiftningen behövs och att förslagen är lämpliga med tanke på den nationella lagstiftningens förenlighet med EU-lagstiftningen. Men utskottet uttrycker en viss oro för bristande kontinuitet om bestämmelserna träder i kraft vid olika tidpunkter inom olika områden med en nära anknytning till varandra.
8. Lag om ändring av lagen om kundinformationssystemet för företagstjänster
På grund av de föreslagna ändringar i lagens 6 § som behandlas nedan bör den andra meningen i 2 § 2 mom. ange ett kortnamn för dataskyddsförordningen som följer:
”Bestämmelser om behandling av personuppgifter finns i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan dataskyddsförordningen, och i dataskyddslagen ( / ).”
6 §. Teknisk administratör för kundinformationssystemet samt personuppgiftsansvariga.
Ekonomiutskottet anser att paragrafen behöver ändras så att det sägs att arbets- och näringsministeriet och de aktörer som registrerar uppgifter i kundinformationssystemet är gemensamt personuppgiftsansvariga i fråga om kundinformationssystemet.
Artikel 26 i dataskyddsförordningen föreskriver att om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de vara gemensamt personuppgiftsansvariga. Gemensamt personuppgiftsansvariga ska under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt dataskyddsförordningen, särskilt vad gäller utövandet av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla den information som avses i artiklarna 13 och 14, genom ett inbördes arrangemang, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de personuppgiftsansvariga omfattas av. Artikeln medger att de gemensamt personuppgiftsansvarigas ansvar fördelas i lagstiftningen.
Ekonomiutskottet anser att det är motiverat att hålla kvar ansvarsfördelningen enligt den gällande lagen mellan arbets- och näringsministeriet och de i lagens 4 § 1 mom. nämnda aktörer som registrerar uppgifter i kundinformationssystemet. Enligt den gällande lagen svarar arbets- och näringsministeriet i egenskap av teknisk administratör för kundinformationssystemets allmänna funktion och för den tekniska anslutningen för registrering, samkörning, utlämnande och annan behandling av uppgifterna. Den tekniska administratören svarar för datasystemets användbarhet samt för integriteten, skyddet och bevarandet av de uppgifter som ingår i datasystemet. Enligt förarbetena till bestämmelsen (RP 18/2017 rd) har användbarhet, skydd och integritet här samma innehåll som i 18 § i lagen om offentlighet i myndigheternas verksamhet (621/1999). Den paragrafen handlar om god informationshantering, och där sägs det att en myndighet för att genomföra en god informationshantering ska se till att dess handlingar och datasystem samt uppgifterna i dem är behörigen tillgängliga, användbara, skyddade och integrerade samt sörja även för andra omständigheter som påverkar kvaliteten på uppgifterna och i detta syfte särskilt iaktta de skyldigheter som anges närmare i paragrafen. Enligt förarbetena ska arbets- och näringsministeriet med stöd av 1 mom. också svara för utveckling av kundinformationssystemet, inbegripet ansvaret för det allmänna utvecklandet av datasäkerheten inom systemet, såsom användningen av sådana förfaranden som vid informationsutbytet tryggar uppgifternas integritet, dvs. skyddet av dem mot olaglig ändring. Arbets- och näringsministeriet ska också se till att systemet tekniskt och funktionellt är sådant att de personuppgiftsansvariga kan fullgöra sina skyldigheter.
De som är personuppgiftsansvariga enligt 4 § 1 mom. i den gällande lagen ska sköta alla andra uppgifter som följer av de skyldigheter som i personuppgiftslagen (523/1999) ålagts en personuppgiftsansvarig. Till dem hör i fråga om de egna registren allmän aktsamhetsplikt när det gäller databehandlingens laglighet och uppgifternas kvalitet samt styrning av och rådgivning om registerföringen i samband med det. De personuppgiftsansvariga ansvarar för utlämnande av uppgifter ur registren, för radering av uppgifter ur registren och för uppgifter som gäller databehandlingens lagenlighet. På de personuppgiftsansvariga ankommer dessutom en informationsskyldighet enligt 24 § i personuppgiftslagen.
Ekonomiutskottet föreslår att det i 6 § 1 mom. ska föreskrivas om gemensamt personuppgiftsansvariga för kundinformationssystemet. Deras ansvar ska inom ramen för artikel 26 i dataskyddsförordningen bestämmas i 6 § 2 och 3 mom. De gemensamt personuppgiftsansvariga föreslås vara arbets- och näringsministeriet och de aktörer som anges i 4 § 1 mom., dvs. de myndigheter som tillhandahåller företagstjänster, statens specialfinansieringsbolag, Business Finland Ab och de förmedlande organ som avses i 2 § 13 punkten i lagen om finansiering av regionutveckling och strukturfondsprojekt (8/2014).
Ministeriets ansvar bör i 6 § 2 mom. definieras så att det i huvudsak motsvarar dess ansvar enligt den gällande lagen. Uppgifterna som teknisk administratör enligt 6 § i den gällande lagen hänför sig till att svara för datasystemets användbarhet samt för integriteten, skyddet och bevarandet av de uppgifter som ingår i systemet. De uppgifter som registreras i kundinformationssystemet gäller huvudsakligen företag och inte enskilda. Kunduppgifterna innehåller ändå delvis också personuppgifter.
Bestämmelser om ansvaret för de i 4 § 1 mom. avsedda aktörer som registrerar uppgifter i kundinformationssystemet föreslås ingå i 6 § 3 mom. I momentet bör det nämnas att de aktörer som nämns i 4 § 1 mom. svarar för övriga uppgifter som hör till den personuppgiftsansvarige. De svarar således fortfarande också för att de registrerades rättigheter tillgodoses. Likaså svarar de för säkerheten vid behandlingen av personuppgifter i den egna verksamheten.
På de grunder som anges ovan ändras 6 § och paragrafens rubrik som följer:
”Personuppgiftsansvariga för kundinformationssystemet
De i 4 § 1 mom. avsedda aktörer som registrerar uppgifter i kundinformationssystemet fungerar som personuppgiftsansvariga i fråga om de uppgifter som de själva registrerat i systemet, svarar för andra skyldigheter för den personuppgiftsansvarige än de som avses i 2 mom. samt beslutar om utlämnande via kundinformationssystemet av de uppgifter de själva registrerat. Den aktör som registrerat uppgifter i kundinformationssystemet svarar för att uppgifterna är korrekta och uppdaterade.”
Riksdagen godkänner lagförslag 1—7 i proposition RP 98/2018 rd utan ändringar.
Riksdagen godkänner lagförslag 8 i proposition RP 98/2018 rd med ändringar. (Utskottets ändringsförslag)
Om inte något annat föreskrivs i lag tillämpas på kundinformationssystemet för företagstjänster och på offentligheten för de uppgifter som registrerats i systemet lagen om offentlighet i myndigheternas verksamhet (621/1999) och 5 och 6 § i lagen om statens specialfinansieringsbolag (443/1998). Bestämmelser om behandling av personuppgifter finns i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan dataskyddsförordningen, och i dataskyddslagen ( / ).
Teknisk administratörPersonuppgiftsansvariga för kundinformationssystemet samt personuppgiftsansvariga
Arbets- och näringsministeriet och de i 4 § 1 mom. avsedda aktörer som registrerar uppgifter i kundinformationssystemet är gemensamt personuppgiftsansvariga i fråga om kundinformationssystemet. (Nytt)
I egenskap av teknisk administratör och personuppgiftsbiträde svararArbets- och näringsministeriet svarar för kundinformationssystemets allmänna funktion och för den tekniska anslutningen för registrering, samkörning, utlämnande och annan behandling av uppgifterna. Arbets- och näringsministeriet svarar för datasystemets användbarhet samt för integriteten, skyddet och bevarandet av de uppgifter som ingår i datasystemet. Arbets- och näringsministeriet svarar i fråga om behandlingen av personuppgifter i kundinformationssystemet för inbyggt dataskydd och dataskydd som standard enligt artikel 25, säkerhet i samband med behandlingen enligt artikel 32, konsekvensbedömning avseende dataskydd enligt artikel 35 och förhandssamråd enligt artikel 36 i dataskyddsförordningen samt för andra sådana i dataskyddsförordningen föreskrivna skyldigheter för den personuppgiftsansvarige som gäller informationssäkerheten i datasystemet. Arbets- och näringsministeriet har inte rätt att bestämma över de uppgifter som registrerats i datasystemet eller att lämna ut dem, om inte något annat föreskrivs i lag.
De i 4 § 1 mom. avsedda aktörer som registrerar uppgifter i kundinformationssystemet fungerar som personuppgiftsansvariga i fråga om de uppgifter som de själva registrerat i systemet, svarar för andra skyldigheter för den personuppgiftsansvarige än de som avses i 2 mom. samt beslutar om utlämnande via kundinformationssystemet av de uppgifter de själva registrerat. Den aktör som registrerat uppgifter i kundinformationssystemet svarar för att uppgifterna är korrekta och uppdaterade.
Senast publicerat 6.11.2018 12:33

References: § 1
 § 2
 § 1
 § 1
 § 1
 § 2
 § 1
 § 13
 § 2
 § 1
 § 3
 § 1
 § 1
 § 1
 § 1