Prop. 2017/18:95

Regeringens proposition 2017/18:95

Anpassningar av vissa författningar inom skatt,

Prop.

tull och exekution till EU:s

2017/18:95

dataskyddsförordning

Regeringen överlämnar denna proposition till riksdagen.

Stockholm den 22 februari 2018

Stefan Löfven

Magdalena Andersson

(Finansdepartementet)

Propositionens huvudsakliga innehåll

Regeringen lämnar förslag som anpassar lagstiftningen om person- uppgiftsbehandling inom Skatteverkets, Tullverkets och Kronofogde- myndighetens verksamheter till EU:s nya dataskyddsförordning. De flesta förslagen är följder av eller anpassningar till dataskyddsförord- ningen och till att personuppgiftslagen till följd av den nya förordningen kommer att upphävas. Förslagen innebär också att lagarna om person- uppgiftsbehandling i de berörda myndigheternas verksamheter ska komplettera dataskyddsförordningen och dataskyddslagen. Det föreslås även vissa förtydliganden och justeringar som inte föranleds direkt av dataskyddsförordningen. Ändringarna bidrar bl.a. till att minska even- tuell dubbelreglering och klargör de olika regleringarnas förhållande till varandra. Anpassningarna gäller inte personuppgiftsbehandling vid myndigheternas brottsbekämpande verksamhet.

Lagändringarna föreslås träda i kraft den 25 maj 2018.

1

Prop. 2017/18:95

Innehållsförteckning

1

Förslag till riksdagsbeslut .................................................................

5

2

Lagtext ..............................................................................................

6

2.1

Förslag till lag om ändring i lagen (1998:527) om

det statliga personadressregistret ........................................

6

2.2

Förslag till lag om ändring i lagen (2001:181) om

behandling av uppgifter i Skatteverkets

beskattningsverksamhet......................................................

8

2.3

Förslag till lag om ändring i lagen (2001:182) om

behandling av personuppgifter i Skatteverkets

folkbokföringsverksamhet................................................

13

2.4

Förslag till lag om ändring i lagen (2001:184) om

behandling av uppgifter i Kronofogdemyndighetens

verksamhet .......................................................................

16

2.5

Förslag till lag om ändring i lagen (2001:185) om

behandling av uppgifter i Tullverkets verksamhet ...........

24

2.6

Förslag till lag om ändring i lagen (2015:898) om

behandling av personuppgifter i Skatteverkets

äktenskapsregister- och

bouppteckningsverksamheter ...........................................

28

2.7

Förslag till lag om ändring i lagen (2015:899) om

identitetskort för folkbokförda i Sverige ..........................

30

3

Ärendet och dess beredning ............................................................

32

4

Bakgrund.........................................................................................

32

4.1

EU:s dataskyddsreform ....................................................

32

4.2

Författningsarbete med anledning av

dataskyddsreformen .........................................................

33

4.3

Översynen som ligger till grund för denna

proposition........................................................................

34

5

Gällande rätt....................................................................................

34

5.1

Dataskyddsdirektivet och personuppgiftslagen ................

34

5.2

Registerförfattningar på skatte- och tullavdelningens

område..............................................................................

35

5.3

Andra författningar på skatte- och tullavdelningens

område..............................................................................

37

6

Dataskyddsförordningens tillämplighet ..........................................

37

7

Överväganden kring vissa grundläggande krav på behandling .......

40

7.1

Rättslig grund för behandling av personuppgifter ............

40

7.2

Finalitetsprincipen ............................................................

47

8

Utrymmet för nationell reglering inom

dataskyddsförordningens tillämpningsområde................................

49

9

Överväganden och förslag som rör bestämmelser i

registerförfattningar ........................................................................

50

9.1

Inledning ..........................................................................

50

2

9.2 Förhållandet till dataskyddsförordningen och

dataskyddslagen...............................................................

51

9.3

Ändamålsbestämmelser ...................................................

54

9.4 Behandling av särskilda kategorier av

personuppgifter................................................................

59

9.4.1

Känsliga personuppgifter ................................

59

9.4.2

Uppgifter om lagöverträdelser ........................

64

9.5

Enskildas rättigheter ........................................................

67

9.5.1

Allmänt om rättigheterna i EU:s

dataskyddsförordning och bestämmelser i

förslaget till dataskyddslag .............................

67

9.5.2

Rätten till information och tillgång till

personuppgifter ...............................................

68

9.5.3

Rätten till rättelse, radering och

begränsning av behandling .............................

75

9.5.4

Rätten att göra invändningar ...........................

82

9.6

Skadestånd.......................................................................

87

9.7

Sanktioner........................................................................

90

9.8

Överklagande...................................................................

92

9.9

Hänvisning till 2013 års lag.............................................

96

10

Automatiserade beslut....................................................................

97

11

Ikraftträdande- och övergångsbestämmelser ................................

101

12

Konsekvenser

...............................................................................

103

13

Författningskommentar ................................................................

104

13.1 Förslaget till lag om ändring i lagen (1998:527) om

det statliga personadressregistret ...................................

104

13.2 Förslaget till lag om ändring i lagen (2001:181) om

behandling av uppgifter i Skatteverkets

beskattningsverksamhet.................................................

105

13.3 Förslaget till lag om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets

folkbokföringsverksamhet .............................................

108

13.4 Förslaget till lag om ändring i lagen (2001:184) om

behandling av uppgifter i Kronofogdemyndighetens

verksamhet.....................................................................

110

13.5 Förslaget till lag om ändring i lagen (2001:185) om

behandling av uppgifter i Tullverkets verksamhet ........

117

13.6 Förslaget till lag om ändring i lagen (2015:898) om behandling av personuppgifter i Skatteverkets

äktenskapsregister- och

bouppteckningsverksamheter ........................................

119

13.7 Förslaget till lag om ändring i lagen (2015:899) om

identitetskort för folkbokförda i Sverige .......................

121

Bilaga 1

Promemorians lagförslag ...............................................

123

Bilaga 2

Förteckning över remissinstanserna ..............................

150

Bilaga 3

Lagrådsremissens lagförslag..........................................

151

Bilaga 4

Lagrådets yttrande .........................................................

177

Prop. 2017/18:95

3

Prop. 2017/18:95

Utdrag ur protokoll vid regeringssammanträde den 22 februari

2018 .....................................................................................

178

4

1

Förslag till riksdagsbeslut

Prop. 2017/18:95

Regeringen föreslår att riksdagen antar regeringens förslag till

1. lag om ändring i lagen (1998:527) om det statliga personadress- registret,

2. lag om ändring i lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet,

3. lag om ändring i lagen (2001:182) om behandling av person- uppgifter i Skatteverkets folkbokföringsverksamhet,

4. lag om ändring i lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet,

5. lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet,

6. lag om ändring i lagen (2015:898) om behandling av person- uppgifter i Skatteverkets äktenskapsregister- och boupptecknings- verksamheter,

7. lag om ändring i lagen (2015:899) om identitetskort för folkbokförda

i Sverige.

5

Prop. 2017/18:95

6

2 Lagtext

Regeringen har följande förslag till lagtext.

2.1 Förslag till lag om ändring i lagen (1998:527) om det statliga personadressregistret

Härigenom föreskrivs i fråga om lagen (1998:527) om det statliga personadressregistret

dels att 9 § ska upphöra att gälla,

dels att rubriken närmast före 9 § ska utgå, dels att 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 a §, och närmast före 3 a § en ny rubrik av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

2 §

När personuppgifter behandlas i SPAR gäller personuppgiftslagen (1998:204), om inte avvikande bestämmelser meddelas i denna lag. De beteckningar som används i denna lag har samma betydelse som i 3 § personuppgiftslagen.

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Rätten att göra invändningar

3 a §

Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som

har meddelats i

anslutning

till

Prop. 2017/18:95

lagen.

Bestämmelser om rätten att göra

invändningar mot

behandling

för

direkt marknadsföring finns

i

artikel 21.2 i samma förordning.

Denna lag träder i kraft den 25 maj 2018.

7

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

Prop. 2017/18:95

8

2.2 Förslag till lag om ändring i lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet

Härigenom föreskrivs i fråga om lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet 1

dels att 3 kap. 1, 2, 3 och 4 §§ ska upphöra att gälla,

dels att rubrikerna närmast före 3 kap. 3 och 4 §§ ska utgå,

dels att 1 kap. 2–5 och 7 §§, 2 kap. 14 §, 3 kap. 2 a § och rubrikerna närmast före 1 kap. 2 § och 3 kap. 2 a § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 kap. 3 §, och närmast före 3 kap. 3 § en ny rubrik av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1 kap.

Förhållandet till

personuppgifts- Förhållandet till annan reglering

lagen

2 §

Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204).

En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag.

3 § 2

När

personuppgifter behandlas

Vid behandling av person-

enligt denna lag eller enligt andra

uppgifter enligt denna lag gäller

föreskrifter i det ämne som regle-

lagen

(2018:000)

med

ras i lagen gäller personuppgifts-

kompletterande bestämmelser

till

lagens

(1998:204) bestämmelser

EU:s

dataskyddsförordning

och

1 Senaste lydelse av lagens rubrik 2003:670

3 kap. 1 § 2012:845

3 kap. 3 § 2012:845

3 kap. 4 § 2003:670.

2 Senaste lydelse 2012:845.

om

föreskrifter

som

har

meddelats

i Prop. 2017/18:95

1. definitioner i 3 §,

anslutning till den lagen, om inte

2. förhållandet till

offentlighets-

annat följer av denna lag eller

principen m.m. i 8 §,

föreskrifter

som

har

meddelats

i

3. grundläggande

krav på be-

anslutning till lagen.

handling i 9 § med undantag för vad som sägs i första stycket i och tredje stycket,

4. säkerheten vid behandling i 30–32 §§,

5. överföring av personuppgifter till tredje land i 33–35 §§,

6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§,

7. upplysningar till allmänheten om vissa behandlingar i 42 § med

den begränsning som anges i 3 kap. 2 a § i denna lag,

8. tillsynsmyndighetens befogen- heter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person- uppgifter som inte sker i databaser gäller även 22 § personuppgifts- lagen.

4 § 3

Uppgifter får

behandlas för

Uppgifter får behandlas för att

tillhandahållande

av information

tillhandahålla information som

som behövs hos Skatteverket för

behövs hos Skatteverket för

1. fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av skatter och avgifter,

2. bestämmande av pensionsgrundande inkomst,

3. fastighetstaxering,

4. revision och annan analys- eller kontrollverksamhet,

5. tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning,

6. handläggning

a) enligt lagen (2007:324) om Skatteverkets hantering av vissa borgenärsuppgifter,

b) av andra frågor om ansvar för någon annans skatter och avgifter,

c) enligt lagen (2015:912) om automatiskt utbyte av upplysningar om finansiella konton och 22 b kap. skatteförfarandelagen (2011:1244), och

d) enligt lagen (2017:182) om automatiskt utbyte av land-för-land- rapporter på skatteområdet och 33 a kap. skatteförfarandelagen.

7. fullgörande av ett åliggande som följer av ett för Sverige bindande internationellt åtagande,

3 Senaste lydelse 2017:454.

9

Prop. 2017/18:95 8. hantering av underrättelser från arbetsgivare om anställning av utlänningar som avses i lagen (2013:644) om rätt till lön och annan ersättning för arbete utfört av en utlänning som inte har rätt att vistas i Sverige,

9. hantering av uppgifter om sjuklönekostnad, och

10. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som får behandlas enligt första stycket får även behandlas för tillhandahållande av information som behövs i Skatte- verkets verksamhet enligt lagen (1997:1024) om Skatteverkets brottsbekämpande verksamhet.

5 § 4

Uppgifter får behandlas för att

Uppgifter

som behandlas enligt

tillhandahålla

information

som

4 § får även behandlas för

behövs i författningsreglerad verk-

1. att tillhandahålla

information

samhet hos någon annan än

som behövs i författningsreglerad

Skatteverket för

verksamhet hos någon annan än

Skatteverket för

1. fastställande

av

underlag för

a) fastställande

av

underlag

för

samt redovisning,

bestämmande,

samt redovisning, bestämmande,

betalning

och

återbetalning

av

betalning

och

återbetalning

av

skatter eller avgifter,

skatter eller avgifter,

2. utsökning,

indrivning,

b) utsökning,

indrivning,

skuldsanering

och

F-skuld-

skuldsanering

och

F-skuld-

sanering,

sanering,

3. att

utgöra

underlag

för

c) att

utgöra

underlag

för

beräkning, beslut och kontroll i

beräkning, beslut och kontroll i

fråga om förmån, bidrag och andra

fråga om förmån, bidrag och andra

stöd,

stöd,

4. pensionsberäkning,

d) pensionsberäkning,

5. tillsyn

och

kontroll

samt

e) tillsyn

och

kontroll

samt

lämplighets-

och

tillstånds-

lämplighets-

och

tillstånds-

prövning

och

annan

liknande

prövning

och

annan liknande

prövning, och

prövning, och

6. aktualisering

och kompletter-

f) aktualisering

och

kompletter-

ing av uppgifter om fastigheter i

ing av uppgifter om fastigheter i

andra myndigheters register .

andra myndigheters register ,

2. att tillhandahålla information

som behövs i Skatteverkets brotts-

bekämpande

verksamhet

enligt

lagen (1997:1024) om Skatte-

verkets

brottsbekämpande

verksamhet,

3. att fullgöra uppgiftslämnande

4 Senaste lydelse 2016:913.

10

Uppgifter får även behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

7 §

Känsliga personuppgifter som Personuppgifter som avses i anges i 13 § personuppgiftslagen artikel 9.1 i EU:s dataskydds- (1998:204) och uppgifter om förordning (känsliga person- lagöverträdelser m.m. som anges i uppgifter) och uppgifter om 21 § samma lag får behandlas lagöverträdelser som innefattar endast om uppgifterna har lämnats brott, domar i brottmål, straff- i ett ärende eller är nödvändiga för processuella tvångsmedel eller handläggningen av det. administrativa frihetsberövanden

får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

14 § 5

Skatteverket får ta ut avgifter för att lämna ut uppgifter ur databasen enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt Rätten att ta ut avgifter får inte första stycket får inte innebära innebära en inskränkning i inskränkning i rätten att ta del av 1. rätten att ta del av och mot och mot fastställd avgift få kopia fastställd avgift få kopia eller eller utskrift av en allmän handling utskrift av en allmän handling en- enligt tryckfrihetsförordningen. ligt tryckfrihetsförordningen , eller

2. en registrerads rätt enligt artikel 12.5 i EU:s dataskydds- förordning.

5 Senaste lydelse 2003:670.

som sker i överensstämmelse med Prop. 2017/18:95 lag eller förordning, och

4. andra

ändamål,

under

förutsättning

att uppgifterna inte

behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

11

Rätten att göra invändningar

3 §

Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Vid behandling av person- uppgifter på grund av samarbete enligt lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning ska artiklarna 13 och 15–19 i EU:s dataskyddsförord- ning inte tillämpas , om sådana begränsningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen .

Prop. 2017/18:95

3 kap.

Information till den

registrerade Rätten till information m.m.

m. fl. 6

2 a § 7 Vid behandling av person-

uppgifter på grund av samarbete enligt lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning tillämpas inte 23, 25, 26, 28 och 42 §§ personuppgifts- lagen (1998:204) om sådana begränsningar är nödvändiga med hänsyn till ett intresse som anges i 8 a § f personuppgiftslagen .

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

6 Senaste lydelse 2012:845.

7 Senaste lydelse 2012:845.

12

Denna lag innehåller bestäm- melser som kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte

2.3

Förslag till lag om ändring i lagen (2001:182)

Prop. 2017/18:95

om behandling av personuppgifter i

Skatteverkets folkbokföringsverksamhet

Härigenom föreskrivs i fråga om lagen (2001:182) om behandling av

personuppgifter i Skatteverkets folkbokföringsverksamhet 1

dels att 3 kap. 1–4 §§ ska upphöra att gälla,

dels att rubrikerna närmast före 3 kap. 1, 3 och 4 §§ ska utgå,

dels att 1 kap. 2–4 och 6 §§, 2 kap. 12 § och rubriken närmast före

1 kap. 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 kap. 1 §, och närmast före

3 kap. 1 § en ny rubrik av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

Förhållandet till personuppgifts-

Förhållandet till annan reglering

lagen

1 kap.

2 §

Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204).

En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag.

3 §

När personuppgifter behandlas enligt denna lag eller enligt andra föreskrifter i det ämne som regle- ras i lagen gäller personuppgifts- lagens (1998:204) bestämmelser om

1. definitioner i 3 §,

1 Senaste lydelse av lagens rubrik 2003:671 3 kap. 4 § 2003:671.

13

Prop. 2017/18:95

2. förhållandet till

offentlighets-

annat följer av

denna lag eller

principen m.m. i 8 §,

föreskrifter som

har meddelats i

3. grundläggande

krav på be-

anslutning till lagen.

handling i 9 § med undantag för vad som sägs i första stycket i och tredje stycket,

4. säkerheten vid behandling i 30–32 §§,

5. överföring av personuppgifter till tredje land i 33–35 §§,

6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§,

7. upplysningar till allmänheten om vissa behandlingar i 42 §,

8. tillsynsmyndighetens befogen- heter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person- uppgifter som inte sker i databaser gäller även 22 § person- uppgiftslagen.

4 § 2

Uppgifter får behandlas för att tillhandahålla information som behövs för

1. samordnad behandling, kontroll och analys av identifierings- uppgifter för fysiska personer och av andra folkbokföringsuppgifter,

2. handläggning av folkbokföringsärenden,

3. fullgörande av underrättelseskyldighet enligt lag eller förordning,

4. framställning av personbevis och andra registerutdrag,

5. aktualisering, komplettering och kontroll av personuppgifter,

6. uttag av urval av personuppgifter, och

7. tillsyn, kontroll, uppföljning och planering av folkbokförings- verksamheten.

Uppgifter får även behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

Uppgifter får även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Insamlade upp- gifter får behandlas även för andra ändamål, under förutsätt- ning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

6 §

Känsliga personuppgifter som

Personuppgifter som avses i

2 Senaste lydelse 2016:778.

14

anges i 13 § personuppgiftslagen

artikel

9.1 i

EU:s dataskydds- Prop. 2017/18:95

(1998:204)

och

uppgifter om

förordning

(känsliga

person-

lagöverträdelser m.m. som anges i

uppgifter) och uppgifter om lag-

21 § samma

lag

får behandlas

överträdelser som innefattar brott,

endast om uppgifterna har lämnats

domar

i

brottmål,

straff-

i ett ärende eller är nödvändiga för

processuella

tvångsmedel eller

handläggningen av det.

administrativa

frihetsberövanden

får behandlas endast om upp-

gifterna har lämnats i ett ärende

eller är nödvändiga för handlägg-

ningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

12 § 3

Skatteverket får ta ut avgifter för att lämna ut uppgifter ur databasen enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt

Rätten att ta ut avgifter får inte

första stycket får inte innebära

innebära en inskränkning i

inskränkning i rätten att ta del av

1. rätten att ta del av och mot

och mot fastställd avgift få kopia

fastställd avgift få kopia eller

eller utskrift av en allmän handling

utskrift av en allmän handling

enligt tryckfrihetsförordningen.

enligt

tryckfrihetsförordningen ,

eller

2. en

registrerads rätt enligt

artikel 12.5 i EU:s dataskydds-

förordning.

3 kap.

Rätten att göra invändningar

1 §

Artikel 21.1 i EU:s dataskydds-

förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

3 Senaste lydelse 2003:671.

15

Denna lag innehåller bestäm- melser som kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

Prop. 2017/18:95

16

2.4 Förslag till lag om ändring i lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet

Härigenom föreskrivs i fråga om lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet 1

dels att 1 kap. 3 a § och 3 kap. 1–3 §§ ska upphöra att gälla, dels att rubrikerna närmast före 3 kap. 1 och 3 §§ ska utgå,

dels att 1 kap. 2, 3 och 6 §§, 2 kap. 2, 3, 8, 9, 14, 15, 20, 20 a och 30 §§, 3 kap. 3 a och 4 §§ och rubriken närmast före 1 kap. 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 kap. 3 §, och närmast före 3 kap. 3 och 3 a §§ nya rubriker av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1 kap.

Förhållandet till

andra bestäm- Förhållandet till annan reglering

melser

om

personuppgifts-

behandling

2 §

Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204 ).

En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag.

3 §

När personuppgifter behandlas

Vid behandling av person-

enligt denna lag eller enligt andra

uppgifter enligt denna lag gäller

föreskrifter i det ämne som regle-

lagen

(2018:000)

med

1 Senaste lydelse av lagens rubrik 2006:733 1 kap. 3 a § 2013:336 3 kap. 3 § 2008:213.

6 §

Känsliga personuppgifter som anges i 13 § personuppgiftslagen (1998:204) och uppgifter om lagöverträdelser m.m. som anges i 21 § samma lag får behandlas endast om uppgifterna har lämnats i ett mål eller ärende eller är nödvändiga för handläggningen av det.

ras i lagen gäller personuppgifts-

kompletterande bestämmelser

till Prop. 2017/18:95

lagens

(1998:204)

bestämmelser

EU:s dataskyddsförordning

och

om

föreskrifter som har meddelats i

1. definitioner i 3 §,

anslutning till den lagen, om inte

2. förhållandet till

offentlighets-

annat följer av denna lag eller

principen m.m. i 8 §,

föreskrifter som har meddelats i

3. grundläggande

krav

på

anslutning till lagen.

behandling i 9 § med undantag för

vad som sägs i första stycket i och

tredje stycket,

4. säkerheten vid

behandling i

30–32 §§,

5. överföring av personuppgifter

till tredje land i 33–35 §§,

6. personuppgiftsombud, m.m. i

36 § andra stycket och 38–41 §§,

7. upplysningar till allmänheten

om vissa behandlingar i 42 §,

8. tillsynsmyndighetens befogen-

heter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person-

uppgifter som inte sker i databaser

gäller

även 22 § personuppgifts-

lagen.

Personuppgifter som avses i artikel 9.1 i EU:s dataskydds- förordning (känsliga personupp- gifter) och uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden får behandlas endast om upp- gifterna har lämnats i ett ärende eller är nödvändiga för hand- läggningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

2 § 2

Uppgifter får behandlas i data-

Uppgifter får behandlas i data-

basen för tillhandahållande av in-

basen för att tillhandahålla

formation som behövs i Krono-

information som behövs i Krono-

2 Senaste lydelse 2016:685.

17

Prop. 2017/18:95

fogdemyndighetens

och

Skatte-

fogdemyndighetens

och

Skatte-

verkets verksamhet för

verkets verksamhet för

1. verkställighet eller annan åtgärd som särskilt åligger Kronofogde-

myndigheten enligt utsökningsbalken eller annan författning,

2. indrivning av statliga fordringar m.m.,

3. avräkning vid återbetalning av skatter och avgifter,

4. ansökan om och tillsyn över näringsförbud,

5. förebyggande av överskuldsättning och information om skuld-

sanering och F-skuldsanering,

6. fullgörande av ett åliggande som följer av ett för Sverige bindande

internationellt åtagande, och

7. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter

som

får

behandlas

enligt första stycket får även

behandlas i databasen för till-

handahållande av information som

behövs i Kronofogdemyndighetens

verksamhet

för

handläggning

av

ärenden om skuldsanering och F-

skuldsanering.

3 § 3

Uppgifter får behandlas i data-

Uppgifter som behandlas enligt

basen för att tillhandahålla infor-

2 § får även behandlas i databasen

mation som behövs i författnings-

för

reglerad

verksamhet hos

någon

1. att tillhandahålla information

annan än Kronofogdemyndigheten

som behövs i författningsreglerad

för

verksamhet hos någon annan än

Kronofogdemyndigheten för

1. avräkning vid återbetalning av

a) avräkning

vid

återbetalning

skatter och avgifter,

av skatter och avgifter,

2. kvittning vid

utbetalning

av

b) kvittning

vid utbetalning

av

bidrag,

bidrag,

3. planering,

samordning

och

c) planering,

samordning

och

uppföljning av revision och annan

uppföljning av revision och annan

kontrollverksamhet

vid

beskatt-

kontrollverksamhet

vid

beskatt-

ning och tulltaxering,

ning och tulltaxering,

4. utredningar vid bestämmande

d) utredningar vid bestämmande

och betalning av skatter, tullar och

och betalning av skatter, tullar och

avgifter,

avgifter,

5. ärenden om ansvar för någon

e) ärenden om ansvar för någon

annans skatter och avgifter, och

annans skatter och avgifter, och

6. kontroll

och

tillsyn

samt

f) kontroll

och

tillsyn samt

lämplighets-

och

tillstånds-

lämplighets-

och

tillstånds-

prövning

och

annan

liknande

prövning och annan

liknande

prövning .

prövning ,

2. att tillhandahålla information

3 Senaste lydelse 2016:779.

18

Uppgifter får även behandlas i databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna upp- gifterna följer av lag eller förordning.

som behövs i Kronofogdemyndig- Prop. 2017/18:95 hetens verksamhet för handlägg-

ning av ärenden om skuldsanering och F-skuldsanering,

3. att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, och

4. andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

8 § 4

Uppgifter får behandlas i data-

Uppgifter får behandlas i data-

basen för

tillhandahållande

av

basen för

att

tillhandahålla

information

som

behövs

i

information

som

behövs

i

Kronofogdemyndighetens

verk-

Kronofogdemyndighetens

verk-

samhet för

samhet för

1. handläggningen av mål om betalningsföreläggande, handräckning eller europeiskt betalningsföreläggande,

2. tillhandahållande av utslag i mål om betalningsföreläggande och handräckning samt verkställighetsförklaring i mål om europeiskt betalningsföreläggande,

3. förebyggande av överskuldsättning och information om skuld- sanering och F-skuldsanering, och

4. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som får behandlas

enligt första stycket får även behandlas i databasen för till- handahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F- skuldsanering.

9 § 5

Uppgifter

får behandlas

i data-

Uppgifter som behandlas enligt

basen för

att tillhandahålla

8 § får även behandlas i databasen

information

som behövs i

författ-

för

4 Senaste lydelse 2016:685.

5 Senaste lydelse 2016:779.

19

Prop. 2017/18:95

ningsreglerad

verksamhet

hos

1. att tillhandahålla information

någon annan än Kronofogde-

som behövs i författningsreglerad

myndigheten

för tillsyn

samt

verksamhet

hos

någon

annan

än

lämplighets- och tillståndspröv-

Kronofogdemyndigheten

för

till-

ning och annan liknande prövning.

syn samt

lämplighets-

och

till-

ståndsprövning

och

annan

liknande prövning ,

2. att tillhandahålla information

som behövs i Kronofogdemyndig-

hetens verksamhet för hand-

läggning

av

ärenden

om

skuldsanering

och

F-skuld-

sanering,

3. att fullgöra uppgiftslämnande

som sker i överensstämmelse med

lag eller förordning, och

4. andra

ändamål,

under

förutsättning att

uppgifterna

inte

behandlas på ett sätt som är

oförenligt med det ändamål för

vilket uppgifterna samlades in.

Uppgifter får även behandlas i databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna upp- gifterna följer av lag eller förordning.

14 § 6

Uppgifter får behandlas i data-

Uppgifter får behandlas i data-

basen för tillhandahållande av in-

basen för att tillhandahålla in-

formation som behövs i Krono-

formation som behövs i Krono-

fogdemyndighetens

verksamhet

fogdemyndighetens

verksamhet

för

för

1. handläggning av ärenden om skuldsanering och F-skuldsanering,

2. förebyggande av överskuldsättning, och

3. tillsyn, kontroll, uppföljning och planering av verksamheten.

15 § 7

Uppgifter får behandlas i data-

Uppgifter

som behandlas enligt

basen för att tillhandahålla infor-

14 §

får

även behandlas

i

mation som behövs i författnings-

databasen för

reglerad verksamhet

hos

någon

1. att

tillhandahålla information

annan än Kronofogdemyndigheten

som behövs i författningsreglerad

för tillsyn samt lämplighets- och

verksamhet hos någon annan än

tillståndsprövning

och

annan

Kronofogdemyndigheten

för

6 Senaste lydelse 2016:685.

7 Senaste lydelse 2016:779.

20

Uppgifter som behandlas enligt 20 § får även behandlas i databasen för

1. att tillhandahålla information som behövs i Kronofogdemyndig- hetens verksamhet för handlägg- ning av ärenden om skuldsanering

liknande prövning.

Uppgifter får även behandlas i databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna upp- gifterna följer av lag eller förordning.

tillsyn samt lämplighets- och Prop. 2017/18:95 tillståndsprövning och annan

liknande prövning ,

2. att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, och

3. andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

20 § 8

Uppgifter får behandlas i data-

Uppgifter får behandlas i data-

basen för tillhandahållande av

basen för att

tillhandahålla

information som behövs i Krono-

information som behövs i Krono-

fogdemyndighetens

verksamhet

fogdemyndighetens

verksamhet

för

för

1. handläggningen av konkurstillsynsärenden och mål enligt löne- garantilagen (1992:497),

2. förebyggande av överskuldsättning och information om skuld- sanering och F-skuldsanering, och

3. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som får behandlas en-

ligt första stycket får även behandlas i databasen för till- handahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F- skuldsanering.

20 a § 9

Uppgifter får utöver det som anges i 20 § behandlas i databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

8 Senaste lydelse 2016:685.

9 Senaste lydelse 2016:779.

21

Prop. 2017/18:95

och F-skuldsanering,

2. att fullgöra uppgiftslämnande

som sker i överensstämmelse med

lag eller förordning, och

3. andra

ändamål,

under

förutsättning

att uppgifterna inte

behandlas på ett sätt som är

oförenligt med det ändamål för

vilket uppgifterna samlades in.

30 § 10

Kronofogdemyndigheten får ta ut avgifter för att lämna ut uppgifter ur

en databas enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt

Rätten att ta ut avgifter får inte

första stycket får inte innebära

innebära en inskränkning i

inskränkning i rätten att ta del av

1. rätten att ta del av och mot

och mot fastställd avgift få kopia

fastställd avgift få kopia eller

eller utskrift av allmän handling

utskrift av en allmän handling

enligt tryckfrihetsförordningen.

enligt

tryckfrihetsförordningen ,

eller

2. en

registrerads rätt

enligt

artikel 12.5 i EU:s dataskydds- förordning.

3 kap.

Rätten att göra invändningar

3 §

Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Rättelse

3 a § 11

Kronofogdemyndigheten ska på begäran av den registrerade snarast rätta, blockera eller utplåna sådana uppgifter som

1. inte har behandlats i enlighet med denna lag eller anslutande författningar, eller

2. är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser.

10 Senaste lydelse 2006:733.

11 Senaste lydelse 2008:213.

22

Om uppgifterna lämnats ut till tredje man, ska Kronofogde- Prop. 2017/18:95 myndigheten underrätta denne om åtgärd enligt första stycket, om den

registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade kan undvikas på detta sätt. Någon underrättelse behöver dock inte lämnas, om detta skulle innebära en oproportionerligt stor arbetsinsats.

I fråga om personuppgifter finns bestämmelser om rättelse m.m. också i EU:s dataskydds- förordning.

4 §

En

myndighets

beslut

om

Beslut

om rättelse enligt

3 a §

rättelse och om

information

första

stycket får överklagas

till

som skall lämnas enligt 26 §

allmän förvaltningsdomstol .

personuppgiftslagen

(1998:204) får överklagas

hos

allmän

förvaltningsdomstol.

Andra beslut enligt denna lag får inte överklagas.

Prövningstillstånd krävs vid överklagande till kammarrätten.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

23

Prop. 2017/18:95

24

2.5 Förslag till lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

Härigenom föreskrivs i fråga om lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

dels att 3 kap. 1–4 §§ ska upphöra att gälla,

dels att rubrikerna närmast före 3 kap. 1, 3 och 4 §§ ska utgå,

dels att 1 kap. 2–4, 5 och 7 §§, 2 kap. 11 § och rubriken närmast före 1 kap. 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 kap. 1 §, och närmast före 3 kap. 1 § en ny rubrik av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1 kap.

Förhållandet till

personuppgifts-

Förhållandet till annan reglering

lagen

2 §

Om inte annat anges i 3 § eller

Denna

lag

innehåller

3 kap. gäller denna lag i stället för

bestämmelser

som

kompletterar

personuppgiftslagen (1998:204).

Europaparlamentets

och rådets

förordning (EU) 2016/679 av den

27 april 2016 om skydd för fysiska

personer med avseende på be-

handling

av

personuppgifter

och

om det fria flödet av sådana

uppgifter och om upphävande av

direktiv 95/46/EG (allmän data-

skyddsförordning), här benämnd

EU:s dataskyddsförordning.

En registrerad har inte rätt att

motsätta sig sådan behandling som

är tillåten enligt denna lag.

3 § 1

När personuppgifter behandlas

Vid behandling av person-

enligt denna lag eller enligt andra

uppgifter enligt denna lag gäller

föreskrifter som

meddelats med

lagen

(2018:000)

med

stöd av lagen gäller person-

kompletterande bestämmelser

till

uppgiftslagens (1998:204) bestäm-

EU:s dataskyddsförordning

och

melser om

föreskrifter som har meddelats i

1. definitioner i 3 §,

anslutning till den lagen, om inte

2. förhållandet till offentlighets-

annat följer av denna lag eller

principen m.m. i 8 §,

föreskrifter som har

meddelats i

1 Senaste lydelse 2005:790.

Uppgifter som behandlas enligt 4 § får även behandlas för

1. att tillhandahålla information som behövs i författningsreglerad verksamhet hos någon annan än Tullverket för

a) fastställande av underlag för

3. grundläggande krav på

be-

anslutning till lagen.

Prop. 2017/18:95

handling i 9 §, med undantag för

vad som sägs i första stycket i och

tredje stycket,

4. säkerheten vid behandling i

30–32 §§,

5. överföring av personuppgifter

till tredje land i 33–35 §§,

6. personuppgiftsombud, m.m. i

36 § andra stycket och 38–41 §§,

7. upplysningar

till allmänheten

om vissa behandlingar i 42 §,

8. tillsynsmyndighetens

befogenheter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person-

uppgifter som inte sker i databasen

gäller även

22 §

personuppgifts-

lagen.

4 § 2

Uppgifter

får

behandlas

för

Uppgifter får behandlas för att

tillhandahållande

av information

tillhandahålla information

som

som behövs hos Tullverket för

behövs hos Tullverket för

1. bestämmande, redovisning, betalning och återbetalning av tull, annan skatt och avgifter,

2. övervakning, revision och annan analys- eller kontrollverksamhet,

3. fullgörande av ett åliggande som följer av ett för Sverige bindande internationellt åtagande, och

4. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som behandlas enligt

första stycket får även behandlas för tillhandahållande av informa- tion som behövs i Tullverkets brottsbekämpande verksamhet en- ligt 2 kap. 5 § tullbrottsdatalagen (2017:447).

5 § 3 Uppgifter får behandlas för att

tillhandahålla information som behövs i författningsreglerad verk- samhet hos någon annan än Tullverket för

1. fastställande av underlag för

2 Senaste lydelse 2017:449.

3 Senaste lydelse 2016:780.

25

Prop. 2017/18:95 samt bestämmande, redovisning, betalning och återbetalning av skatter eller avgifter,

2. revision och annan analys- eller kontrollverksamhet,

3. tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning, och

4. utsökning och indrivning.

Uppgifter får även behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

samt bestämmande, redovisning, betalning och återbetalning av skatter eller avgifter,

b) revision och annan analys- eller kontrollverksamhet,

c) tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning, och

d) utsökning och indrivning ,

2. att tillhandahålla information som behövs i Tullverkets brottsbe- kämpande verksamhet enligt 2 kap. 5 § tullbrottsdatalagen (2017:447),

3. att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, och

4. andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

7 §

Känsliga

personuppgifter

som

Personuppgifter

som

avses i

anges i 13 § personuppgiftslagen

artikel 9.1 i EU:s dataskydds-

(1998:204)

och

uppgifter

om

förordning

(känsliga

person-

lagöverträdelser m.m. som anges i

uppgifter) och uppgifter om lag-

21 §

samma

lag

får

behandlas

överträdelser som innefattar brott,

endast om uppgifterna har lämnats

domar

i

brottmål,

straff-

i ett ärende eller är nödvändiga för

processuella

tvångsmedel

eller

handläggningen av det.

administrativa

frihetsberövanden

får

behandlas

endast

om

uppgifterna har lämnats i ett

ärende eller är nödvändiga för

handläggningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast

om det särskilt anges i 2 kap.

2 kap.

11 §

Tullverket får ta ut avgifter för att lämna ut uppgifter ur databasen

enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt

Rätten att ta ut avgifter får inte

första

stycket

får

inte

innebära

innebära en inskränkning i

26

inskränkning i rätten att ta del av

1. rätten att

ta

del av

och

mot

och mot fastställd avgift få kopia

fastställd

avgift

få

kopia

eller Prop. 2017/18:95

eller utskrift av allmän handling

utskrift

av en

allmän handling

enligt tryckfrihetsförordningen.

enligt

tryckfrihetsförordningen ,

eller

2. en

registrerads

rätt

enligt

artikel 12.5 i EU:s dataskydds-

förordning.

3 kap.

Rätten att göra invändningar

1 §

Artikel 21.1 i EU:s dataskydds-

förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

27

Prop. 2017/18:95

28

2.6 Förslag till lag om ändring i lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter

Härigenom föreskrivs i fråga om lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och boupptecknings- verksamheter

dels att 3 och 10 §§ ska upphöra att gälla, dels att rubriken närmast före 10 § ska utgå,

dels att 4, 6 och 7 §§ och rubriken närmast före 4 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 10 §, och närmast före 10 § en ny rubrik av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

Förhållandet till personuppgifts-

Förhållandet till annan reglering

lagen

4 §

Vid behandling av person- uppgifter som omfattas av denna lag gäller personuppgiftslagen (1998:204) , om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Denna lag innehåller bestäm- melser som kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen , om inte annat följer av denna lag eller före- skrifter som har meddelats i anslutning till lagen.

6 §

Personuppgifter

får behandlas

om det behövs i Skatteverkets

äktenskapsregister- och bouppteckningsverksamheter.

Personuppgifter

som behandlas

Personuppgifter

som behandlas

enligt första stycket får också

enligt första stycket får också

behandlas om det behövs för att

behandlas om det

behövs för att

fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).

fullgöra uppgiftslämnande som

Prop. 2017/18:95

sker i överensstämmelse med lag

eller förordning. Sådana uppgifter får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

7 §

Känsliga personuppgifter som anges i 13 § personuppgiftslagen (1998:204) får behandlas i en handling som har lämnats i ett ärende. Sådana uppgifter får behandlas även i en handling som har upprättats i ett ärende, om de är nödvändiga för ärendets hand- läggning.

Personuppgifter som avses i artikel 9.1 i EU:s dataskydds- förordning (känsliga person- uppgifter) får behandlas i en handling som har lämnats i ett ärende. Sådana uppgifter får behandlas även i en handling som har upprättats i ett ärende, om de är nödvändiga för ärendets handläggning.

Rätten att göra invändningar

10 §

Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Denna lag träder i kraft den 25 maj 2018.

29

Prop. 2017/18:95

30

2.7 Förslag till lag om ändring i lagen (2015:899) om identitetskort för folkbokförda i Sverige

Härigenom föreskrivs i fråga om lagen (2015:899) om identitetskort för folkbokförda i Sverige

dels att 9 och 18 §§ ska upphöra att gälla, dels att rubriken närmast före 18 § ska utgå,

dels att 10, 12, 13 och 17 §§ och rubriken närmast före 10 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 18 §, och närmast före 18 § en ny rubrik av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

Förhållandet till

personuppgifts- Förhållandet till annan reglering

lagen

10 §

Vid behandling av person- uppgifter i databasen gäller personuppgiftslagen (1998:204) om inte annat följer av denna lag eller föreskrifter som har med- delats i anslutning till lagen.

Denna lag innehåller bestäm- melser som kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen , om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

12 §

Personuppgifter får behandlas i databasen om det behövs i den utfärdande myndighetens verksamhet för utfärdande av identitetskort.

Personuppgifter som behandlas

Personuppgifter som behandlas

enligt första stycket får också

enligt första stycket får också

behandlas om det behövs för att

behandlas om det behövs för att

fullgöra uppgiftsutlämnande som

fullgöra uppgiftsutlämnande som

sker i överensstämmelse med lag

sker i överensstämmelse med lag

eller förordning. I övrigt gäller 9 §

eller förordning. Sådana uppgifter

13 §

Känsliga personuppgifter som Personuppgifter som avses i anges i 13 § personuppgiftslagen artikel 9.1 i EU:s dataskydds- (1998:204) får behandlas i en förordning (känsliga person- handling som har lämnats i ett uppgifter) får behandlas i en ärende. Sådana uppgifter får handling som har lämnats i ett behandlas även i en handling som ärende. Sådana uppgifter får har upprättats i ett ärende, om de behandlas även i en handling som är nödvändiga för ärendets hand- har upprättats i ett ärende, om de läggning. är nödvändiga för ärendets

handläggning.

17 §

Ansiktsbilden enligt 2 § 1 och 14 § får inte användas vid sökning med hjälp av automatiserad behandling.

Känsliga personuppgifter som Känsliga personuppgifter som avses i 13 § och uppgifter om avses i 13 § och uppgifter om lagöverträdelser som avses i 21 § lagöverträdelser som innefattar personuppgiftslagen (1998:204) brott, domar i brottmål, straff- får inte användas som sökbegrepp. processuella tvångsmedel eller

administrativa frihetsberövanden får inte användas som sökbegrepp.

Rätten att göra invändningar

18 §

Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Denna lag träder i kraft den 25 maj 2018.

första stycket d och andra stycket personuppgiftslagen (1998:204).

får behandlas även för andra Prop. 2017/18:95 ändamål, under förutsättning att

uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

31

Prop. 2017/18:95

3

Ärendet och dess beredning

I en promemoria (dnr Fi/2017/02899/S3) som remitterades den 29 juni

2017 har Finansdepartementet lämnat förslag till anpassade regler om

personuppgiftsbehandling inom skatt, tull och exekution med anledning

av

Europaparlamentets

och rådets

förordning (EU) 2016/679

av

den 27 april 2016 om skydd för fysiska personer med avseende på

behandling av personuppgifter och om det fria flödet av sådana uppgifter

och om upphävande av direktiv 95/46/EG (allmän dataskyddsförord-

ning), här kallad EU:s dataskyddsförordning. Dataskyddsförordningen

ska börja tillämpas den 25 maj 2018. De lagar som det föreslås ändringar

i är s.k. registerförfattningar, dvs. författningar om behandling av person-

uppgifter, som reglerar Skatteverkets, Tullverkets och Kronofogdemyn-

dighetens behandling av personuppgifter i deras olika verksamheter.

Promemorians lagförslag finns i bilaga 1 . Promemorian har remiss-

behandlats och en förteckning av remissinstanserna finns i bilaga 2 .

Remissvaren

finns

tillgängliga

i

Finansdepartementet

(dnr

Fi/2017/02899/S3).

Lagrådet

Regeringen beslutade den 11 januari 2018 att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 3 . Lagrådets yttrande finns i bilaga 4 . Lagrådet har lämnat förslagen utan erinran. I förhållande till lagråds- remissen har vissa smärre ändringar av redaktionell och språklig karaktär gjorts i lagtexten.

4

Bakgrund

4.1

EU:s dataskyddsreform

Den allmänna regleringen om behandling av personuppgifter inom EU

finns i

dag i Europaparlamentets och rådets direktiv 95/46/EG av

den 24 oktober 1995 om skydd för enskilda personer med avseende på

behandling av personuppgifter och om behandling av det fria flödet av

sådana uppgifter, här kallat 1995 års dataskyddsdirektiv. Direktivet syftar

till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när

det gäller enskilda personers fri- och rättigheter med avseende på

behandling av personuppgifter, samt att främja ett fritt flöde av person-

uppgifter mellan medlemsstaterna i EU. 1995 års dataskyddsdirektiv har

genomförts i svensk rätt genom personuppgiftslagen (1998:204), förkor-

tad PUL, som är generellt tillämplig vid behandling av personuppgifter.

Därtill finns ett antal sektorsspecifika författningar som reglerar behand-

ling av personuppgifter hos framför allt myndigheter, registerförfatt-

ningar.

År 2012 lade Europeiska kommissionen fram ett förslag till en refor-

merad dataskyddsreglering i EU. Förslaget avsåg dels en förordning med

32

allmänna EU-regler om skydd av personuppgifter som skulle ersätta

1995 års dataskyddsdirektiv, dels ett direktiv med regler om skydd av Prop. 2017/18:95 personuppgifter som behandlas i samband med förebyggande, utredning,

avslöjande eller lagföring av brott och därmed förbunden rättslig verksamhet.

Den 27 april 2016 antogs EU:s dataskyddsförordning. Den är en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta 1995 års dataskyddsdirektiv när den börjar tillämpas den 25 maj 2018. Enligt artikel 288 andra stycket i fördraget om Europe- iska unionens funktionssätt ska en EU-förordning ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat. Till skillnad från EU-direktiv ska alltså förordningar inte genomföras i nationell rätt. Även om dataskyddsförordningen, till skillnad från 1995 års dataskyddsdirektiv, är direkt tillämplig innehåller den många bestäm- melser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Förordningen har därmed i vissa delar en direktivliknande karaktär.

Samtidigt med dataskyddsförordningen antogs ett nytt dataskydds- direktiv med bestämmelser om behandling av personuppgifter inom den brottsbekämpande sektorn, Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller verkställa straffrättsliga på- följder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, här kallat det nya dataskyddsdirektivet. Sådan behandling som omfattas av det nya dataskyddsdirektivet är undantagen från dataskyddsförordningens tillämpningsområde.

4.2 Författningsarbete med anledning av dataskyddsreformen

En utredning har föreslagit de anpassningar och kompletterande författ- ningsändringar på generell nivå som EU:s dataskyddsförordning ger anledning till för svenskt vidkommande, Dataskyddsutredningen (Ju 2016:04, dir. 2016:15). Utredningen lämnade den 12 maj 2017 sitt betänkande Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). I betänkandet föreslås bl.a. att personuppgiftslagen ska upphävas och att det ska införas en lag med kompletterande bestämmelser till EU:s dataskyddsförordning, här kallad dataskyddslagen. I propositionen Ny dataskyddslag (prop. 2017/18:105) följer regeringen huvudsakligen betänkandets lagförslag.

Dataskyddsutredningens arbete och betänkande har inte omfattat en översyn eller förslag till förändringar av sådan sektorsspecifik reglering om behandling av personuppgifter som finns bl.a. i de särskilda register- författningarna för myndigheter eller i andra författningar som rör sektorsspecifik behandling av personuppgifter. Arbetet med att anpassa sådan reglering till den nya förordningen har i stället utförts på andra sätt. Ett antal utredningar har sett över behovet av författningsändringar med avseende på vissa specifika sektorer. På vissa områden har översyns-

arbetet bedrivits inom Regeringskansliet.

33

Prop. 2017/18:95 En utredning tillsattes även för att genomföra det nya dataskydds- direktivet (Utredningen om 2016 års dataskyddsdirektiv, Ju 2016:06). Utredningen lämnade delbetänkande den 5 april 2017 och slutbetänkande den 3 oktober 2017. Förslagen bereds inom Regeringskansliet.

Det kan också nämnas att även Utredningen om tillsynen över den personliga integriteten har lämnat förslag på anpassningar med anledning av dataskyddsreformen i betänkandet Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65). Det föreslås bl.a. att Data- inspektionen ska utses till svensk nationell tillsynsmyndighet enligt dataskyddsförordningen och det nya dataskyddsdirektivet. Betänkandet bereds inom Regeringskansliet.

4.3 Översynen som ligger till grund för denna proposition

På skatte- och tullavdelningen vid Finansdepartementet har det gjorts en översyn av vilka ändringar i avdelningens författningar som föranleds av EU:s dataskyddsförordning. De författningar som berörs av översynen rör i huvudsak behandling av personuppgifter hos Skatteverket, Tull- verket och Kronofogdemyndigheten, dock inte personuppgiftsbehandling vid brottsbekämpande verksamhet. Översynen ledde till den promemoria som har remitterats (dnr Fi/2017/02899/S3) och som ligger till grund för denna proposition. I propositionen lämnas förslag till de lagändringar som bedöms nödvändiga eller lämpliga. Vissa överväganden som har gjorts, men som inte har lett till författningsförslag, redovisas också.

Som framgår ovan medför även det nya dataskyddsdirektivet att författningar ses över. Utredningen om 2016 års dataskyddsdirektiv har haft i uppdrag att föreslå de ändringar som behövs för att anpassa vissa centrala författningar om rättsväsendets personuppgiftsbehandling till direktivets förpliktelser. Skattebrottsdatalagen (2017:452) och tullbrotts- datalagen (2017:447) är exempel på sådana författningar. Trots att de avser Skatteverkets och Tullverkets personuppgiftsbehandling omfattas dessa författningar därför inte av den översyn som ligger till grund för denna proposition. Vissa författningar berör både sådan behandling som omfattas av dataskyddsförordningen och det nya dataskyddsdirektivet. Av den anledningen behandlas i denna proposition vissa frågor som har koppling till direktivet.

5 Gällande rätt

5.1 Dataskyddsdirektivet och personuppgiftslagen

I det följande redogörs kort för den centrala nu gällande EU-rättsakt som dataskyddsförordningen ersätter, nämligen 1995 års dataskyddsdirektiv, och för personuppgiftslagen som tillsammans med ett stort antal registerförfattningar har genomfört 1995 års dataskyddsdirektiv. I Data-

34

skyddsutredningens betänkande finns en närmare redogörelse av interna- Prop. 2017/18:95 tionell och svensk rätt på dataskyddsområdet (SOU 2017:39 avsnitt 3).

1995 års dataskyddsdirektiv syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Enligt direktivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligt angivna vid tiden för insam- ling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen.

1995 års dataskyddsdirektiv gäller inte för behandling av person- uppgifter på områden som faller utanför gemenskapsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område.

Direktivet har genomförts i svensk rätt huvudsakligen genom person- uppgiftslagen. Bestämmelserna i personuppgiftslagen har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. De följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om personupp- giftsansvar, grundläggande krav för behandling av personuppgifter, information till den registrerade, skadestånd och straff.

Personuppgiftslagen är tillämplig även utanför EU-rättens område och gäller både för myndigheter och enskilda som behandlar personuppgifter. Personuppgiftslagen är samtidigt subsidiär, vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Det finns en stor mängd sådana bestäm- melser i sektorsspecifika författningar som främst reglerar hur olika myndigheter får behandla personuppgifter, se t.ex. i avsnittet nedan.

Personuppgiftslagen kompletteras också av bestämmelser i person- uppgiftsförordningen (1998:1191) som bl.a. anger Datainspektionen som tillsynsmyndighet.

5.2 Registerförfattningar på skatte- och tullavdelningens område

Skatte- och tullavdelningen vid Finansdepartementet ansvarar för myn- digheterna Skatteverket, Tullverket och Kronofogdemyndigheten. För var och en av dessa myndigheter finns registerförfattningar.

Inom Skatteverket, Tullverket och Kronofogdemyndigheten förekom- mer också viss personuppgiftsbehandling som inte omfattas av de särskilda registerförfattningarna. Sådan behandling sker med stöd av den generella regleringen i personuppgiftslagen.

För Skatteverkets behandling av personuppgifter gäller ett antal olika registerförfattningar. Lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet och den tillhörande förordningen (2001:588) tillämpas vid behandling av personuppgifter i Skatteverkets

beskattningsverksamhet och i verkets handläggning enligt lagen

35

Prop. 2017/18:95 (2007:324) om Skatteverkets hantering av vissa borgenärsuppgifter, lagen (2013:948) om stöd vid korttidsarbete och lagen (1991:1047) om sjuklön, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Vid Skatteverkets folkbokföringsverksamhet gäller lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverk- samhet och den tillhörande förordningen (2001:589). Skatteverket har också verksamhet som avser det statliga personadressregistret, SPAR, varvid lagen (1998:527) om det statliga personadressregistret och den tillhörande förordningen (1998:1234) gäller.

I Skatteverkets verksamheter med äktenskapsregister och bouppteck- ning gäller lagen (2015:898) om behandling av personuppgifter i Skatte- verkets äktenskapsregister- och bouppteckningsverksamheter och den tillhörande förordningen (2015:905). I lagen (2015:899) om identitets- kort för folkbokförda i Sverige och den tillhörande förordningen (2015:904) finns bestämmelser om en databas som innehåller person- uppgifter och som ska föras i verksamheten med utfärdande av identitets- kort för folkbokförda i Sverige. Sistnämnda lag reglerar inte endast personuppgiftsbehandlingen i databasen utan även verksamheten med utfärdande av id-kort.

I Skatteverkets brottsbekämpande verksamhet gäller skattebrottsdata- lagen. Skattebrottsdatalagen omfattas av det nya dataskyddsdirektivet och omfattas därför inte av några förslag i denna proposition.

I fråga om Tullverkets personuppgiftsbehandling gäller lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet och den tillhörande förordningen (2001:646). Vid Tullverkets brottsbekämpande verksamhet gäller tullbrottsdatalagen. I likhet med vad som sägs om Skatteverket omfattas tullbrottsdatalagen av det nya dataskyddsdirektivet och därför inte av några förslag i denna proposition.

I fråga om Kronofogdemyndighetens behandling av personuppgifter gäller lagen (2001:184) om behandling av uppgifter i Kronofogdemyn- dighetens verksamhet och den tillhörande förordningen (2001:590). Lagen tillämpas vid behandling av personuppgifter i Kronofogdemyndig- hetens verksamhet med utsökning och indrivning, skuldsanering, F- skuldsanering, betalningsföreläggande och handräckning, europeiskt betalningsföreläggande, tillsyn i konkurs samt i annan verksamhet som särskilt åligger Kronofogdemyndigheten.

De flesta av de nämnda författningarna är uppbyggda på samma sätt som lagen om behandling av uppgifter i Skatteverkets beskattningsverk- samhet vad avser automatiserad behandling. De flesta författningarna är vidare uppbyggda så att de gäller i stället för personuppgiftslagen eller att personuppgiftslagen gäller om det inte finns avvikande bestämmelser i registerförfattningen. I de författningar som gäller i stället för personupp- giftslagen anges de bestämmelser i personuppgiftslagen som gäller när personuppgifter behandlas enligt den författningen. Några av författ- ningarna gäller delvis även vid behandling av uppgifter om juridiska personer och uppgifter om avlidna. De flesta författningarna innehåller bestämmelser om behandling av uppgifter i särskilda databaser.

36

5.3

Andra författningar på skatte- och

Prop. 2017/18:95

tullavdelningens område

Inte bara registerförfattningar innehåller bestämmelser om behandling av personuppgifter. På skatte- och tullavdelningens område finns även andra författningar som innehåller bestämmelser om behandling av person- uppgifter, eller som kan medföra behandling av personuppgifter, och som kan beröras av den nya dataskyddsförordningen. Det är t.ex. författningar om internationellt samarbete och författningar som reglerar beskattnings- eller tullverksamheten eller verksamheten med utsökning och indrivning. Som exempel kan nämnas lagen (2000:1219) om internationellt tull- samarbete, lagen (2015:912) om automatiskt utbyte av upplysningar om finansiella konton, lagen (2011:1537) om bistånd med indrivning av skatter och avgifter inom Europeiska unionen, skatteförfarandelagen (2011:1244), tullagen (2016:253) och lagen (2004:629) om trängselskatt. De innehåller t.ex. bestämmelser om uppgiftsskyldighet mellan myndig- heter eller från myndigheter till andra länder och om möjligheter att lämna uppgifter till andra, dvs. frivilligt uppgiftslämnande. Sådan uppgiftsskyldighet kan medföra behandling av personuppgifter.

6 Dataskyddsförordningens tillämplighet

Regeringens bedömning: En stor del av den personuppgiftsbehand- ling som regleras i berörda lagar omfattas av dataskyddsförordningens tillämpningsområde.

Promemorians bedömning: Överensstämmer med regeringens bedömning.

Remissinstanserna: Dataskydd.net tillstyrker bedömningen. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen. Tullverket och Kronofogdemyndigheten framför önskemål om att författningarna för deras respektive personuppgiftsbehandling ska ses över i vissa avseen- den, som inte direkt krävs med anledning av de nya dataskyddsreglerna. Justitiekanslern önskar en större samordning av det anpassningsarbete som sker samtidigt i olika lagstiftningsärenden med anledning av de nya dataskyddsreglerna, t.ex. att enhetliga principer bör användas gällande struktur och språk. Sveriges advokatsamfund anser att det på grund av de många registerförfattningarna finns tillämpningsproblem och att det är olyckligt att uppdraget inte har varit att ta fram en enhetlig reglering för berörd del av den offentliga verksamheten.

Skälen för regeringens bedömning

Helt eller delvis automatisk behandling

EU:s dataskyddsförordning är direkt tillämplig, men förutsätter och

möjliggör också

kompletterande nationella

bestämmelser. Att

den är

direkt tillämplig

innebär att förordningens

tillämpningsområde

direkt

avgör huruvida en viss behandling av personuppgifter måste följa regler-

37

Prop. 2017/18:95

38

na i förordningen. Artikel 2 reglerar dataskyddsförordningens materiella tillämpningsområde. Enligt artikel 2.1 ska förordningen tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personupp- gifter som ingår i eller kommer att ingå i ett register.

Den personuppgiftsbehandling som Skatteverket, Tullverket och Kronofogdemyndigheten utför i sina verksamheter äger till stor del rum på det sätt som anges i artikel 2.1. Som framgår i avsnitt 5.2 gäller också registerförfattningarna för myndigheterna om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Personkretsen

I dataskyddsförordningen fastställs bestämmelser om skydd för fysiska personer med avseende på behandlingen av personuppgifter och om det fria flödet av personuppgifter (artikel 1). Dataskyddsförordningen om- fattar alltså inte behandling av personuppgifter rörande juridiska perso- ner, vilket också framgår av skäl 14. Av skäl 27 framgår att förordningen inte heller gäller behandling av personuppgifter rörande avlidna personer, men att medlemsstaterna får fastställa bestämmelser för behandlingen av personuppgifter rörande avlidna personer.

De berörda myndigheterna behandlar uppgifter både om fysiska och juridiska personer, men också i vissa fall om avlidna. I likhet med data- skyddsförordningen tar nu aktuella registerförfattningar sikte på behand- ling av personuppgifter. Vissa bestämmelser i registerförfattningarna gäller dock även vid behandling av uppgifter om juridiska personer eller avlidna. Att vissa bestämmelser gäller även vid behandling av uppgifter om juridiska och/eller avlidna personer medför inte att dataskyddsförord- ningen blir tillämplig för den kretsen.

Verksamhet som inte omfattas av unionsrätten

Enligt artikel 2.2 a i dataskyddsförordningen ska förordningen inte tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. I prop. 2017/18:105 behandlar regeringen denna fråga. Exakt vilka verksamheter som faller utanför unionsrättens tillämpningsområde och därmed inte omfattas av förordningens bestämmelser om behandling av personuppgifter är enligt regeringen inte helt klart, förutom när det gäller verksamhet rörande nationell säkerhet som uttryckligen nämns i skälen. Även en restriktiv tolkning av undantaget från förordningens tillämpningsområde bör emellertid innebära att det inom den offentliga sektorn också finns annan verksamhet som faller utanför unionsrättens tillämpningsområde (prop. 2017/18:105 s. 29).

Det är inte otänkbart att viss behandling som omfattas av nu aktuella lagar skulle kunna anses falla utanför förordningens tillämpningsområde på den grunden. Skatteverket behandlar personuppgifter i sin beskatt- ningsverksamhet som bl.a. innefattar frågor om direkt skatt (inkomst- skatt), där unionen som utgångspunkt saknar befogenheter och där medlemsstaterna har självständig beslutanderätt. I prop. 2017/18:105

föreslås dock bl.a. att bestämmelserna i dataskyddsförordningen, i den ursprungliga lydelsen, ska gälla även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. (1 kap. 2 § förslaget till dataskyddslag). Detta kan delvis liknas vid att personuppgiftslagen har gjorts generellt tillämplig, se avsnitt 5.1.

I författningskommentaren till den föreslagna bestämmelsen anges bl.a. att det finns bestämmelser i förordningen som inte kan tillämpas i rent nationella sammanhang. Som exempel nämns att det inte är möjligt att genom nationell rätt ålägga tillsynsmyndigheter i andra länder att samarbeta med den svenska tillsynsmyndigheten. Kapitel VII och kapitel X i dataskyddsförordningen är t.ex. inte tillämpliga inom det utsträckta tillämpningsområdet.

Förebygga, förhindra, utreda, avslöja eller lagföra brott

Artikel 2.2 d i dataskyddsförordningen som undantar den behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder innebär att den allra största delen av den personuppgifts- behandling som Skatteverket och Tullverket utför i sin brottsbekämpande verksamhet inte omfattas av dataskyddsförordningens tillämpningsom- råde. Här gäller i stället det nya dataskyddsdirektivet. Utredningen om 2016 års dataskyddsdirektiv har haft i uppdrag att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt. I delbetänkandet behandlas gränsdragningsfrågor avseende det nya dataskyddsdirektivet och dataskyddsförordningen (SOU 2017:29, avsnitt 8). Såväl Skatte- verkets som Tullverkets personuppgiftsbehandling berörs där. I slut- betänkandet föreslås de författningsändringar som krävs i de brotts- bekämpande myndigheternas registerförfattningar (SOU 2017:74). De författningar som reglerar myndigheternas personuppgiftsbehandling vid sådan verksamhet, skattebrottsdatalagen och tullbrottsdatalagen, omfattas som nämnts ovan därför inte av förslagen i denna proposition.

Vissa av lagarna som omfattas av översynen i promemorian som ligger till grund för denna proposition kan omfattas även av det nya data- skyddsdirektivets tillämpningsområde. Detta gäller t.ex. lagen om inter- nationellt tullsamarbete. Lagen tillämpas på internationellt tullsamarbete som 1. följer av en internationell överenskommelse med en annan stat eller mellanfolklig organisation som Sverige har tillträtt eller annars är förpliktat att följa och 2. har till syfte att förhindra, upptäcka, utreda eller beivra överträdelser av tullbestämmelser (1 kap. 1 §). Dessa överträdelser kan avse såväl straffbelagda som rent administrativa överträdelser.

Några övriga frågor

Sveriges advokatsamfund anser att det är olyckligt att uppdraget inte har varit att ta fram en enhetlig reglering för berörd del av den offentliga verksamheten. En sådan generell översyn av registerförfattningarna som Sveriges advokatsamfund men också Tullverket och Kronofogdemyn- digheten önskar är inte möjlig i detta lagstiftningsärende. Vid översynen har dock vissa behov av justeringar i lagarna uppmärksammats som inte har direkt samband med dataskyddsförordningen, och som omfattas av den remitterade promemorians förslag. I denna proposition behandlas

Prop. 2017/18:95

39

Prop. 2017/18:95 vissa sådana förslag till ändringar. Justitiekanslern önskar en större samordning av de anpassningar som föreslås i olika lagstiftningsärenden med anledning av de nya dataskyddsreglerna. I detta lagstiftningsärende har pågående förändringsarbete avseende andra författningar med liknande struktur som här aktuella beaktats, för att uppnå en så stor enhetlighet som möjligt.

7 Överväganden kring vissa grundläggande krav på behandling

7.1 Rättslig grund för behandling av personuppgifter

Regeringens bedömning: Den behandling av personuppgifter som får utföras enligt bestämmelser i de berörda lagarna eller som måste utföras med anledning av bestämmelser i dem är tillåten enligt artikel 6.1 och 6.3 i EU:s dataskyddsförordning.

Promemorians bedömning: Överensstämmer med regeringens bedömning.

Remissinstanserna: Datainspektionen efterfrågar ett tydligt utpekande av de rättsliga grunderna och en analys av att lagstiftningen är propor- tionell mot det legitima mål som eftersträvas. Dataskydd.net tillstyrker bedömningen men anser att det har skett en sammanblandning mellan vad som i dataskyddsrättslig mening är särskilt bestämda ändamål och tillåtna rättsliga grunder för behandling. Vidare bör bestämmelsen i 3 § lagen om det statliga personadressregistret flyttas till Skatteverkets instruktion för att skapa en rättslig grund för registret. UC AB anser att det i den fortsatta lagstiftningsprocessen bör tydliggöras att utlämnande av information för användning i kreditupplysningsverksamheten är en uppgift av allmänt intresse. Sveriges advokatsamfund anser att det finns oklarheter när det gäller frågan om den personuppgiftsbehandling som sker i s.k. eget utrymme hos en myndighet, bl.a. om sådan behandling är rättsligt grundad på det sätt som krävs. Sveriges advokatsamfund anser att denna fråga bör klargöras och att det bör ske genom regler i författning eller uttalanden i lagmotiv, för det fall myndigheten ska anses vara personuppgiftsansvarig för behandling i eget utrymme. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen.

Skälen för regeringens bedömning

Dataskyddsförordningens bestämmelser om rättslig grund

Den europeiska dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. I EU:s dataskydds- förordning räknas dessa rättsliga grunder upp i artikel 6.1. Behandling är enligt denna bestämmelse endast laglig om och i den mån som

åtminstone ett av följande villkor är uppfyllt:

40

a) Den registrerade har lämnat sitt samtycke till att dennes person- Prop. 2017/18:95 uppgifter behandlas för ett eller flera specifika ändamål.

b) Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.

c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

d) Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.

e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning.

f) Behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.

Bestämmelsen motsvarar i stora drag artikel 7 i 1995 års dataskydds- direktiv, som har genomförts i svensk rätt genom 10 § PUL.

Uppräkningen i artikel 6.1 är uttömmande. Om ingen av de grunder som anges där är tillämplig är behandlingen inte laglig och får därmed inte genomföras. De rättsliga grunderna är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling.

För myndigheters verksamhet är grunderna i artikel 6.1 c och 6.1 e i dataskyddsförordningen av särskilt intresse. Bestämmelserna motsvaras av artikel 7 c och 7 e i 1995 års dataskyddsdirektiv.

Artikel 6.1 c i dataskyddsförordningen är i sak likalydande med artikel 7 c i 1995 års dataskyddsdirektiv – personuppgifter får behandlas om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Enligt regeringens bedömning i prop. 2017/18:105 bör utgångspunkten vara att begreppet rättslig förpliktelse i de båda rättsakterna ska tolkas och tillämpas på samma sätt (s. 53).

Artikel 6.1 e i dataskyddsförordningen är i stora delar likalydande med artikel 7 e i 1995 års dataskyddsdirektiv. Av båda bestämmelserna fram- går att personuppgifter får behandlas om behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. I direktivets bestämmelse anges vidare att uppgifter får behandlas även om behandlingen är ett led i myndighetsutövning som utförs av tredje man till vilken uppgifterna har lämnats ut. Dataskyddsutredningen bedömer att mycket talar för att begreppet uppgift av allmänt intresse måste anses ha fått en vidare unionsrättslig betydelse genom dataskyddsförordningen än det hittills har haft. Bedömningen görs bl.a. eftersom det enligt dataskyddsförord- ningen, till skillnad från 1995 års dataskyddsdirektiv, inte är tillåtet för myndigheter att behandla personuppgifter med stöd av den rättsliga grund som utgår från en avvägning mellan den ansvariges berättigade

intressen och den registrerades rättigheter och intressen när de utför sina

uppgifter (SOU 2017:39 s. 123). Regeringen bedömer i prop.

2017/18:105 att för att myndigheternas verksamhet ska kunna fungera

41

Prop. 2017/18:95 även i fortsättningen måste begreppet uppgift av allmänt intresse ges en vid betydelse (s. 56).

Medlemsstaterna får enligt artikel 6.2 fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling för att efterleva punkterna 6.1 c och e.

Den grund för behandling som avses i artikel 6.1 c och e ska enligt artikel 6.3 fastställas i enlighet med unionsrätten eller den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Något mot- svarande krav på att grunden ska vara fastställd finns inte i 1995 års dataskyddsdirektiv eller i personuppgiftslagen. Det har därför ansetts möjligt att med stöd av 10 § d PUL utföra behandling av personuppgifter som är nödvändig för att utföra en arbetsuppgift av allmänt intresse, även om den rättsliga grunden inte är fastställd i författning eller liknande. Dataskyddsförordningen innebär däremot att bl.a. förpliktelser och uppgifter av allmänt intresse inte kan åberopas som rättsliga grunder för behandling av personuppgifter om den rättsliga grunden inte är fastställd i unionsrätten eller medlemsstatens nationella rätt.

Vid behandling som omfattas av artikel 6.1 c och e ska enligt artikel 6.3 också syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkten 6.1 e, vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning.

Av artikel 6.3 framgår vidare att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bl.a. de allmänna villkor som ska gälla, vilken typ av uppgifter som ska behandlas, ändamålsbegränsningar och lagringstid. Artikel 6.3 ställer också krav på att, i fråga om grunden för personupp- giftsbehandling, unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Detta krav på proportionalitet gäller även för sektorsspecifika dataskyddsbestämmelser.

Propositionen Ny dataskyddslag

I prop. 2017/18:105 uttalar sig regeringen bl.a. om vad kravet i data- skyddsförordningen på att den rättsliga grunden i vissa fall ska vara fastställd i unionsrätt eller nationell rätt innebär i fråga om nationell författningsreglering.

Det som ska fastställas i unionsrätten eller i nationell rätt är den grund för behandlingen som avses i artikel 6.1 c och e. Det krävs således inte en reglering i unionsrätten eller i nationell rätt av den personuppgifts- behandling som ska ske med stöd av dessa rättsliga grunder. Regeringen betonar därvid att dataskyddsförordningens krav på att grunden för behandlingen ska vara fastställd inte utgör någon nyhet när det gäller svenska myndigheters behandling av personuppgifter. I propositionen hänvisas till att legalitetsprincipen är grundlagsfäst genom 1 kap. 1 § regeringsformen, som anger att den offentliga makten utövas under lagarna. Legalitetsprincipen innebär alltså att myndigheternas maktutöv- ning i vidsträckt mening, även i den mån denna förutsätter behandling av personuppgifter, måste ha stöd i någon av de källor som tillsammans

bildar rättsordningen. Det torde inte förekomma någon offentlig verk-

42

samhet i Sverige av vikt för samhällets funktioner som saknar stöd i författning eller beslut som har meddelats i enlighet med regerings- formens bestämmelser (prop. 2017/18:105 s. 49 f.).

Vidare ska enligt artikel 6.3 andra stycket sista meningen unionsrätten eller medlemsstaternas nationella rätt uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Detta motsvarar det krav som Europakonventionen ställer på lagstiftaren i en rättsstat och det bör vara mycket ovanligt att svensk rätt inte uppfyller Europakonventionens krav. Mot denna bakgrund bör utgångspunkten vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndighetsutövning som fastställs i enlighet med svensk rätt (s. 50). Regeringen konstaterar därvid att en rättslig grund är fastställd i enlighet med svensk rätt om den följer av författning eller beslut som meddelats i enlighet med regeringsformens bestämmelser (s. 52).

Regeringen konstaterar som nyss nämnts att det följer av grundlag att den offentliga makten utövas under lagarna. Förpliktelser som åligger enskilda eller kommuner kan regleras direkt i lag, i förordningar eller andra föreskrifter. Förpliktelser kan också fastställas i domar eller myndighetsbeslut som meddelats med stöd av lag eller andra föreskrifter. Även domstolar och förvaltningsmyndigheter kan, vid sidan av sina uppgifter och uppdrag, sägas ha rättsliga förpliktelser. En myndighets uppdrag enligt instruktionen till myndigheten eller ett regleringsbrev kan enligt regeringen i vissa fall utgöra en i enlighet med nationell rätt fastställd rättslig förpliktelse i dataskyddsförordningens mening, t.ex. om myndigheten ges i uppdrag att föra ett visst register. I normalfallet torde dock myndighetens uppdrag i första hand utgöra en rättslig grund för behandling av personuppgifter med stöd av artikel 6.1 e i dataskydds- förordningen, dvs. på grundval av att uppdraget avser en uppgift av allmänt intresse (s. 53 f.).

Regeringen föreslår att det ska införas en bestämmelse i den nya dataskyddslagen som tydliggör att personuppgifter får behandlas med stöd av artikel 6.1 c i dataskyddsförordningen, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollek- tivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 1 § förslaget till dataskyddslag). Enligt artikel 6.3 andra stycket första meningen i dataskyddsförordningen ska syftet med behandlingen, då denna grundar sig på en rättslig förpliktelse, fastställas i den rättsliga grunden. Enligt regeringen torde kravet innebära att en förpliktelse inte kan läggas till grund för behandling av personuppgifter om syftet med behandlingen inte framgår. Det ska alltså vara möjligt för såväl den personuppgiftsansvarige som den registrerade att förstå varför behandlingen av personuppgifter ska ske. Detta kan exempelvis ske genom en författning som anger att en näringsidkare i en viss situation är skyldig att lämna uppgifter till en myndighet eller en domstol (s. 54).

I fråga om den rättsliga grund som tar sikte på myndighetsutövning konstaterar regeringen vidare att myndighetsutövning aldrig kan utövas utan stöd i gällande rätt (s. 63). Vad sedan gäller behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse görs, som redan nämnts, bedömningen att begreppet uppgift av allmänt intresse

Prop. 2017/18:95

43

Prop. 2017/18:95

44

måste ges en vid betydelse. Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra bedöms vara av allmänt intresse. Myndigheternas uppdrag och åligganden framgår av bl.a. författningar och regeringsbeslut antagna i enlighet med regerings- formens bestämmelser om normgivningskompetens. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har enligt regeringen därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler (s. 56 f.). Regeringen föreslår i dataskyddslagen en bestämmelse som tydliggör att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskydds- förordningen, om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektiv- avtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den personuppgiftsansvariges myndighets- utövning enligt lag eller annan författning (2 kap. 2 § förslaget till dataskyddslag).

Behandlingen är tillåten enligt artikel 6.1 och 6.3

– Artikel 6.1

I de lagar som är aktuella i denna proposition finns ett flertal bestäm- melser som innebär att uppgifter får eller måste behandlas på ett sådant sätt att dataskyddsförordningens bestämmelser blir tillämpliga. Det rör sig både om bestämmelser i de särskilda registerförfattningarna och om bestämmelser i andra lagar. I huvudsak är det fråga om behandling som utförs av myndigheter, framför allt Skatteverket, Tullverket och Krono- fogdemyndigheten. Det kan t.ex. vara fråga om att uppgifter ska samlas in för vissa angivna ändamål eller skyldigheter för de nämnda myndig- heterna att lämna uppgifter.

Vidare finns även bestämmelser som kan innebära att enskilda behöver behandla personuppgifter på ett visst sätt, t.ex. vid fullgörande av skyldigheter att lämna uppgifter till de berörda myndigheterna. Sådant uppgiftslämnande regleras t.ex. i skatteförfarandelagen som innehåller bestämmelser om förfarandet vid uttag av skatter och avgifter. Bestäm- melserna kan innebära att uppgifter måste behandlas av enskilda aktörer på ett sådant sätt att dataskyddsförordningen blir tillämplig.

Sådan behandling som avses i de aktuella författningarna sker regel- mässigt för att utföra en uppgift av allmänt intresse. I vissa fall, särskilt i fråga om behandling som utförs av enskilda, är det fråga om att fullgöra rättsliga förpliktelser. För myndigheternas del innefattar uppgifterna dessutom ofta myndighetsutövning. Därutöver har de nyss angivna grunderna i artikel 6.1 sina motsvarigheter i 1995 års dataskyddsdirektiv. Regeringens bedömning är att dataskyddsförordningen i de nu aktuella fallen inte innebär att utrymmet för tillåten behandling har blivit mindre. Regeringen anser att den behandling av personuppgifter som får utföras enligt bestämmelser i de berörda lagarna eller som måste utföras med anledning av bestämmelser i dem har rättslig grund enligt artikel 6.1 i dataskyddsförordningen.

UC AB väcker i detta sammanhang frågan om det i den fortsatta lagstiftningsprocessen bör tydliggöras att utlämnande av information för användning i kreditupplysningsverksamheten är en uppgift av allmänt

intresse. Enligt regeringen måste myndigheters verksamhet av detta slag anses vara av allmänt intresse i dataskyddsförordningens mening.

– Artikel 6.3

Som framgår ovan är det en nyhet i dataskyddsförordningen att den rättsliga grund som avses i artikel 6.1 c och e ska vara fastställd i unionsrätten eller nationell rätt (artikel 6.3 första stycket). De uppgifter som åligger de berörda myndigheterna är fastställda i författningar, såsom i myndighetsinstruktioner och författningar som närmare reglerar viss verksamhet, eller i beslut som har meddelats med stöd av författning. För Skatteverket, Tullverket och Kronofogdemyndigheten finns t.ex. bestämmelser om myndigheternas uppgifter i de förordningar som utgör myndigheternas instruktioner, men även i författningar som på ofta detaljerad nivå reglerar myndigheternas uppgifter i olika avseenden. Centrala bestämmelser för myndigheternas verksamhet finns t.ex. i skatteförfarandelagen, tullagen, folkbokföringslagen (1991:481) och utsökningsbalken. När det gäller nyss nämnda myndigheters personupp- giftsbehandling finns i de flesta fall dessutom i registerförfattningarna särskilda bestämmelser som anger att personuppgifter får behandlas för vissa ändamål i verksamheten. Sådan behandling av enskilda aktörer som kan sägas vara en följd av bestämmelser i de berörda lagarna sker för att uppfylla specifika förpliktelser som har ålagts enskilda. Förpliktelserna framgår ofta direkt av bestämmelser i lag.

Datainspektionen vill se ett tydligare utpekande av de rättsliga grunderna. Inspektionen efterfrågar även en analys av om lagstiftningen är proportionell mot det legitima mål som eftersträvas. Det är inte möjligt att ange samtliga författningsbestämmelser som kan utgöra grund för personuppgiftsbehandling på nu aktuellt område. Regeringen konstaterar dock att myndighetsutövning, som enligt ovan är en rättslig grund som ofta är tillämplig vid de aktuella myndigheternas personuppgiftsbehand- ling i Sverige, inte kan ske utan författningsstöd. Det kan därför förut- sättas att den rättsliga grunden för personuppgiftsbehandling som sker som ett led i myndighetsutövning är fastställd på det sätt som data- skyddsförordningen kräver. Detsamma gäller när den rättsliga grunden är en rättslig förpliktelse som en myndighet eller enskild har och som kräver personuppgiftsbehandling. Rättsliga förpliktelser framgår redan av eller meddelas med stöd av författning. Exempel på rättsliga förpliktelser som kräver personuppgiftsbehandling finns i skatteförfarandelagen. Lagen innehåller bl.a. ett flertal bestämmelser som ålägger enskilda att lämna uppgifter till Skatteverket inom ramen för förfarandet vid uttag av skatter och avgifter. De uppgifter som statliga myndigheter utför får som redan nämnts dessutom anses vara av allmänt intresse. Myndigheters verksamhet och uppdrag är vidare enligt regeringen reglerade på ett sådant sätt att dataskyddsförordningens krav på att grunden för behand- lingen ska vara fastställd är uppfyllt (jfr skäl 41). I föregående stycke har angetts några exempel på sådan reglering som ger Skatteverket, Tull- verket och Kronofogdemyndigheten uppgifter som är av allmänt intresse och som förutsätter personuppgiftsbehandling.

Enligt artikel 6.3 andra stycket krävs bl.a. att medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara propor-

Prop. 2017/18:95

45

Prop. 2017/18:95 tionell mot det legitima mål som eftersträvas. Regeringen anger som framgår ovan i prop. 2017/18:105 i detta avseende att dataskydds- förordningens krav motsvarar det krav som Europakonventionen ställer på lagstiftaren i en rättsstat och att det bör vara mycket ovanligt att svensk rätt inte uppfyller Europakonventionens krav. Regeringen bedömer i propositionen vidare att utgångspunkten bör vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndig- hetsutövning som fastställs i enlighet med svensk rätt (s. 50). Det kan enligt regeringen mot denna bakgrund förutsättas att när de bestämmelser som utgör grund för behandling av personuppgifter på skatte- och tullavdelningens område infördes, bedömdes de uppfylla mål av allmänt intresse och vara proportionella mot det legitima mål som eftersträvas. Regeringen bedömer vidare att syftet med sådan behandling som är nödvändig för att fullgöra rättsliga förpliktelser regelmässigt framgår i de författningar eller beslut som ger stöd för förpliktelsen. Regeringen finner därför inte skäl att i detta sammanhang generellt ompröva tidigare ställningstaganden beträffande samtliga berörda lagar. Någon ytterligare analys av om lagstiftningen är proportionell mot det legitima mål som eftersträvas är enligt regeringens mening inte heller påkallad.

– Behandlingen är tillåten

Regeringens slutsats är att den rättsliga grunden för den personuppgifts- behandling som får utföras enligt bestämmelser i de berörda lagarna eller som måste utföras med anledning av bestämmelser i dem är fastställd i den nationella rätten på ett sådant sätt som krävs enligt dataskyddsförord- ningen. Behandlingen är således tillåten enligt artikel 6.1 och 6.3 i data- skyddsförordningen.

Dataskydd.net menar att det har skett en sammanblandning mellan rättslig grund och ändamål. Dataskydd.net anser vidare att bestämmelsen i 3 § lagen om det statliga personadressregistret, om för vilka register- ändamål uppgifterna i SPAR får behandlas, bör flyttas till Skatteverkets instruktion för att skapa en rättslig grund för registret. Regeringen konstaterar att det som diskuteras i detta avsnitt är de rättsliga grunder som anges i dataskyddsförordningens artikel 6. Av regeringens slutsats ovan framgår vidare att regeringen inte anser att det krävs någon flytt av bestämmelsen i 3 § lagen om det statliga personadressregistret för att kravet på rättslig grund ska vara uppfyllt. Sveriges advokatsamfund anser att det behöver klargöras att personuppgiftsbehandling i s.k. eget utrymme är rättsligt grundad i dataskyddsförordningens mening, för det fall att myndigheterna är personuppgiftsansvariga för sådan behandling. Regeringen noterar att dessa frågeställningar inte föranleds av data- skyddsförordningen och de omfattas därför inte av detta lagstiftnings- ärende. Det kan dock finnas skäl att betona att den behandling som myndigheter och andra utför inom nu aktuella områden måste förhålla sig till och följa det regelverk som är tillämpligt för den behandling som de utför. Till exempel måste bl.a. även de allmänna kraven i artikel 5 i dataskyddsförordningen vara uppfyllda när personuppgifter behandlas. Den personuppgiftsansvarige ansvarar alltid för att bl.a. kraven i artikel 5

efterlevs.

46

7.2

Finalitetsprincipen

Prop. 2017/18:95

Regeringens bedömning: Bestämmelser i berörda lagar som innebär att personuppgifter får behandlas för andra ändamål än det ändamål för vilket uppgifterna har samlats in är förenliga med EU:s data- skyddsförordning.

Promemorians

bedömning:

Överensstämmer

med

regeringens

bedömning.

Remissinstanserna: Dataskydd.net avstyrker delvis bedömningen.

Enligt dataskydd.net är den bedömning som görs i promemorian färgad

av att fastställande av ändamål och fastställande av rättslig grund för

behandling betraktas som i princip samma sak, vilket det inte är. För att

myndigheter inom skatt, tull och exekution ska kunna behandla uppgifter

för ändamål som inte är förenliga med ändamålet för vilket uppgifterna

samlades in bör nya rättsliga grunder för behandlingar införas. Om en ny

rättslig grund inte skapas bör regeringen ge myndigheterna i uppdrag att

göra de bedömningar av lämpligheten i vidarebehandling som anges i

artikel 6.4 i EU:s dataskyddsförordning. I övrigt yttrar sig ingen remiss-

instans särskilt över bedömningen.

Skälen för regeringens bedömning: En allmän dataskyddsrättslig

princip är att personuppgifter bara får samlas in för särskilda, uttryckligt

angivna och berättigade ändamål. Enligt den s.k. finalitetsprincipen får

uppgifterna inte senare behandlas för något annat ändamål som är

oförenligt med insamlingsändamålen. Detta kommer till uttryck bl.a. i

9 § första stycket c och d PUL som genomför artikel 6.1 b i 1995 års

dataskyddsdirektiv. När dataskyddsförordningen börjar tillämpas kom-

mer dessa principer att följa av artikel 5.1 b i förordningen. Av regle-

ringen i förordningen följer vidare att behandling för arkivändamål av

allmänt intresse, vetenskapliga eller historiska forskningsändamål eller

statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara

oförenlig med de ursprungliga ändamålen. En motsvarighet till denna

reglering finns i dag i 9 § andra stycket PUL.

Av artikel 13 i 1995 års dataskyddsdirektiv följer att det är möjligt att

göra undantag från finalitetsprincipen i nationell rätt i vissa fall. Ett

sådant undantag får införas om det är en nödvändig åtgärd med hänsyn

till bl.a. ett viktigt ekonomiskt eller finansiellt intresse hos en medlems-

stat eller hos Europeiska unionen, inklusive bl.a. skattefrågor.

Även enligt dataskyddsförordningen är det under vissa förutsättningar

tillåtet med bestämmelser som medger att insamlade personuppgifter

vidarebehandlas även om det nya ändamålet är oförenligt med insam-

lingsändamålet. Detta kan utläsas av skäl 50 där bl.a. följande anges. Om

den registrerade har gett sitt medgivande eller behandlingen grundar sig

på unionsrätten eller på medlemsstaternas nationella rätt som utgör en

nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att

säkerställa i synnerhet viktiga mål av allmänt intresse, bör den

personuppgiftsansvarige tillåtas att behandla personuppgifterna ytter-

ligare, oavsett om detta är förenligt med ändamålen eller inte. Slutsatsen

får också stöd av en motsatstolkning av artikel 6.4. Där finns en särskild

bestämmelse för det fall då en behandling för andra ändamål än det

ändamål för vilket

uppgifterna

samlades in inte

grundar

sig på den

47

Prop. 2017/18:95 registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1. I artikel 6.4 ges exempel på vissa omständigheter som ska beaktas vid prövningen av om behandlingen är förenlig med det ursprungliga ändamålet. Bland de mål som anges i artikel 23.1 nämns säkerställandet av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse. Det är tydligt att artikel 6.4, liksom skäl 50, utgår från att en sådan ytterligare behandling som utgör en nödvändig och proportionell åtgärd under alla omständigheter skulle vara tillåten.

Regeringen bedömer mot bakgrund av det ovan anförda att data- skyddsförordningen i vart fall inte ger ett mindre utrymme än 1995 års dataskyddsdirektiv att föreskriva i nationell rätt att ytterligare behandling av personuppgifter får ske, även om den ytterligare behandlingen inte är förenlig med det ändamål för vilket uppgifterna samlades in. Lagbestäm- melser som innebär att uppgifter som har samlats in för ett ändamål får eller ska behandlas för ett annat ändamål kan i vissa fall utgöra en tillämpning av finalitetsprincipen, dvs. regeringen och riksdagen har gjort bedömningen att behandlingen är förenlig med den principen. I andra fall kan befintliga lagbestämmelser anses utgöra undantag från finalitetsprincipen. Dessa måste i så fall förutsättas vara förenliga med 1995 års dataskyddsdirektiv, och är då i enlighet med ovanstående resonemang även förenliga med dataskyddsförordningen. Någon närmare bedömning av om befintliga bestämmelser är förenliga med artikel 5.1 b i dataskyddsförordningen behöver därför inte göras. Befintliga lag- bestämmelser som innebär behandling av personuppgifter för andra ändamål än det ändamål för vilket uppgifterna har samlats in får alltså förutsättas vara förenliga med dataskyddsförordningen.

Dataskydd.net gör gällande att det bör införas nya rättsliga grunder för att behandling för andra ändamål än det för vilket uppgifterna samlades in ska få ske med stöd av dataskyddsförordningen. Om en ny rättslig grund inte skapas anser dataskydd.net vidare att regeringen bör ge myndigheterna i uppdrag att göra de bedömningar av lämpligheten i vidarebehandling som anges i artikel 6.4 i dataskyddsförordningen. Av det ovan anförda framgår enligt regeringen att några nya rättsliga grunder inte behövs. Inte heller finns det något behov för regeringen att ge myndigheterna i uppdrag att iaktta vad som anges i artikel 6.4 i data- skyddsförordningen, som är direkt tillämplig.

Vissa författningsändringsändringar som rör finalitetsprincipen föreslås i avsnitt 9.3.

48

8

Utrymmet för nationell reglering inom

Prop. 2017/18:95

dataskyddsförordningens tillämpnings-

område

Regeringens bedömning: EU:s dataskyddsförordning ger utrymme

för en sådan särskild reglering om personuppgiftsbehandling som

finns i berörda registerlagar och andra lagar.

Promemorians bedömning: Överensstämmer med regeringens

bedömning.

Remissinstanserna: Dataskydd.net tillstyrker bedömningen. I övrigt

yttrar sig ingen remissinstans särskilt över bedömningen.

Skälen för regeringens bedömning: Enligt artikel 6.2 i EU:s data-

skyddsförordning får medlemsstaterna behålla eller införa mer specifika

bestämmelser för att anpassa tillämpningen av bestämmelserna i förord-

ningen genom att närmare fastställa specifika krav för uppgiftsbehand-

lingen och andra åtgärder för att säkerställa en laglig och rättvis behand-

ling. Detta förutsätter emellertid att det är fråga om sådan personupp-

giftsbehandling som är nödvändig för att fullgöra en rättslig förpliktelse

(artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som

ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1

e). När myndigheter behandlar personuppgifter för att fullgöra sina

uppgifter sker det normalt med stöd av de rättsliga grunderna i artikel 6.1

c och e i förordningen, se avsnitt 7.1.

I enlighet med skäl 8 i dataskyddsförordningen kan medlemsstaterna

dessutom under vissa förutsättningar och i den utsträckning det är

nödvändigt för samstämmigheten och för att göra de nationella bestäm-

melserna begripliga för de personer som de tillämpas på, införliva delar

av förordningen i nationell rätt.

Enligt artikel 6.3 första stycket i dataskyddsförordningen ska de

rättsliga grunder för behandlingen som avses i artikel 6.1 c och e

fastställas i enlighet med unionsrätten eller en medlemsstats nationella

rätt som den personuppgiftsansvarige omfattas av. Enligt artikel 6.3

andra stycket ska vidare syftet med behandlingen fastställas i den

rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara

nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i

den personuppgiftsansvariges behandling. Den rättsliga grunden kan

enligt artikel 6.3 andra stycket innehålla särskilda bestämmelser för att

anpassa bestämmelserna i dataskyddsförordningen, bl.a. de allmänna

villkor som ska gälla för den personuppgiftsansvariges myndighets-

utövning, vilken typ av uppgifter som ska behandlas, vilka registrerade

som berörs, de enheter till vilka personuppgifterna får lämnas ut och för

vilka ändamål, ändamålsbegränsningar, lagringstid, samt typer av

behandling och förfaranden för behandling, inbegripet åtgärder för att

tillförsäkra en laglig och rättvis behandling. Den nationella rätten ska i

detta avseende uppfylla ett mål av allmänt intresse och vara proportionell

mot det legitima mål som eftersträvas.

Enligt artikel 23 i dataskyddsförordningen får begränsningar ske av

vissa av de rättigheter och skyldigheter som föreskrivs i förordningen.

49

Prop. 2017/18:95 Detta förutsätter att begränsningarna sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Det förutsätter också att begränsningen sker för något av de ändamål som anges i artikel 23.1, bl.a. den nationella säkerheten, försvaret och den allmänna säkerheten samt andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse.

Det anförda innebär enligt regeringens bedömning att det även fortsätt- ningsvis finns ett utrymme för sådan sektorsspecifik särreglering om behandling av personuppgifter som finns i de svenska registerförfatt- ningarna (se även prop. 2017/18:105 s. 22).

De registerlagar som reglerar aktuella myndigheters personuppgifts- behandling innehåller en mängd bestämmelser om under vilka förutsätt- ningar som personuppgiftsbehandling får ske. Det finns t.ex. bestäm- melser om för vilka ändamål personuppgifter får behandlas, vilka slag av uppgifter som får behandlas, behandling i särskilda databaser, regler om när utlämnande får ske elektroniskt och regler om när uppgifter ska gallras. Bestämmelserna har sin grund i de särskilda behov som respektive myndighet har att behandla personuppgifter för sin verksamhet. Som exempel kan nämnas Skatteverkets behandling av personuppgifter för att korrekta beskattningsbeslut ska kunna fattas. Avvägningar har gjorts mot andra intressen, huvudsakligen behovet av skydd för den enskildes personliga integritet. Regeringens bedömning är således att denna typ av kompletterande reglering av person- uppgiftsbehandling i särskilda registerlagar och andra lagar kan behållas även när dataskyddsförordningen ska börja tillämpas.

9 Överväganden och förslag som rör bestämmelser i registerförfattningar

9.1 Inledning

I avsnitt 5.2 redogörs för berörda registerförfattningar. Det är fråga om författningar som reglerar Skatteverkets, Kronofogdemyndighetens och Tullverkets behandling av personuppgifter i olika verksamheter vid myndigheterna.

I de författningar som gäller i stället för personuppgiftslagen anges vissa bestämmelser i personuppgiftslagen som gäller när personuppgifter behandlas enligt författningen. De författningar som gäller i stället för personuppgiftslagen är lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet och den tillhörande förordningen, lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet och den tillhörande förordningen, lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och den tillhörande förordningen samt lagen om behandling av uppgifter i Tullverkets verksamhet och den tillhörande förordningen. Dessa författningar är uppbyggda på väsent-

ligen samma sätt och tillkom i samma lagstiftningsärende, se proposi-

50

tionen Behandling av personuppgifter inom skatt, tull och exekution Prop. 2017/18:95 (prop. 2000/01:33). Det kan nämnas att även lagen (2001:183) om

behandling av personuppgifter i verksamhet med val och folkomröst- ningar tillkom genom samma proposition. Även den lagen är föremål för översyn med anledning av EU:s dataskyddsförordning, se propositionen Anpassning till EU:s dataskyddsförordning av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar (prop. 2017/18:115).

Registerförfattningarna där personuppgiftslagen gäller om inte av- vikande bestämmelser finns har mer varierande utformning. Detta gäller lagen om det statliga personadressregistret med tillhörande förordning, lagen om behandling av personuppgifter i Skatteverkets äktenskaps- register- och bouppteckningsverksamheter med tillhörande förordning samt lagen om identitetskort för folkbokförda i Sverige med tillhörande förordning.

Detta kapitel innehåller överväganden och förslag avseende ovan nämnda lagar. I vissa fall görs samtidigt överväganden för lagar som inte är registerförfattningar, vilket då anges särskilt.

9.2 Förhållandet till dataskyddsförordningen och dataskyddslagen

Regeringens förslag: Bestämmelser i berörda lagar som reglerar förhållandet till personuppgiftslagen och vilka bestämmelser i person- uppgiftslagen som gäller ska tas bort. Det ska i stället införas bestäm- melser som anger att lagarna innehåller bestämmelser som komplette- rar EU:s dataskyddsförordning. Det ska också införas bestämmelser om att vid personuppgiftsbehandling enligt lagarna gäller även data- skyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen, om inte annat följer av respektive lag eller före- skrifter som har meddelats i anslutning till dessa.

Hänvisningar till dataskyddsförordningen ska vara dynamiska, dvs. avse förordningen i den vid varje tidpunkt gällande lydelsen.

Promemorians förslag: Överensstämmer med regeringens förslag med det undantaget att i promemorian hänvisas inte till föreskrifter i anslutning till dataskyddslagen. Promemorians förslag är också något annorlunda utformat.

Remissinstanserna: Ingen remissinstans invänder mot förslagen. Skatteverket och dataskydd.net tillstyrker uttryckligen förslagen.

Skälen för regeringens förslag

Registerförfattningarnas förhållande till EU:s dataskyddsförordning och dataskyddslagen ska klargöras

Ikraftträdandet av EU:s dataskyddsförordning innebär att personuppgifts- lagen ska upphävas. Nu aktuella registerförfattningar har hänvisningar till personuppgiftslagen. I vissa av lagarna anges att lagen gäller i stället

för personuppgiftslagen, och avseende andra anges att personuppgifts-

51

Prop. 2017/18:95 lagen gäller om det inte finns avvikande bestämmelser i författningen. Eftersom personuppgiftslagen kommer att upphävas kan dessa bestäm- melser inte finnas kvar.

I fråga om de registerförfattningar som gäller i stället för personupp- giftslagen räknas i en inledande paragraf upp de bestämmelser i person- uppgiftslagen som gäller när personuppgifter behandlas enligt den aktuella registerförfattningen (se t.ex. 1 kap. 3 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet). Även i andra para- grafer hänvisas till personuppgiftslagen. Det anges t.ex. i nästan alla registerförfattningar att bestämmelserna i personuppgiftslagen om rättel- se och skadestånd gäller vid behandling av personuppgifter enligt lagen (se t.ex. 9 § lagen om det statliga personadressregistret). Det finns också bestämmelser som anger att personuppgiftslagens bestämmelser om information till den registrerade gäller (se bl.a. 3 kap. 1 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet). I lagarna måste sådana slag av hänvisningar som nu nämns av samma skäl som ovan tas bort. I vissa fall bör andra justeringar göras av bestäm- melserna. Förutom vad som behandlas i detta avsnitt, presenteras sådana ändringsförslag i senare avsnitt.

I avsnitt 6 redogörs för regeringens bedömning att en stor del av nu aktuella lagar kommer att omfattas av dataskyddsförordningens tillämp- ningsområde. Som har nämnts tidigare föreslås också en ny dataskydds- lag (prop. 2017/18:105). Den lagen föreslås dock bli subsidiär. Om en annan lag eller en förordning innehåller någon bestämmelse som avviker från dataskyddslagen ska den bestämmelsen tillämpas (1 kap. 6 § för- slaget till dataskyddslag). Dataskyddsförordningen och dataskyddslagen kommer således att ha stor relevans för nu aktuella registerförfattningar. Eftersom dataskyddsregleringen på området inte bara kommer att bestå av respektive registerförfattning utan även av dataskyddsförordningen och dataskyddslagen, bör registerförfattningarnas förhållande till dessa regleringar klargöras. Detta bör enligt regeringens mening ske i respektive lag.

Regeringen föreslår därför att det i stället för regleringen om förhållan- det till personuppgiftslagen införs en bestämmelse som anger att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Vidare bör det införas en bestämmelse som anger att vid behandling av personuppgifter enligt lagen gäller även dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av registerförfattningen eller föreskrifter som har meddelats i anslutning till den. Jämfört med promemorians förslag har bestämmelserna fått en något annorlunda utformning.

Förslagen i denna del innebär att det inte längre kommer att finnas en ”i stället för”-reglering på nu aktuella områden. Dataskyddsförordningen gäller direkt och kan inte anges som subsidiär. Vad gäller dataskydds- lagen är det dock möjligt att peka ut vilka bestämmelser i lagen som ska gälla. Då huvudregleringen, dvs. dataskyddsförordningen, ändå är direkt tillämplig och då en stor del av den kompletterande regleringens, dvs. dataskyddslagens, bestämmelser bedöms bli relevanta för aktuella verk- samheter är en sådan lösning som nu föreslås den mest lämpliga. Regeringens förslag innebär också att samtliga berörda registerförfatt-

52

ningar kommer att ha samma systematik, vilket bedöms som en fördel ur rättstillämpningssynpunkt.

Något kan nämnas om innebörden av att dataskyddslagen och före- skrifter som har meddelats i anslutning dataskyddslagen ska gälla om inte annat följer av registerförfattningen eller föreskrifter som har med- delats i anslutning till registerförfattningen. Härvid kan den särskilda bestämmelsen i 1 kap. 2 § förslaget till dataskyddslag nämnas, genom vilken bestämmelserna i dataskyddsförordningen och dataskyddslagen ska gälla även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. I denna proposition föreslås inga bestämmelser i registerförfattningarna som avviker från detta. För personuppgiftsbehandling enligt registerförfattningarna kom- mer därmed dataskyddsförordningen, i tillämpliga delar, att ha ett större tillämpningsområde än vad själva förordningen föreskriver.

I flera avseenden kommer registerförfattningarna att ha bestämmelser som avviker från dataskyddslagen, vilket behandlas i efterföljande avsnitt.

Förslagen genomförs genom ändringar i 2 § lagen om det statliga personadressregistret, 1 kap. 2 och 3 §§ lagen om behandling av upp- gifter i Skatteverkets beskattningsverksamhet, 1 kap. 2 och 3 §§ lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverk- samhet, 1 kap. 2 och 3 §§ lagen om behandling av uppgifter i Krono- fogdemyndighetens verksamhet, 1 kap. 2 och 3 §§ lagen om behandling av uppgifter i Tullverkets verksamhet, 4 § lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och boupptecknings- verksamheter och 10 § lagen om identitetskort för folkbokförda i Sverige samt i rubriker före dessa bestämmelser. Utöver detta slopas vissa bestämmelser helt, samt ändras vissa bestämmelser som innehåller hän- visningar till personuppgiftslagen.

Dynamiska hänvisningar ska användas

Föreslagna bestämmelser i detta och i flera andra avsnitt innehåller hänvisningar till dataskyddsförordningen. Hänvisningar till EU-rättsakter kan göras antingen statiska eller dynamiska. En statisk hänvisning innebär att hänvisningen avser EU-rättsakten i en viss angiven lydelse. En dynamisk hänvisning innebär att hänvisningen avser EU-rättsakten i den vid varje tidpunkt gällande lydelsen.

Dataskyddsförordningen är direkt tillämplig och är den huvudsakliga rättsakten på området för dataskydd. De hänvisningar till dataskydds- förordningen som föreslås i denna proposition avser klargöranden av förhållandet mellan registerförfattningarna och förordningen, bestäm- melser av upplysningskaraktär, hänvisningar till definitioner i och undan- tag från dataskyddsförordningen. Hänvisningarna föreslås, i likhet med vad som med några få undantag föreslås i den föreslagna dataskydds- lagen, vara dynamiska. Valet av dynamisk hänvisning innebär som framgår ovan att hänvisningen kommer att omfatta eventuella ändringar i förordningen efter dess ikraftträdande. Detta hindrar dock inte att den nationella lagstiftningen kan komma att behöva ändras om förordningens innehåll förändras.

Prop. 2017/18:95

53

Prop. 2017/18:95

9.3

Ändamålsbestämmelser

Regeringens förslag: Hänvisningar till finalitetsprincipen i 9 § första

stycket d och andra stycket personuppgiftslagen i sekundära ända-

målsbestämmelser i berörda lagar ska ersättas med bestämmelser som

innebär att uppgifter som behandlas enligt de primära ändamålen får

behandlas även för andra ändamål, under förutsättning att uppgifterna

inte behandlas på ett sätt som är oförenligt med det ändamål för vilket

uppgifterna samlades in. Sådana bestämmelser ska även införas i vissa

lagar som i dag saknar en hänvisning till finalitetsprincipen i ända-

målsbestämmelserna.

Bestämmelser om att uppgifter får behandlas för att tillhandahålla

information i den utsträckning som en skyldighet att lämna uppgifter-

na följer av lag eller förordning ska ersättas med bestämmelser som

anger att uppgifter får behandlas om det behövs för att fullgöra

uppgiftslämnande som sker i överensstämmelse med lag eller förord-

ning.

I vissa sekundära ändamålsbestämmelser ska det förtydligas att de

uppgifter som får behandlas för de sekundära ändamålen är sådana

uppgifter som redan behandlas för de tillåtna primära ändamålen. De

sekundära ändamålsbestämmelserna samlas också i en och samma

paragraf i varje lag.

Det ska även göras vissa redaktionella ändringar.

Promemorians förslag: Överensstämmer med regeringens förslag.

Vissa redaktionella ändringar har dock gjorts.

Remissinstanserna: Skatteverket tillstyrker förslagen. Dataskydd.net

avstyrker förslagen och anför bl.a. att flera av ändamålsbestämmelserna i

lagen om behandling av uppgifter i Kronofogdemyndighetens verksam-

het bör kunna ersättas av den rättsliga grunden i artikel 6.1 c i EU:s data-

skyddsförordning (rättslig förpliktelse), eftersom inget av ändamålen

rimligen saknar stöd i författning. Datainspektionen ifrågasätter om

promemorians förslag till bestämmelse där finalitetsprincipen kommer

till uttryck uppnår syftet att förtydliga dataskyddsförordningen och anser

att det bör framgå vilken bestämmelse i dataskyddsförordningen som

bestämmelsen är avsedd att förtydliga. I övrigt yttrar sig ingen remiss-

instans särskilt över förslagen.

Skälen för regeringens förslag

Nuvarande reglering

De berörda registerförfattningarna innehåller bestämmelser om för vilka

ändamål personuppgifter får behandlas. Sådana ändamålsbestämmelser

anger den yttersta ram inom vilken personuppgifterna får behandlas.

Bestämmelserna delas ofta in i s.k. primära och sekundära ändamåls-

bestämmelser. De primära ändamålen avser att tillgodose de behov som

finns att behandla personuppgifter i den verksamhet hos den egna

myndigheten som författningen, eller del av författningen, gäller för. De

sekundära ändamålen reglerar i vilken utsträckning personuppgifter som

myndigheten har samlat in för ett primärt ändamål får behandlas för att

54

lämnas

ut till annan verksamhet inom den egna myndigheten, till

enskilda eller till andra myndigheter i syfte att tillgodose deras behov. Utlämnande av uppgifter kan i vissa fall också omfattas av de primära ändamålen.

Ändamålsbestämmelser finns i 1 kap. 4 och 5 §§ lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, men också i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverk- samhet, lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet, lagen om behandling av uppgifter i Tullverkets verksamhet, lagen om identitetskort för folkbokförda i Sverige, lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteck- ningsverksamheter och lagen om det statliga personadressregistret. Ändamålsbestämmelserna som gäller för folkbokföringsverksamheten och SPAR skiljer sig från bestämmelserna i andra författningar genom att de inte är uppdelade på primära och sekundära ändamål.

En primär ändamålsbestämmelse kan t.ex. ange att uppgifter får behan- dlas för tillhandahållande av information som behövs hos Skatteverket för fastställande av underlag för samt bestämmande, redovisning, betal- ning och återbetalning av skatter och avgifter (1 kap. 4 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet). För Kronofogdemyndighetens del anges ändamål för var och en av de data- baser som regleras i lagen.

I de sekundära ändamålsbestämmelserna ges ofta en uppräkning över vissa vanligt förekommande ändamål för utlämnande. Därutöver anges ofta att uppgifter får behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning (se t.ex. 1 kap. 5 § andra stycket lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet), eller att uppgifter får behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning (se t.ex. 12 § andra stycket lagen om identitetskort för folkbokförda i Sverige).

I några lagar hänvisas i anslutning till de sekundära ändamålsbestäm- melserna till bestämmelsen om den s.k. finalitetsprincipen i 9 § första stycket d och andra stycket PUL (6 § lagen om behandling av uppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter och 12 § lagen om identitetskort för folkbokförda i Sverige). Som anges i avsnitt 7.2 innebär finalitetsprincipen att personuppgifter inte får behan- dlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Bestämmelser om att uppgifter får behandlas för att fullgöra föreskrivet uppgiftslämnande och hänvisningar till finalitets- principen i ändamålsbestämmelser har införts i förtydligande syfte, se t.ex. propositionen Vissa frågor om behandling av personuppgifter och regleringen av id-kortsverksamheten hos Skatteverket (prop. 2015/16:28 s. 38) och propositionen Informationsutbyte vid samverkan mot organiserad brottslighet (prop. 2015/16:167 s. 44). Att finalitetsprincipen ska tillämpas framgår också i flera lagar av att det hänvisas till relevanta delar av 9 § PUL i den paragraf som anger vilka bestämmelser i person- uppgiftslagen som gäller när personuppgifter behandlas enligt lagen (se t.ex. 1 kap. 3 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet).

Prop. 2017/18:95

55

Prop. 2017/18:95

56

Dataskyddsförordningens bestämmelser

De bestämmelser i dataskyddsförordningen som har betydelse för registerförfattningarnas ändamålsbestämmelser finns i artiklarna 5, 6 och 23. Artikel 6 behandlas i avsnitt 7 och 8. I artikel 5 i dataskyddsförord- ningen, som behandlas i avsnitt 7.2, finns bl.a. bestämmelser om att uppgifter ska behandlas på ett lagligt sätt och samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Vidare framgår finalitets- principen av artikel 5.1 b. Artikel 23 redogörs för nedan.

Propositionen Ny dataskyddslag

Regeringen uttalar i prop. 2017/18:105 att dataskyddsförordningen inte ställer något krav på att de särskilda ändamålen i artikel 5.1 b ska vara fastställda i författning, men att det inte heller finns någonting som hindrar att detta görs, förutsatt att bestämmelserna uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas, jfr artikel 6.3 andra stycket (s. 48).

Endast vissa justeringar bör göras med anledning av dataskyddsförordningen

Ändamålsbestämmelser i lagstiftning som reglerar myndigheters person- uppgiftsbehandling är sådana specifika bestämmelser som anpassar tillämpningen av dataskyddsförordningen och säkerställer en laglig och rättvis behandling enligt artikel 6.2. Detta framgår även av artikel 6.3 där det anges att den rättsliga grunden kan innehålla särskilda bestämmelser om bl.a. ändamålsbegränsningar. I enlighet med artikel 23.2 a i data- skyddsförordningen ska dessutom, åtminstone när så är relevant, lagstift- ning som begränsar tillämpningsområdet för förordningens skyldigheter och rättigheter innehålla specifika ändamålsbestämmelser. Detta innebär att de nuvarande ändamålsbestämmelserna i berörda lagar, vilka tillsam- mans med finalitetsprincipen ger myndigheterna ändamålsenliga möjlig- heter att behandla personuppgifter och samtidigt minskar risken för obefogade intrång i den personliga integriteten, kan behållas.

I föregående avsnitt föreslås att bestämmelser om vilka bestämmelser i personuppgiftslagen som gäller ska tas bort. Hänvisningar i ändamåls- bestämmelser till 9 § första stycket d och andra stycket PUL (finalitets- principen) behöver också upphävas. Enligt regeringens bedömning bör finalitetsprincipen även fortsättningsvis utgöra den yttersta ram inom vilken personuppgifter får behandlas. Som Datainspektionen anför gäller visserligen finalitetsprincipen enligt artikel 5.1 b dataskyddsförordningen vid sådan behandling. Enligt regeringens uppfattning finns det dock av tydlighetsskäl anledning att införa en uttrycklig bestämmelse som innebär att uppgifter som behandlas enligt de primära ändamålen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. En sådan bestämmelse utgör tillsammans med uppräkningen av tillåtna ändamål i berörda lagar en sådan ändamåls- begränsning som får införas i nationell rätt enligt artikel 6.3 i data- skyddsförordningen. Det finns därför inte skäl att, som Datainspektionen är inne på, införa en hänvisning till dataskyddsförordningen i bestämmel- sen. En bestämmelse av detta slag bör föras in i samtliga berörda

registerförfattningar, utom i lagen om det statliga personadressregistret, som skiljer sig i grundläggande avseenden från de övriga registerför- fattningarna. Den lagen berörs inte av de ändringar som föreslås i detta avsnitt.

Dataskydd.net anför bl.a. att flera av ändamålsbestämmelserna i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet bör kunna ersättas av den rättsliga grunden i artikel 6.1 c i dataskyddsförord- ningen (rättslig förpliktelse), eftersom inget av ändamålen rimligen saknar stöd i författning. Regeringen anser inte att det har framkommit något skäl att ändra dessa ändamålsbestämmelser med anledning av vad dataskydd.net har anfört. Ändamålsbestämmelserna i respektive lag har utformats utifrån den berörda myndighetens verksamhet. Som framgår i avsnitt 8 bedömer regeringen att dataskyddsförordningen ger utrymme för en sådan särskild reglering om personuppgiftsbehandling som finns i bl.a. sådana bestämmelser.

Förslagen genomförs genom ändringar i 1 kap. 5 § lagen om behand- ling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 4 § lagen om behandling av personuppgifter i Skatteverkets folkbokförings- verksamhet, 2 kap. 3, 9, 15 och 20 a §§ lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet, 1 kap. 5 § lagen om behandling av uppgifter i Tullverkets verksamhet, 6 § lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och boupptecknings- verksamheter och 12 § lagen om identitetskort för folkbokförda i Sverige.

Det ska finnas uttryckligt stöd för behandling för att fullgöra föreskrivet uppgiftslämnande

I samband med nu aktuella ändringar kan det finnas skäl att göra vissa justeringar och förtydliganden i ändamålsbestämmelserna, som inte har direkt samband med den nya dataskyddsregleringen.

De sekundära ändamålsbestämmelser som tar sikte på föreskrivet uppgiftslämnande ser lite olika ut i de olika registerförfattningarna. Som framgår ovan anges i vissa lagar att uppgifter får behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning, medan det i vissa lagar anges att uppgifter får behandlas om det behövs för att fullgöra uppgifts- lämnande som sker i överensstämmelse med lag eller förordning. Den första typen av bestämmelse tar sikte på situationer när det finns en skyldighet att lämna uppgifter, medan den andra typen av bestämmelse tar sikte även på andra bestämmelser som tillåter uppgiftslämnande. Bestämmelser som tillåter uppgiftslämnande under vissa förutsättningar finns bl.a. i 10 kap. 27 § offentlighets- och sekretesslagen (2009:400), OSL.

När bestämmelser som påbjuder eller tillåter utlämnande har införts, får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken man funnit att uppgiften ska eller får lämnas ut. Det har därför i vissa sammanhang anförts att det saknas anledning att i en integritetsskyddslagstiftning förhindra att personuppgifter som finns i den berörda verksamheten lämnas ut i dessa fall bara därför att dessa

Prop. 2017/18:95

57

Prop. 2017/18:95 numera hanteras med modern informationsteknik i stället för som tidi- gare på papper, se t.ex. propositionen Patientdatalag (prop. 2007/08:126

s. 60).

De sekundära ändamålsbestämmelserna i lagen om behandling av

uppgifter i Skatteverkets beskattningsverksamhet, lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och lagen om be- handling av uppgifter i Tullverkets verksamhet är visserligen inte uttöm- mande. Utlämnande som sker med stöd av en föreskrift som innebär att uppgifter får lämnas ut kan därför ske även utan uttryckligt stöd i de författningarna. För att regleringen ska vara tydlig och konsekvent kan det dock vara lämpligt att utforma de sekundära ändamålsbestämmel- serna även i dessa lagar så att de omfattar utlämnande som sker både med stöd av en bestämmelse om uppgiftsskyldighet och med stöd av en bestämmelse som tillåter uppgiftslämnande. I de nyss uppräknade författ- ningarna bör därför anges att uppgifter får behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Även bestämmelsen i lagen om behandling av person- uppgifter i Skatteverkets folkbokföringsverksamhet om att uppgifter får behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning bör justeras på motsvarande sätt som de övriga författningarna. Eftersom ändamålsbestämmelserna i den lagen ser annorlunda ut bör dock bestämmelsen ges en något annorlunda utformning.

Förslaget genomförs genom ändringar i 1 kap. 5 § lagen om behand- ling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 4 § lagen om behandling av personuppgifter i Skatteverkets folkbokförings- verksamhet, 2 kap. 3, 9, 15 och 20 a §§ lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och 1 kap. 5 § lagen om behand- ling av uppgifter i Tullverkets verksamhet.

Vissa ytterligare tydliggöranden i bestämmelserna bör göras

Det är de primära ändamålsbestämmelserna som är styrande för bl.a. vilka uppgifter som får samlas in av myndigheterna. Uppgifter får inte samlas in för att behandlas endast för de sekundära ändamålen. De sekundära ändamålsbestämmelserna är i vissa lagar utformade så att det inte tydligt framgår av lagtexten att behandling för dessa ändamål endast får avse sådana uppgifter som redan behandlas med stöd av primära ändamålsbestämmelser. Regeringen anser därför att bestämmelserna ska formuleras på ett sådant sätt att detta tydligare framgår.

De ändamålsbestämmelser i lagen om behandling av uppgifter i Skatte- verkets beskattningsverksamhet, lagen om behandling av uppgifter i Tullverkets verksamhet och lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet som rör utlämnande till andra verksamheter inom samma myndighet finns i dag i de paragrafer som reglerar de primära ändamålen. Enligt regeringens bedömning avser bestämmelserna egentligen behandling för sekundära ändamål. De bör därför flyttas till de paragrafer som reglerar övriga sekundära ändamål. Vidare bör vissa ytterligare redaktionella ändringar i bestämmelserna göras. I förhållande till promemorians förslag har några av de sekundära

ändamålsbestämmelserna också getts en delvis annan struktur.

58

Förslagen genomförs genom ändringar i 1 kap. 4 och 5 §§ lagen om Prop. 2017/18:95 behandling av uppgifter i Skatteverkets beskattningsverksamhet, 2 kap.

2, 3, 8, 9, 14, 15, 20 och 20 a §§ lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och 1 kap. 4 och 5 §§ lagen om behandling av uppgifter i Tullverkets verksamhet.

9.4 Behandling av särskilda kategorier av personuppgifter

9.4.1

Känsliga personuppgifter

Regeringens förslag: Hänvisningar i de berörda lagarna till person-

uppgiftslagens bestämmelse om vad som är känsliga personuppgifter

ska ersättas med hänvisningar till dataskyddsförordningens bestäm-

melse om sådana uppgifter.

Promemorians förslag: Överensstämmer i sak med regeringens

förslag. Promemorians förslag är något annorlunda utformat.

Remissinstanserna: Skatteverket tillstyrker förslaget. Datainspek-

tionen avstyrker förslaget, då inspektionen anser att det finns risk för att

myndigheterna kan komma att behandla personuppgifter i strid med

artikel 9.2 g i EU:s dataskyddsförordning. Datainspektionen ifrågasätter

om den föreslagna utformningen av undantaget kan anses avse ett viktigt

allmänt intresse. Datainspektionen saknar också överväganden som avser

de nya särskilda kategorierna av uppgifter som har införts, såsom

genetiska och biometriska uppgifter. Sveriges advokatsamfund anser att

det finns oklarheter när det gäller behandling i s.k. eget utrymme hos en

myndighet, bl.a. om möjligheten till behandling av känsliga personupp-

gifter, och anser att det behövs regler i lag när det gäller behandlingen av

känsliga personuppgifter i eget utrymme, för det fall myndigheten ska

anses vara personuppgiftsansvarig. Dataskydd.net anger att artikel 9.2 i

dataskyddsförordningen redan innehåller en uttömmande lista på till-

fällen då känsliga personuppgifter kan behandlas, varför det inte är

nödvändigt att införa särskilt lagstöd för sådan behandling och avstyrker

därför förslaget. Dataskydd.net anser vidare att 13 § lagen om identitets-

kort för folkbokförda i Sverige är onödig på den grunden att behandling

av särskilda personuppgifter, fotografi dvs. biometriska data, redan är en

rättslig förpliktelse för den utfärdande myndigheten och att övriga

kategorier av känsliga personuppgifter inte är relevanta vid utfärdande av

identitetshandling. I övrigt yttrar sig ingen remissinstans särskilt över

förslaget.

Skälen för regeringens förslag

Nuvarande reglering

Enligt 13 § PUL är det förbjudet att behandla s.k. känsliga personupp-

gifter, dvs. personuppgifter som rör hälsa eller sexualliv och personupp-

gifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös

eller filosofisk övertygelse eller medlemskap i fackförening. I 15–19 §§

PUL finns vissa undantag från detta förbud, t.ex. i samtyckessituationer,

59

Prop. 2017/18:95 vid viss nödvändig behandling och för forskningsändamål. Av 8 § personuppgiftsförordningen följer att myndigheter, utöver vad som följer av bl.a. 15–19 §§ PUL, får behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det.

De registerförfattningar som gäller i stället för personuppgiftslagen innehåller egna bestämmelser om möjligheten att behandla känsliga personuppgifter, dock med hänvisning till personuppgiftslagens defini- tion av känsliga personuppgifter. I 1 kap. 7 § första stycket lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet stadgas bl.a. att känsliga personuppgifter som anges i 13 § PUL får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Enligt andra stycket får uppgifter som avses i första stycket i annat fall behandlas endast om det särskilt anges i 2 kap. Det kapitlet innehåller bestämmelser om beskattningsdatabasen. I 2 kap. 4 § anges att en handling som har kommit in i ett ärende får behandlas i databasen och får innehålla uppgifter som avses i 1 kap. 7 §. Vidare anges att en handling som upprättats i ett ärende får behandlas i data- basen och får innehålla sådana uppgifter om de är nödvändiga för ärendets handläggning. Enligt 2 kap. 10 § andra stycket får inte uppgift som avses i 1 kap. 7 § användas som sökbegrepp.

Lagen om behandling av personuppgifter i Skatteverkets folkbokför- ingsverksamhet, lagen om behandling av uppgifter i Kronofogdemyndig- hetens verksamhet och lagen om behandling av uppgifter i Tullverkets verksamhet innehåller också sådana bestämmelser.

I fråga om de författningar där personuppgiftslagen gäller finns i lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter några bestämmelser som liknar de ovan angivna (7 och 8 §§). Även lagen om identitetskort för folkbok- förda i Sverige har bestämmelser om känsliga personuppgifter liknande de ovan nämnda, som avser den i lagen angivna databasen. Den lagen har också bestämmelser som avser det fotografi som tas vid ansökan om id- kort. I 14 § anges att en kopia av den ansiktsbild som identitetskortet har försetts med får behandlas i databasen. Enligt 17 § första stycket får ansiktsbilden enligt bl.a. 14 § inte användas vid sökning med hjälp av automatiserad behandling.

Lagen om det statliga personadressregistret och den tillhörande förord- ningen saknar bestämmelser om känsliga personuppgifter.

Dataskyddsförordningens bestämmelser om känsliga personuppgifter

Dataskyddsförordningen innehåller i likhet med 1995 års dataskydds- direktiv och personuppgiftslagen ett principiellt förbud mot att behandla vissa särskilda kategorier av personuppgifter (artikel 9.1). Förbudet omfattar personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackföre- ning och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Artikel 9.1 i förordningen omfattar nya kategorier av uppgifter jämfört med mot-

svarande bestämmelse i 1995 års dataskyddsdirektiv (artikel 8.1). Direk-

60

tivets bestämmelse innefattar inte genetiska uppgifter, biometriska Prop. 2017/18:95 uppgifter för att entydigt identifiera en fysisk person eller uppgifter om

en persons sexuella läggning. Artikel 8.1 i direktivet har genomförts i svensk rätt genom 13 § PUL, som är avsedd att ha samma innebörd som direktivets bestämmelse, se propositionen Personuppgiftslag (prop. 1997/98:44 s. 124). Uppgifter om sexuell läggning har i svensk rätt ansetts ingå i begreppet ”sexualliv” och införandet av det uttrycket i förordningen innebär således inte någon egentlig utvidgning från svenskt perspektiv, se t.ex. propositionen Behandling av personuppgifter inom Kriminalvården (prop. 2000/01:126 s. 31) och propositionen Ett starkare skydd mot diskriminering (prop. 2007/08:95 s. 125–129). Tilläggen genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person utgör dock en utvidgning jämfört med den nuvarande ordningen. I rubriken till artikel 9 i dataskyddsförordningen anges att bestämmelsen avser behandling av särskilda kategorier av personupp- gifter. I skäl 10 och 51 omnämns dessa uppgifter i stället som känsliga respektive särskilt känsliga personuppgifter.

Precis som i 1995 års dataskyddsdirektiv och personuppgiftslagen kompletteras förbudet i dataskyddsförordningen av ett antal undantag som gör det möjligt att behandla känsliga personuppgifter i vissa fall. Ett sådant undantag är om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse på grundval av unionsrätten eller medlems- staternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades rättigheter och intressen (artikel 9.2 g). Ett annat exempel är om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk (artikel 9.2 f).

Dataskyddsutredningen och propositionen Ny dataskyddslag

Uttrycket känsliga personuppgifter är det som används i 13 § PUL och även i de nu gällande registerförfattningarna. Uttrycket har av Data- skyddsutredningen ansetts vara tydligare än särskilda kategorier av uppgifter och därtill vara inarbetat även på EU-nivå. I prop. 2017/18:105 gör regeringen samma bedömning (s. 75). I dataskyddslagen föreslås att det uttryckligen anges att med känsliga personuppgifter avses i dataskyddslagen sådana uppgifter som avses i artikel 9.1 i EU:s data- skyddsförordning (3 kap. 1 § förslaget till dataskyddslag).

Undantaget i artikel 9.2 g i dataskyddsförordningen är visserligen direkt tillämpligt men det är enligt regeringen möjligt för medlems- staterna att införa mer specifika bestämmelser i nationell rätt (se prop. 2017/18:105 s. 75). Motsvarande reglering finns i dag i artikel 8.4 i dataskyddsdirektivet enligt vilken känsliga personuppgifter får behandlas under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse. I nämnda proposition gör regeringen också bedömningen att det är ett viktigt allmänt intresse att myndigheternas ärendehandläggning kan ske på ett effektivt och rättssäkert sätt samt att ärendebegreppet i de allra flesta fall är förhållandevis tydligt och bör kunna användas som avgränsning (s. 87).

61

Prop. 2017/18:95 Regeringen bedömer vidare i propositionen att det behövs en tydlig reglering som tillåter viss behandling av känsliga personuppgifter hos myndigheterna och anger att det också i många fall finns sådana bestäm- melser i sektorsspecifika författningar om behandling av personuppgifter. Regeringen bedömer att det behövs särskilda bestämmelser i dataskydds- lagen som är tillämpliga för alla myndigheter och som uppfyller kraven i artikel 9.2 g i dataskyddsförordningen (s. 84 f.). Enligt 3 kap. 3 § första stycket förslaget till dataskyddslag får känsliga personuppgifter behand- las av en myndighet med stöd av artikel 9.2 g i dataskyddsförordningen 1. om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, 2. om behandlingen är nödvändig för handläggningen av ett ärende, eller 3. i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Enligt 3 kap. 3 § andra stycket är det vid behandling som sker enbart med stöd av första stycket förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter.

Utöver ovanstående föreslås också att regeringen ska få meddela ytterligare föreskrifter om sådan behandling av känsliga personuppgifter som är nödvändig med hänsyn till ett viktigt allmänt intresse (3 kap. 4 § förslaget till dataskyddslag).

Regeringen anger att de föreslagna bestämmelserna är avsedda att gälla för offentlig verksamhet där sektorsspecifik reglering avseende känsliga personuppgifter saknas och att det kan finnas anledning för vissa sektorer att närmare precisera och avgränsa möjligheterna att behandla känsliga personuppgifter ytterligare (s. 91).

Bestämmelserna om känsliga personuppgifter är förenliga med dataskyddsförordningen

I enlighet med regeringens bedömning att det är ett viktigt allmänt intresse att myndigheternas ärendehandläggning kan ske på ett effektivt och rättssäkert sätt bedömer regeringen, till skillnad från Datainspek- tionen , att den behandling av känsliga personuppgifter som möjliggörs genom berörda registerlagar får anses nödvändig av hänsyn till ett sådant viktigt allmänt intresse som avses i artikel 9.2 g i dataskyddsförord- ningen. Vad gäller nu aktuell verksamhet kan också skäl 112 i data- skyddsförordningen nämnas, där internationella utbyten av uppgifter mellan konkurrensmyndigheter, skatte- eller tullmyndigheter, finanstill- synsmyndigheter, socialförsäkringsmyndigheter eller hälsovårdsmyndig- heter nämns som exempel på viktiga allmänintressen. Regeringen vill också framhålla att det inte är fråga om några nya förslag. Det föreslås således inte några nya bestämmelser, utan befintliga krav på behandling av känsliga personuppgifter behålls. Kraven på viktigt allmänt intresse är som framgår ovan inte heller nya utan gäller även enligt 1995 års dataskyddsdirektiv.

I lagarna finns vidare särskilda bestämmelser som är ägnade att värna den enskildes personliga integritet, t.ex. en begränsning till uppgifter som lämnats i ett ärende eller är nödvändiga för handläggningen av det och regler om förbud mot att söka på känsliga personuppgifter i databaser.

Denna reglering uppfyller enligt regeringens mening dataskyddsförord-

62

ningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

Det är alltså möjligt att behålla den nuvarande regleringen avseende känsliga personuppgifter i berörda lagar. I prop. 2017/18:105 föreslås som framgår ovan bestämmelser om bl.a. myndigheters behandling av känsliga personuppgifter (3 kap. 3 § förslaget till dataskyddslag). Ett alternativ skulle kunna vara att låta dataskyddslagens bestämmelser om behandling av känsliga personuppgifter gälla vid behandling enligt berörda lagar. Detta skulle dock innebära en utvidgning av möjligheterna att behandla känsliga personuppgifter jämfört med vad som gäller i dag. Enligt regeringens mening har det inte framkommit behov av en sådan utvidgning. Dataskydd.net anser att bestämmelserna om behandling av känsliga personuppgifter är obehövliga med hänsyn till att dataskydds- förordningen anger när sådana uppgifter får behandlas. Denna syn delas således inte av regeringen. De befintliga bestämmelserna i registerförfatt- ningarna har utformats utifrån de särskilda behov som respektive verk- samhet har. Bestämmelserna om behandling av känsliga personuppgifter i berörda lagar bör därför behållas och därmed utgöra en till 3 kap. 3 § dataskyddslagen avvikande reglering (jfr 1 kap. 6 § förslaget till dataskyddslag).

Sveriges advokatsamfund väcker frågan om känsliga personuppgifter bör regleras ytterligare, för det fall att myndigheterna är personuppgifts- ansvariga för behandling i s.k. eget utrymme. Så som anges också i avsnitt 7.1 är frågeställningarna inte relaterade till de nya reglerna på EU-nivå och omfattas inte av detta lagstiftningsärende.

Som framgår av avsnitt 7.1 finns både i de aktuella registerförfatt- ningarna och i andra författningar bestämmelser som innebär att myndigheter ska lämna ut uppgifter i vissa fall och även bestämmelser om skyldighet för enskilda att lämna uppgifter till myndigheter. Föran- leder utlämnandet behandling av känsliga personuppgifter och finns det bestämmelser om detta i berörd myndighets registerförfattning, är dessa bestämmelser tillämpliga vid sådan behandling. I annat fall är det bestämmelserna om känsliga personuppgifter i dataskyddsförordningen eller den föreslagna dataskyddslagen som ska tillämpas vid sådan behandling, för det fall dessa regelverk är tillämpliga.

Hänvisningarna till personuppgiftslagens definition bör ersättas med hänvisningar till dataskyddsförordningens definition

Som framgår ovan innebär dataskyddsförordningen att vad som är att beteckna som känsliga personuppgifter blir något mer omfattande jäm- fört med i dag.

Vad gäller de lagar som har särregler om känsliga personuppgifter är samtliga uppbyggda så att det hänvisas till definitionen av känsliga personuppgifter i personuppgiftslagen. Som framgår av avsnitt 9.2 behö- ver alla hänvisningar till personuppgiftslagen tas bort. De nu aktuella hänvisningarna till personuppgiftslagen bör enligt regeringens bedöm- ning ersättas med hänvisningar till artikel 9.1 i dataskyddsförordningen med innebörd att personuppgiftslagens definition ersätts med dataskydds- förordningens definition. Denna förändring innebär en ändring i sak, då något fler kategorier av uppgifter kommer att omfattas av restriktionerna.

Prop. 2017/18:95

63

Prop. 2017/18:95

Som nämnts ovan bedöms sexuell läggning redan ingå i begreppet

sexualliv. Behandling av genetiska uppgifter och biometriska uppgifter

för att entydigt identifiera en fysisk person är dock nyheter. Även denna

typ av behandling kommer således framöver att kringgärdas av restrik-

tioner. Datainspektionen saknar överväganden som avser just dessa nya

kategorier av känsliga personuppgifter. Regeringens bedömning under

föregående rubrik inkluderar samtliga kategorier av känsliga uppgifter.

Dataskydd.net anser att 13 § lagen om identitetskort för folkbokförda i

Sverige är onödig på den grunden att behandling av särskilda person-

uppgifter (fotografi, dvs. biometriska data) redan är en rättslig förplik-

telse för den utfärdande myndigheten och att övriga kategorier av käns-

liga personuppgifter inte är relevanta vid utfärdande av identitetshand-

ling. Vad gäller fotografi vill regeringen framhålla att det är en annan

bestämmelse, 14 §, som reglerar behandling av ansiktsbilden i databasen.

Vanliga fotografier eller en kopia av ansiktsbilden innehåller inte

biometriska uppgifter för att entydigt identifiera en fysisk person (se t.ex.

SOU 2017:29 s. 149). Regeringen ser inte något skäl att upphäva den

bestämmelsen. Vad gäller behovet av 13 § är det inte uteslutet att käns-

liga personuppgifter kan komma in i ett ärende om ansökan om

identitetskort eller behöva behandlas i ett sådant ärende, varför den

bestämmelsen bör finnas kvar.

De föreslagna bestämmelserna har fått en något annorlunda utformning

jämfört med promemorians förslag, då inledningen har justerats något.

Förslaget genomförs genom ändringar i 1 kap. 7 § första stycket lagen

om behandling av uppgifter i

Skatteverkets beskattningsverksamhet,

1 kap. 6 § första stycket lagen

om behandling av personuppgifter i

Skatteverkets folkbokföringsverksamhet, 1 kap. 6 § första stycket lagen

om behandling av uppgifter i

Kronofogdemyndighetens verksamhet,

1 kap. 7 § första stycket lagen om behandling av uppgifter i Tullverkets

verksamhet, 7 § lagen om behandling av personuppgifter i Skatteverkets

äktenskapsregister- och bouppteckningsverksamheter och 13 § lagen om

identitetskort för folkbokförda i Sverige.

9.4.2 Uppgifter om lagöverträdelser

Regeringens förslag: Hänvisningar i de berörda lagarna till person- uppgiftslagens bestämmelse om lagöverträdelser m.m. ska ersättas med en uppräkning som motsvarar personuppgiftslagens definition av sådana överträdelser.

Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans har några invändningar mot

förslaget. Skatteverket och dataskydd.net tillstyrker uttryckligen för- slaget.

Skälen för regeringens förslag

Nuvarande reglering

Enligt 21 § PUL är det förbjudet för andra än myndigheter att behandla

personuppgifter om lagöverträdelser som innefattar brott, domar i

64

brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden. Förbudet gäller dock inte behandling för forskningsändamål, under vissa i paragrafen angivna förutsättningar. Vidare får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om undantag från förbudet. Regeringen får dessutom i enskilda fall besluta om undantag från förbudet samt överlåta åt tillsynsmyndigheten att fatta sådana beslut. I övrigt finns ingen reglering i personuppgiftslagen som gäller möjligheten att behandla sådana slag av personuppgifter.

Nu aktuella registerförfattningar avser myndigheters behandling av personuppgifter, varför 21 § PUL inte i sak är relevant avseende dem. Vissa författningar har dock egna, begränsande regler avseende denna kategori uppgifter. 1 kap. 7 § lagen om behandling av uppgifter i Skatte- verkets beskattningsverksamhet innehåller utöver hänvisningen till känsliga personuppgifter i personuppgiftslagen även en hänvisning till uppgifter om lagöverträdelser m.m. som anges i 21 § PUL. Detta innebär att begränsningen att uppgifter får behandlas endast om de har lämnats i ett ärende eller är nödvändiga för handläggningen av ärendet även omfattar sådana uppgifter. Detsamma gäller sökförbudet i 2 kap. 10 § andra stycket lagen om behandling av uppgifter i Skatteverkets beskatt- ningsverksamhet.

Lagen om behandling av personuppgifter i Skatteverkets folkbokför- ingsverksamhet, lagen om behandling av uppgifter i Kronofogdemyndig- hetens verksamhet och lagen om behandling av uppgifter i Tullverkets verksamhet har liknande bestämmelser. Även lagen om identitetskort för folkbokförda i Sverige har bestämmelser om sökbegränsningar avseende lagöverträdelser.

I lagen om behandling av uppgifter i Kronofogdemyndighetens verk- samhet finns utöver angiven reglering ytterligare en bestämmelse om behandling av uppgifter om överträdelser. I uppräkningen av vad som får behandlas i skuldsaneringsdatabasen för ett i 2 kap. 14 § angivet ändamål ingår lagöverträdelser som innefattar brott eller domar i brottmål, om uppgifterna utgör grund för en fordran i ett ärende (2 kap. 17 § första stycket 6).

Eftersom personuppgiftslagens bestämmelser om lagöverträdelser inte innebär några restriktioner för myndigheters behandling, saknar de författningar som inte har någon egen reglering om lagöverträdelser och där personuppgiftslagen gäller restriktioner avseende denna kategori uppgifter.

Dataskyddsförordningens bestämmelser om lagöverträdelser

Enligt artikel 10 i EU:s dataskyddsförordning får behandling av person- uppgifter som rör fällande domar i brottmål och överträdelser eller där- med sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unions- rätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får dock endast föras under kontroll av en myndighet.

Artikeln motsvarar delvis artikel 8.5 i 1995 års dataskyddsdirektiv. En skillnad är att artikel 8.5 i direktivet talar om brottmålsdomar, vilket

Prop. 2017/18:95

65

Prop. 2017/18:95

66

innefattar även icke fällande domar. Den nya regleringen innebär alltså en begränsning av bestämmelsens tillämpningsområde till enbart fällande brottmålsdomar. En annan skillnad är att artikel 8.5 i direktivet möjliggör för medlemsstaterna att föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också ska behandlas under kontroll av en myndighet.

Ovanstående innebär att såväl 1995 års dataskyddsdirektiv som den nya förordningen saknar restriktioner avseende myndigheters behandling av uppgifter om lagöverträdelser.

Propositionen Ny dataskyddslag

Regeringen uttalar sig i prop. 2017/18:105 om artikel 10 i dataskydds- förordningen. Artikeln innebär enligt regeringens bedömning att myndigheter inte behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att få behandla uppgifter som rör lagöverträdelser. I propo- sitionen bedömer regeringen också att det finns ett visst utrymme att förtydliga innebörden av artikel 10 i svensk rätt och anser att det uttryckligen bör framgå av dataskyddslagen att personuppgifter som rör lagöverträdelser får behandlas av myndigheter (s. 99). Det föreslås därför en bestämmelse som anger att personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas av myndigheter (3 kap. 8 § första stycket förslaget till dataskyddslag). Det föreslås också bestäm- melser som rör andra än myndigheters behandling av sådana uppgifter.

Hur bör bestämmelserna om uppgifter om lagöverträdelser justeras?

Som framgår av redovisningen ovan innehåller ett antal av de berörda registerlagarna begränsande regler om möjligheten att behandla uppgifter om lagöverträdelser m.m. jämfört med personuppgiftslagen. Dataskydds- förordningen har inga begränsande regler om detta för myndigheter. Inte heller i prop. 2017/18: 105 föreslås några restriktioner avseende myndigheter. Detta innebär att några sådana bestämmelser inte krävs med anledning av artikel 10 i förordningen eller den föreslagna dataskyddslagen. Det innebär också att regleringen utgör en begränsning i förhållande till dataskyddsförordningen och dataskyddslagen.

Frågan kan därför ställas om de befintliga begränsningarna i lagarna ska finnas kvar. Begränsningarna har införts i syfte att skydda den personliga integriteten (se t.ex. prop. 2000/01:33 s. 100–104). Några skäl att upphäva dessa bestämmelser har inte framkommit. Bestämmelserna bör enligt regeringens bedömning därför finnas kvar.

Nästa fråga är hur bestämmelserna bör vara utformade. Som framgår av avsnitt 9.2 föreslås att hänvisningarna till personuppgiftslagen ska tas bort. Ett alternativ är att ersätta hänvisningen till personuppgiftslagen med en hänvisning till artikel 10 i dataskyddsförordningen. Detta skulle innebära en ändring i sak, då t.ex. uppgifter om friande domar inte skulle omfattas av de mer restriktiva reglerna. Som har nämnts ovan har de begränsande reglerna införts till skydd för den personliga integriteten. Några skäl till lättnader har inte framkommit, även om dataskyddsförord- ningen inte hindrar detta.

Regeringen föreslår i stället att hänvisningen till personuppgiftslagen ersätts med en uppräkning som motsvarar personuppgiftslagens defini-

tion av lagöverträdelser m.m., dvs. lagöverträdelser som innefattar brott, Prop. 2017/18:95 domar i brottmål, straffprocessuella tvångsmedel eller administrativa

frihetsberövanden. Justeringen innebär ingen ändring i sak.

Vad gäller den ovan nämnda särbestämmelsen i 2 kap. 17 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet finns inga skäl till justeringar varför den bör kvarstå oförändrad.

Förslaget genomförs genom ändringar i 1 kap. 7 § första stycket lagen

om behandling av uppgifter i

Skatteverkets beskattningsverksamhet,

1 kap. 6 § första stycket lagen

om behandling av personuppgifter i

Skatteverkets folkbokföringsverksamhet, 1 kap. 6 § första stycket lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet, 1 kap. 7 § första stycket lagen om behandling av uppgifter i Tullverkets verksamhet och 17 § andra stycket lagen om identitetskort för folkbok- förda i Sverige.

9.5 Enskildas rättigheter

9.5.1 Allmänt om rättigheterna i EU:s dataskyddsförordning och bestämmelser i förslaget till dataskyddslag

I dataskyddsförordningens tredje kapitel behandlas den registrerades rättigheter. Kapitlet avser rätten till information (artiklarna 13 och 14) och rätten till tillgång (artikel 15), rätten till rättelse (artikel 16), radering (artikel 17), begränsning (artikel 18) och dataportabilitet (artikel 20). Slutligen behandlas rätten att göra invändningar (artikel 21) och att motsätta sig automatiskt individuellt beslutsfattande (artikel 22). I anslutning till dessa rättigheter finns bestämmelser om hur och när information ska lämnas (artikel 12) och bestämmelser om anmälnings- skyldighet för det fall rättelse, radering av personuppgifter eller begränsning av behandling sker (artikel 19).

De rättigheter för enskilda som följer av dataskyddsförordningen har, med vissa undantag, sina motsvarigheter i 1995 års dataskyddsdirektiv och personuppgiftslagen. Den registrerades rättigheter har dock förstärkts i vissa avseenden genom dataskyddsförordningen, bl.a. när det gäller rätten till information och tillgång till uppgifter.

Den registrerades rättigheter, med motsvarande skyldigheter för den personuppgiftsansvarige, är direkt tillämpliga. Rättigheterna är emellertid inte absoluta utan kan enligt artikel 23 i dataskyddsförordningen begrän- sas under vissa i artikeln angivna förutsättningar. Enligt artikel 23.1 får begränsningar införas i nationell rätt, om begränsningen sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa särskilt angivna mål. De angivna målen innefattar bl.a. att säkerställa unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlems- stats viktiga ekonomiska intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. Även enligt artikel 13 i 1995 års dataskyddsdirektiv ges en möjlighet att begränsa de rättigheter som

67

Prop. 2017/18:95

ges enskilda i direktivet. En nyhet i dataskyddsförordningen är att det

anges att en begränsande lagstiftningsåtgärd, när så är relevant, ska inne-

hålla specifika bestämmelser i vissa avseenden, bl.a. om skyddsåtgärder

(artikel 23.2). Möjlighet att begränsa vissa av de registrerades rättigheter

ges även i artikel 89.2 i förordningen, i fråga om behandling av person-

uppgifter för vetenskapliga ändamål eller historiska forskningsändamål

eller statistiska ändamål. Enligt artikel 89.3 får vissa rättigheter också

begränsas vid behandling av personuppgifter för arkivändamål av

allmänt intresse.

I prop. 2017/18:105 föreslår regeringen en bestämmelse som innebär

undantag från den registrerades rätt till information och att få tillgång till

personuppgifter enligt artiklarna 13–15, om sekretess eller tystnadsplikt

föreligger gentemot den registrerade (5 kap. 1 § förslaget till dataskydds-

lag). Regeringen föreslår vidare en bestämmelse som innebär att den

registrerades rätt att få tillgång till personuppgifter som huvudregel inte

ska omfatta uppgifter som finns i löpande text som utgör utkast eller

minnesanteckningar (5 kap. 2 §). Slutligen föreslås ett generellt bemyn-

digande för regeringen att meddela ytterligare föreskrifter om begräns-

ningar enligt artiklarna 23, 89.2 och 89.3 i dataskyddsförordningen

(5 kap. 3 §).

I det följande behandlas frågor om vilken reglering som kan behövas i

registerlagarna med anledning av dataskyddsförordningens bestämmelser

om rätten till information och tillgång till personuppgifter, rätten till

rättelse, radering och begränsning av behandling av personuppgifter och

rätten att göra invändningar mot behandling. Frågor om automatiskt

beslutsfattande regleras inte i registerförfattningarna. Dessa frågor

behandlas i stället i avsnitt 10.

9.5.2

Rätten till information och tillgång till

personuppgifter

Regeringens förslag: Bestämmelser i berörda lagar om information

om uppgifter i handlingar som den enskilde har tagit del av ska tas

bort.

Undantaget från informationsskyldighet när uppgifter behandlas på

grund av visst administrativt samarbete i fråga om beskattning ska

omformuleras utan att det innebär någon ändring i sak.

Det ska tydliggöras att lagbestämmelser som anger att myndig-

heterna får ta ut avgifter för att lämna ut uppgifter inte innebär en

inskränkning av den registrerades rätt till kostnadsfria åtgärder enligt

artikel 12.5 a i EU:s dataskyddsförordning.

Promemorians förslag: Överensstämmer delvis med regeringens

förslag. I promemorian föreslås att bestämmelser om information om

uppgifter i handlingar som den enskilde har tagit del av ska finnas kvar

men ändras så att de hänvisar till dataskyddsförordningen i stället för till

personuppgiftslagen.

Remissinstanserna: Skatteverket tillstyrker promemorians förslag.

Datainspektionen avstyrker promemorians förslag i den del de avser

68

rätten till information om personuppgifter i handlingar som den enskilde

har tagit del av. Datainspektionen anser att bestämmelser som innebär att

Prop. 2017/18:95

information enligt artikel 15 i dataskyddsförordningen inte behöver

omfatta en uppgift i en handling som har kommit in till register-

myndigheten om den enskilde har tagit del av handlingens innehåll, utgör

en begränsning i den enskildes rätt till tillgång enligt denna artikel och att

undantaget från detta inte är utfört i enlighet med kraven i artikel 23 i

dataskyddsförordningen. Dataskydd.net avstyrker delvis promemorians

förslag och anser att bestämmelsen i lagen om behandling av uppgifter i

Skatteverkets beskattningsverksamhet när uppgifter behandlas på grund

av visst administrativt samarbete i fråga om beskattning bör ändras så att

bara tillämpningen av artikel 15 i dataskyddsförordningen (register-

utdrag) undantas från den enskildes rättigheter, men inte artikel 13.

Dataskydd.net anser också att det saknas behov av några av de föreslagna

bestämmelserna i vilka det tydliggörs att rätten att ta ut avgifter inte får

åsidosätta rätten för en registrerad att kostnadsfritt få information om

behandling eller registerutdrag med stöd av artikel 12.5 i dataskydds-

förordningen. I övrigt invänder ingen remissinstans mot promemorians

förslag.

Skälen för regeringens förslag

Nuvarande reglering

Bestämmelser om information till den registrerade finns i 23–27 §§ PUL.

I flera av de aktuella registerförfattningarna pekas det ut vilka bestäm-

melser i personuppgiftslagen om information till enskilda som är

tillämpliga vid sådan behandling som omfattas av respektive lag. De

bestämmelser som pekas ut är 23 och 25–27 §§. Hänvisningar till dessa

bestämmelser i personuppgiftslagen finns i 3 kap. 1 § lagen om behand-

ling av uppgifter i Skatteverkets beskattningsverksamhet men också i

lagen om behandling av personuppgifter i Skatteverkets folkbokförings-

verksamhet, lagen om behandling av uppgifter i Kronofogdemyndig-

hetens verksamhet och lagen om behandling av uppgifter i Tullverkets

verksamhet.

Eftersom personuppgiftslagen gäller vid behandling enligt lagen om

identitetskort för folkbokförda i Sverige, lagen om behandling av

personuppgifter i Skatteverkets äktenskapsregister- och boupptecknings-

verksamheter och lagen om det statliga personadressregistret om inte

annat följer av de respektive lagarna och då de lagarna inte innehåller

särskilda bestämmelser om informationsskyldighet, gäller samtliga

bestämmelser om informationsskyldighet i personuppgiftslagen vid

sådan behandling som omfattas av de lagarna.

I 23 § PUL finns bestämmelser om att den personuppgiftsansvarige

självmant ska lämna information till den registrerade om behandlingen

av personuppgifterna när uppgifter samlas in från personen själv. I 25 §

anges vilken information som den personuppgiftsansvarige ska lämna.

26 § PUL innehåller bestämmelser om att den personuppgiftsansvarige

i vissa fall är skyldig att till den som ansöker om det lämna viss särskilt

angiven information om de uppgifter rörande den sökande som behandlas

(s.k. registerutdrag). I fråga om uppgifter som finns i handlingar finns

vissa specialbestämmelser i flera av de berörda registerförfattningarna.

Dessa bestämmelser behandlas nedan.

69

Prop. 2017/18:95 24 § PUL är inte tillämplig för de lagar som gäller i stället för person- uppgiftslagen och som anger vilka bestämmelser i personuppgiftslagen som ska gälla. Av bestämmelsen framgår att information om behandling av uppgifterna i vissa fall ska lämnas till den registrerade, när uppgifter samlas in från någon annan källa än den registrerade. I andra stycket anges dock att informationen inte behöver lämnas, om det finns bestäm- melser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning, med bestämmelser om vilka uppgifter som får behandlas och hur uppgifterna i övrigt får hanteras, har därför gjorts bedömningen att det inte krävs att det ges sådan information som avses i 24 § PUL (se t.ex. prop. 2000/01:33 s. 105).

Dataskyddsförordningens bestämmelser om rätt till information och tillgång till personuppgifter

Bestämmelser om att den personuppgiftsansvarige självmant ska lämna viss information till den registrerade om behandling av personuppgifter finns i artikel 13 och 14 i dataskyddsförordningen. Bestämmelserna utgör motsvarigheter till 23 och 24 §§ PUL samt artikel 10 och 11 i 1995 års dataskyddsdirektiv. I artikel 13 i dataskyddsförordningen anges vilken information som ska lämnas till den registrerade när personuppgifter samlas in från denne. I artikel 14.1–14.4 regleras skyldigheten att lämna information när personuppgifterna har erhållits från någon annan än den registrerade. Av artikel 14.5 följer att skyldigheten att lämna information enligt punkterna 1–4 i samma artikel inte ska tillämpas bl.a. då er- hållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. Detta innebär bl.a. att en tillsynsmyndighet som regel inte behöver informera den registrerade om behandlingen av sådana personuppgifter som myndigheten erhållit som en följd av en reglerad uppgiftsskyldighet (jfr prop. 2017/18:105 s. 106).

Rätten till tillgång regleras i artikel 15 i dataskyddsförordningen, som i stora delar utgör motsvarighet till rätten till information efter ansökan i 26 § PUL, dvs. rätten till s.k. registerutdrag samt artikel 12 a i 1995 års dataskyddsdirektiv. I artikeln anges bl.a. att den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personupp- gifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och viss information som finns särskilt angiven i artikeln. Den personuppgiftsansvarige ska förse den registre- rade med en kopia av de personuppgifter som är under behandling.

I artikel 12 finns bestämmelser om på vilket sätt och inom vilken tid bl.a. sådan information som avses i artikel 13–15 ska lämnas till den registrerade.

Som framgår av föregående avsnitt finns vissa skillnader mellan data- skyddsförordningens bestämmelser om informationsskyldighet och de skyldigheter som gäller enligt 1995 års dataskyddsdirektiv och person- uppgiftslagen. Den information om personuppgiftsbehandlingen som ska lämnas är t.ex. mer utförlig enligt dataskyddsförordningen än enligt

direktivet och personuppgiftslagen. I dataskyddsförordningen finns också

70

vissa nya bestämmelser om bl.a. på vilket sätt och inom vilken tidsfrist informationen ska lämnas till den registrerade.

Det behöver inte upplysas om att bestämmelserna i dataskyddsförordningen gäller

De hänvisningar till personuppgiftslagens bestämmelser som finns i be- rörda lagar behöver tas bort. Det förslaget behandlas i avsnitt 9.2. Eftersom de rättigheter som följer av dataskyddsförordningen är direkt tillämpliga behövs inga bestämmelser som slår fast att dessa gäller. I likhet med dagens reglering kommer informationsskyldigheten då upp- gifter har erhållits från någon annan än den registrerade inte att gälla vid sådan behandling som omfattas av de berörda författningarna (se artikel 14.5 c). Den ifrågavarande behandlingen av personuppgifter regleras i författningar som får anses tillräckliga för att uppfylla dataskydds- förordningens krav på lämpliga skyddsåtgärder (jfr prop. 1997/98:44 s. 79).

Någon upplysning om vilka rättigheter i dataskyddsförordningen som gäller bedöms inte behövas.

Undantaget för information om uppgifter i handlingar i vissa fall ska tas bort

I flera av de nu aktuella registerlagarna finns bestämmelser om att information som ska lämnas enligt 26 § PUL (registerutdrag) inte behöver omfatta uppgift i vissa elektroniska handlingar, om den enskilde har tagit del av handlingens innehåll. Om så är fallet behöver dessa handlingar således inte lämnas ut till en enskild i samband med att myndigheten fullgör sin informationsskyldighet enligt 26 § PUL. Detta undantag förutsätter att den registrerade får tydlig information om att handlingar som han eller hon har skickat in till eller fått från myndigheten finns registrerade samt att han eller hon får en förteckning över dessa handlingar. Om den enskilde begär det ska dock informa- tionen även omfatta uppgift i en sådan handling (prop. 2000/01:33 s. 204). Bestämmelser med detta innehåll finns i lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och lagen om behandling av uppgifter i Tullverkets verksamhet.

I promemorian görs bedömningen att de aktuella bestämmelserna inte kan anses utgöra en begränsning av rätten till tillgång enligt artikel 15 i dataskyddsförordningen eftersom informationen ska omfatta även uppgifterna i handlingarna om den enskilde begär det. Som Datainspek- tionen påpekar avser dock den registrerades rätt till tillgång enligt artikel 15 inte endast personuppgifter. Den personuppgiftsansvarige ska även informera om bl.a. ändamålen med behandlingen och eventuell över- föring till tredjeland. Det förhållandet att en registrerad redan har fått tillgång till vissa handlingar som innehåller personuppgifter innebär således inte att rätten till tillgång enligt artikel 15 i sin helhet har tillgodosetts i förhållande till dessa uppgifter. Regeringen instämmer därför i Datainspektionens bedömning att de aktuella bestämmelserna

Prop. 2017/18:95

71

Prop. 2017/18:95 utgör en begränsning i den enskildes rätt till tillgång till sådan information.

Frågan är därför om det finns tillräckliga skäl för en sådan begräns- ning. Som Datainspektionen framhåller kan den personuppgiftsansvarige, om denne behandlar en stor mängd uppgifter om den registrerade, efterfråga vilken information eller vilken behandling som en begäran enligt artikel 15 i förordningen avser innan informationen lämnas ut (se skäl 63). I ett sådant sammanhang bör den personuppgiftsansvarige kunna efterfråga om den registrerades begäran omfattar information som lämnats ut vid ett tidigare tillfälle. Det kan vidare konstateras att, enligt artikel 12.5 i dataskyddsförordningen, kan den personuppgiftsansvarige ta ut en rimlig kostnad eller vägra tillmötesgå en begäran, om den är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art. Enligt regeringens bedömning finns det mot den bakgrunden inte skäl att göra undantag från artikel 15 i förordningen. Regeringen föreslår därför att bestämmelserna i 3 kap. 2 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 3 kap. 2 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 3 kap. 2 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksam- het och 3 kap. 2 § lagen om behandling av uppgifter i Tullverkets verksamhet ska upphöra att gälla.

Undantaget vid visst administrativt samarbete i fråga om beskattning ska behållas, men justeras

I 3 kap. 2 a § lagen om behandling av uppgifter i Skatteverkets beskatt- ningsverksamhet anges att bl.a. bestämmelserna i 23, 25 och 26 §§ PUL inte tillämpas vid behandling av personuppgifter på grund av samarbete enligt lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning, om sådana begränsningar är nödvändiga med hänsyn till ett intresse som anges i 8 a § f PUL. Det intresse som anges i 8 a § f PUL är ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen.

Bestämmelsen infördes i samband med genomförandet av rådets direktiv 2011/16/EU av den 15 februari 2011 om administrativt samar- bete i fråga om beskattning och om upphävande av direktiv 77/799/EG (handräckningsdirektivet). Direktivet genomfördes i huvudsak genom införandet av lagen om administrativt samarbete inom Europeiska unionen i fråga om beskattning. I den lagen finns bl.a. skyldigheter för Skatteverket att under vissa förutsättningar, både på begäran och utan föregående begäran (s.k. spontant utbyte av upplysningar), lämna sådana upplysningar till en behörig myndighet i en annan medlemsstat som kan antas vara relevanta för administration och verkställighet av den andra medlemsstatens skattelagstiftning (8 och 14 §§). När det gäller utbyte på begäran ska Skatteverket utföra de utredningar som krävs för att få fram de upplysningar som ska lämnas till en behörig myndighet i en annan medlemsstat. Detta gäller dock inte utredningar som det skulle strida mot lag att utföra för svenska beskattningsändamål (9 §). I fråga om vissa uppgifter som Skatteverket har tagit emot i form av bl.a. kontrollupp- gifter ska verket överföra upplysningar genom automatiskt utbyte (12 §).

Av lagen framgår att Skatteverket, med vissa undantag, får begära att en

72

behörig myndighet i en annan medlemsstat vidtar motsvarande åtgärder som åligger Skatteverket (6 §).

Bakgrunden till bestämmelsen i 3 kap. 2 a § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet är bl.a. att det före- skrivs i artikel 25 i handräckningsdirektivet att medlemsstaterna för en korrekt tillämpning av direktivet ska begränsa tillämpningsområdet för bl.a. de skyldigheter och rättigheter som avses i artiklarna 10, 11.1 och 12 i 1995 års dataskyddsdirektiv i den utsträckning som behövs för att skydda de intressen som avses i artikel 13.1 e i det direktivet. Bestäm- melsen kan t.ex. bli aktuell att tillämpa i en situation när uppgifter behandlas med anledning av en begäran om utbyte av upplysningar och det kan befaras att det skulle försvåra genomförandet av utredning eller beslut i skatteärende i den andra medlemsstaten att lämna sådan information till den registrerade, se propositionen Genomförande av det nya EU-direktivet om administrativt samarbete i fråga om beskattning (prop. 2012/13:4 s. 70–73).

De skyldigheter och rättigheter som ska begränsas enligt handräck- ningsdirektivet rör bl.a. rätten till information och tillgång till person- uppgifter. Dessa rättigheter regleras i artiklarna 13 och 15 i dataskydds- förordningen. Den grund som anges i artikel 13.1 e i 1995 års data- skyddsdirektiv och 8 a § f PUL, på vilken bl.a. rätten till information får begränsas, har sin motsvarighet i artikel 23.1 e i dataskyddsförordningen. Den aktuella bestämmelsen i dataskyddsförordningen ger en något vidare möjlighet att begränsa de enskildas rättigheter.

I de aktuella lagarna finns ett flertal olika integritetsskyddande bestäm- melser, som har införts utifrån vad som har bedömts lämpligt för de olika verksamheterna. Lagarna innehåller därför sådana specifika bestämmel- ser om bl.a. skyddsåtgärder som avses i artikel 23.2.

Regeringen bedömer således att bestämmelsen i 3 kap. 2 a § lagen om behandling av personuppgifter i Skatteverkets beskattningsverksamhet är förenlig med artikel 23 i dataskyddsförordningen. För att bestämmelsens sakliga innebörd ska vara densamma som i dag, bör hänvisningen till 8 a § f PUL inte ersättas av en hänvisning till artikel 23.1 e i dataskydds- förordningen. I stället bör lagtexten utformas så att det framgår att de rättigheter som anges i artiklarna 13 och 15 i dataskyddsförordningen inte ska tillämpas om sådana begränsningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen.

Dataskydd.net anser att bestämmelsen bör ändras så att bara tillämp- ningen av artikel 15 i dataskyddsförordningen (registerutdrag) undantas från den enskildes rättigheter, men inte artikel 13. Regeringen anser dock som framgår ovan att dataskyddsförordningen ger stöd för att begränsa de enskildas rättigheter enligt både artikel 13 och 15 på det sätt som skett.

Förslaget genomförs genom en ändring i 3 kap. 2 a § lagen om be- handling av uppgifter i Skatteverkets beskattningsverksamhet. Även rubriken före bestämmelsen föreslås få en annan lydelse.

Prop. 2017/18:95

73

Prop. 2017/18:95

74

Lagbestämmelser om andra former av informationsskyldighet påverkas inte

Det förekommer lagbestämmelser som ger myndigheter och vissa enskilda aktörer skyldigheter att informera enskilda, utan att informa- tionsskyldigheten är kopplad till rättigheterna i 1995 års dataskydds- direktiv och personuppgiftslagen. Sådana bestämmelser finns framför allt i andra lagar än de rena registerförfattningarna. Det kan t.ex. handla om att information ska lämnas om att den personuppgiftsansvarige har tillgång till eller har vidtagit vissa åtgärder med uppgifter som rör den enskilde. Sådana bestämmelser finns bl.a. i skatteförfarandelagen, SFL. I 31 kap. 4 § SFL anges t.ex. att Skatteverket, före den 15 april året efter utgången av beskattningsåret, ska underrätta fysiska personer och döds- bon som kan antas vara deklarationsskyldiga om de kontrolluppgifter och övriga uppgifter som har kommit in till verket som underlag för beslut om slutlig skatt och beslut om pensionsgrundande inkomst, samt övriga uppgifter som verket känner till. I bl.a. lagen om internationellt tull- samarbete finns en bestämmelse som innebär att en myndighet i vissa fall ska underrätta en enskild om att uppgifter har översänts till utländsk myndighet (2 kap. 8 §). I samma bestämmelse anges även vissa undantag från informationsskyldigheten.

De angivna bestämmelserna har införts med olika syften. De har det gemensamt att de inte påverkar den rätt till information som ges i personuppgiftslagen och de aktuella registerförfattningarna. Bestämmel- serna kommer inte heller att påverka de rättigheter som följer av data- skyddsförordningen. De informationsskyldigheter som följer av bestäm- melserna kommer att tillämpas vid sidan av bestämmelserna i förord- ningen. Det finns mot den bakgrunden inte skäl att föreslå några lag- ändringar avseende dessa bestämmelser.

Det ska framgå att avgifter inte får tas ut i vissa fall

I lagen om behandling av uppgifter i Skatteverkets beskattningsverk- samhet, lagen om behandling av personuppgifter i Skatteverkets folk- bokföringsverksamhet, lagen om behandling av uppgifter i Kronofog- demyndighetens verksamhet och lagen om behandling av uppgifter i Tullverkets verksamhet finns bestämmelser om att de aktuella myndig- heterna får ta ut avgifter för att lämna ut uppgifter ur databaser enligt de närmare föreskrifter som meddelas av regeringen. Vidare anges i dessa bestämmelser att rätten att ta ut avgifter inte får innebära en inskränkning i rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt tryckfrihetsförordningen. I förarbetena till bestämmelserna uttalade regeringen bl.a. följande. ”Enskilda har normalt möjlighet att få tillgång till uppgifter med stöd av tryckfrihets- förordningen. För sådant uppgiftsutlämnande finns särskilda bestäm- melser om avgifter. När enskilda vill ta del av en större mängd uppgifter på medium för automatiserad behandling – vilket inte omfattas av tryckfrihetsförordningens bestämmelser – av t.ex. marknadsföringsskäl eller av andra orsaker som betingas av bedriven näringsverksamhet, finns det enligt regeringens mening anledning att låta dem som drar nytta av uppgifterna bidra ekonomiskt till den verksamhet från vilken utlämnandet sker. Vid utlämnande på elektronisk väg till enskilda bör de

utlämnande myndigheterna således få ta ut avgifter” (prop. 2000/01:33 Prop. 2017/18:95 s. 119).

I artikel 12.5 a i dataskyddsförordningen slås fast att information som har tillhandahållits enligt artiklarna 13 och 14 och att all kommunikation och samtliga åtgärder som vidtas enligt artiklarna 15–22 och 34, ska tillhandahållas kostnadsfritt. För en begäran från en registrerad som är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art, får den personuppgiftsansvarige dock ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts. Bestämmelsen avser alltså bl.a. registre- rades rätt till information och till s.k. registerutdrag enligt artiklarna 13– 15. Regeringen anser att det bör tydliggöras att bestämmelserna om avgifter i de berörda lagarna inte innebär en inskränkning av regist- rerades rätt till kostnadsfria åtgärder enligt artikel 12.5 a i förordningen. Bestämmelser med denna innebörd bör därför införas i lagarna.

Dataskydd.net anser att det saknas behov av de föreslagna bestäm- melserna. Regeringen är som framgår ovan av en annan uppfattning och anser att det i detta fall är motiverat att tydliggöra den registrerades rättigheter enligt artikel 12.5 a i dataskyddsförordningen.

Förslagen genomförs genom ändringar i 2 kap. 14 § lagen om behand- ling av uppgifter i Skatteverkets beskattningsverksamhet, 2 kap. 12 § lagen om behandling av personuppgifter i Skatteverkets folkbokförings- verksamhet, 2 kap. 30 § lagen om behandling av uppgifter i Kronofogde- myndighetens verksamhet och 2 kap. 11 § lagen om behandling av upp- gifter i Tullverkets verksamhet.

9.5.3 Rätten till rättelse, radering och begränsning av behandling

Regeringens förslag: Bestämmelserna om rättelse och om att Krono- fogdemyndigheten i vissa fall ska underrätta tredje man i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet ska kompletteras med en upplysning om att det i fråga om personuppgifter finns bestämmelser om rättelse m.m. i EU:s dataskyddsförordning.

Undantaget från rätten till rättelse m.m. i lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet när uppgifter behandlas på grund av visst administrativt samarbete i fråga om beskattning ska omformuleras utan att det innebär någon ändring i sak.

Promemorians förslag: Överensstämmer med regeringens förslag. Vissa redaktionella ändringar har dock gjorts.

Remissinstanserna: Skatteverket tillstyrker förslagen. Dataskydd.net avstyrker delvis förslagen . Dataskydd.net har synpunkter på rättelse- bestämmelserna i lagen om behandling av uppgifter i Kronofogdemyn- dighetens verksamhet och anser bl.a. att den befintliga rättelsebestäm- melsen i paragrafen inte behövs och att det föreslagna tillägget om att det i fråga om personuppgifter finns bestämmelser om rättelse också i dataskyddsförordningen, skapar otydlighet för både myndigheten och enskilda kring enskildas rättigheter. Förvaltningsrätten i Stockholm har

75

Prop. 2017/18:95 en synpunkt som gäller placeringen av en bestämmelse. I övrigt yttrar sig ingen remissinstans särskilt över förslagen.

Skälen för regeringens förslag

Nuvarande reglering

Enligt 28 § PUL är den personuppgiftsansvarige skyldig att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana person- uppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av den lagen. Paragrafen rubriceras ”rättelse”. Med detta menas rättelse i den vidare bemärkelsen korrigering, som alltså kan ske genom de alternativa metoderna rättelse, blockering och utplåning. Det är i princip den som ska göra korri- geringen, dvs. den personuppgiftsansvarige, som själv väljer mellan alternativen. Av annan lagstiftning, eller av sakens natur, kan det dock följa att vissa korrigeringsmetoder inte kan användas i vissa fall, t.ex. när det gäller korrigering av personuppgifter i bokföring (prop. 1997/98:44 s. 133). En myndighet får inte heller utplåna uppgifter i en allmän handling, om det skulle strida mot andra bestämmelser. Av 28 § PUL framgår därutöver att den personuppgiftsansvarige i vissa fall ska underrätta tredje man, till vilken uppgifterna har lämnats ut, om korrigeringsåtgärden. Bestämmelserna i 28 § PUL genomför artikel 12 b och c i 1995 års dataskyddsdirektiv.

I de flesta av de berörda registerförfattningarna har det tagits in paragrafer som innebär att bestämmelserna i personuppgiftslagen om rättelse gäller när personuppgifter behandlas i strid med register- författningarna. Bestämmelser med denna innebörd finns i 3 kap. 3 § lagen om behandling av uppgifter i Skatteverkets beskattningsverk- samhet men också i lagen om behandling av personuppgifter i Skatte- verkets folkbokföringsverksamhet, lagen om behandling av uppgifter i Tullverkets verksamhet, lagen om det statliga personadressregistret, lagen om identitetskort för folkbokförda i Sverige och lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter. Med hänsyn till hur bestämmelserna i 28 § PUL är utformade har det ansetts att en särskild hänvisning behövs i särlagstiftning för att bestämmelserna ska gälla för behandling som sker i strid med särlagstiftningen (se t.ex. prop. 2015/16:28 s. 43).

Rättelsereglerna i 28 § PUL tillämpas således vid behandling av personuppgifter i de berörda verksamheterna. För Kronofogdemyndig- hetens verksamhet gäller vissa särskilda bestämmelser, vilket behandlas nedan.

Dataskyddsförordningens bestämmelser om rättelse, radering och begränsning av behandling

Dataskyddsförordningens motsvarigheter till de rättigheter som följer av 28 § PUL finns i artikel 16–19. I artiklarna regleras den registrerades rätt till rättelse, radering och begränsning av behandling samt skyldigheten för den personuppgiftsansvarige att underrätta mottagare av person- uppgifter om vidtagna korrigeringsåtgärder.

76

– Närmare om rätten till rättelse

I artikel 16 stadgas en rätt för den registrerade att av den personuppgifts- ansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behand- lingen ska den registrerade också ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett kompletterande ut- låtande.

Rätten för den registrerade att på begäran få uppgifter rättade innebär ingen nyhet. Rätten till komplettering saknar uttrycklig motsvarighet i 1995 års dataskyddsdirektiv och personuppgiftslagen. Enligt 9 § PUL gäller dock redan att den personuppgiftsansvarige ska se till att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana person- uppgifter som är felaktiga och ofullständiga med hänsyn till ändamålen med behandlingen. Den bestämmelsen är tillämplig vid behandling enligt nu aktuella registerförfattningar.

– Närmare om rätten till radering

Enligt artikel 17 ska den registrerade under vissa omständigheter ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina person- uppgifter raderade. Den personuppgiftsansvarige ska under samma omständigheter vara skyldig att utan onödigt dröjsmål radera person- uppgifter. Rätten till radering gäller bl.a. om personuppgifterna inte längre är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlas eller om de har behandlats på olagligt sätt.

I artikel 17.3 regleras vissa undantag från rätten till radering. Av artikel 17.3 b följer t.ex. att rätten till radering inte gäller i den utsträckning behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighets- utövning som utförs av den personuppgiftsansvarige.

– Närmare om rätten till begränsning av behandling

I artikel 18.1 ges en rätt för den registrerade att av den personuppgifts- ansvarige kräva att behandlingen begränsas i vissa fall. Rätten gäller i fall den registrerade bestrider personuppgifternas korrekthet, under en tid som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta (artikel 18.1 a), i fall behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning (artikel 18.1 b), i fall den personuppgiftsansvarige inte längre behöver personuppgifterna för ändamålen med behandlingen men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk (artikel 18.1 c), och i fall den registrerade har invänt mot behandling i enlighet med artikel 21.1 i väntan på kontroll av huruvida den personuppgifts- ansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl (artikel 18.1.d).

En definition av uttrycket begränsning av behandling finns i artikel 4.3. Där framgår att med begränsning av behandling avses markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa i

Prop. 2017/18:95

77

Prop. 2017/18:95

78

framtiden. Begränsning av behandling behandlas även i skäl 67. Där anges att sätten att begränsa behandlingen av personuppgifter bland annat kan inbegripa att man tillfälligt flyttar de valda personuppgifterna till ett annat databehandlingssystem, gör de valda uppgifterna otillgängliga för användare eller tillfälligt avlägsnar offentliggjorda uppgifter från en webbplats. I automatiserade register bör begränsningen av behandlingen i princip ske med tekniska medel på ett sådant sätt att personuppgifterna inte blir föremål för ytterligare behandling och inte kan ändras. Det förhållandet att behandlingen av personuppgifterna är begränsad bör klart anges inom systemet.

– Skyldighet att underrätta tredje man om vidtagna korrigeringsåtgärder

Enligt artikel 19 i dataskyddsförordningen gäller att den personuppgifts- ansvarige ska underrätta varje mottagare till vilken personuppgifter har lämnats ut om eventuella rättelser eller radering av personuppgifter eller begränsningar av behandling som skett i enlighet med artiklarna 16, 17.1 och 18, om inte detta visar sig vara omöjligt eller medföra en opropor- tionell ansträngning. Den personuppgiftsansvarige ska informera den registrerade om dessa mottagare på den registrerades begäran.

Bestämmelsen skiljer sig från 28 § PUL genom att utgångspunkten i dataskyddsförordningen är att underrättelse ska lämnas till uppgifts- mottagarna i alla de fall då rättelse, radering eller begränsning av behandling har skett, dvs. inte endast då den enskilde har begärt det eller då mera betydande skada eller olägenhet för den enskilde skulle kunna undvikas.

I artikel 4.9 finns en definition av vad som avses med mottagare i dataskyddsförordningens mening. Av bestämmelsen framgår bl.a. att myndigheter som kan komma att motta personuppgifter inom ramen för ett särskilt uppdrag i enlighet med unionsrätten eller medlemsstaternas nationella rätt inte ska betraktas som mottagare.

Det behöver inte anges att bestämmelserna i dataskyddsförordningen gäller

De hänvisningar till personuppgiftslagens bestämmelser som finns i be- rörda lagar behöver tas bort. Det förslaget behandlas i avsnitt 9.2. Eftersom de rättigheter som följer av dataskyddsförordningen är direkt tillämpliga behövs inga bestämmelser som slår fast att dessa gäller. Någon upplysning om att rättigheterna i dataskyddsförordningen gäller bedöms inte heller behövas.

Den utökade rätten till korrigering av vissa missvisande uppgifter hos Kronofogdemyndigheten ska behållas, med upplysning om bestämmelserna i dataskyddsförordningen

Vid behandling av uppgifter i Kronofogdemyndighetens verksamhet gäller särskilda regler om korrigering av uppgifter. Bestämmelserna finns i 3 kap. 3 a § första stycket lagen om behandling av uppgifter i Krono- fogdemyndighetens verksamhet. Enligt dessa ska Kronofogdemyndig- heten på begäran av den registrerade snarast rätta, blockera eller utplåna sådana uppgifter som inte har behandlats i enlighet med lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet eller

anslutande författningar. Därutöver ska sådan korrigering ske på den registrerades begäran beträffande uppgifter som är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser. Rätten att få sådana missvisande uppgifter korrigerade innebär en utökad rätt i förhållande till personuppgiftslagens och även dataskyddsförordningens bestämmelser. Bakgrunden till den särskilda rättelsebestämmelsen är i huvudsak att det kan få långtgående konse- kvenser för den enskilde att förekomma med mål som registrerats i utsöknings- och indrivningsdatabasen, med tanke på uppgifternas spridning och användning utanför Kronofogdemyndigheten. Det har mot den bakgrunden inte ansetts vara rimligt att behöva figurera med sådana uppgifter i fall där det inte behöver ha förelegat någon verklig vare sig ovilja eller oförmåga att betala, se propositionen Rättelse av uppgifter i Kronofogdemyndighetens verksamhet m.m. (prop. 2007/08:116 s. 14). I förarbetena till den aktuella bestämmelsen anfördes att det kunde diskuteras om förslaget innebar en utvidgning av skyldigheten att vidta rättelse, eller bara ett förtydligande av vad som gällde enligt person- uppgiftslagens bestämmelser. Det viktigaste ansågs emellertid vara att ändringen, tillsammans med den utbyggnad av sekretesskyddet som också föreslogs, banade väg för en tillämpning som tillgodosåg såväl kraven på Kronofogdemyndighetens diarieföring som de enskildas berättigade krav på att inte behöva förekomma med uppgifter som ger ett i sak ogrundat intryck av bristande vilja eller förmåga att göra rätt för sig (s. 17 f.). I förarbetena drogs också slutsatsen att blockering var den rättelsemetod som normalt borde komma till användning hos Krono- fogdemyndigheten när det gäller uppgifter som är missvisande men inte är felaktiga i ett rent diarieperspektiv (s. 20).

Bestämmelsen i 3 kap. 3 a § gäller inte endast för personuppgifter, utan även för uppgifter om juridiska personer och avlidna. Även i detta avseende saknar bestämmelsen således motsvarighet i dataskyddsförord- ningen.

Något hinder mot att behålla den utökade rätten till rättelse av vissa missvisande uppgifter i Kronofogdemyndighetens databaser finns inte i dataskyddsförordningen. Rätten kan därför behållas. Dataskydd.net anser att den befintliga rättelsebestämmelsen i första stycket inte behövs. Regeringen delar inte denna bedömning då bestämmelsen medför en utökad rätt till rättelse i förhållande till dataskyddsförordningen.

I 3 kap. 3 a § andra stycket lagen om behandling av uppgifter i Krono- fogdemyndighetens verksamhet finns också en bestämmelse om att tredje man till vilken uppgifter har lämnats ut i vissa fall ska underrättas om åtgärder som har vidtagits med stöd av bestämmelsens första stycke. Sådan underrättelse ska enligt bestämmelsen ske om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade kan undvikas på detta sätt. Någon underrättelse behöver dock inte lämnas, om detta skulle innebära en oproportionerligt stor arbetsinsats. Även denna bestämmelse saknar fullt ut motsvarighet i dataskyddsförordningen, eftersom den innebär att underrättelse till tredje man ska ske i vissa fall då underrättelse inte behöver lämnas enligt dataskyddsförordningen. Något hinder mot att behålla bestämmelsen finns inte i dataskyddsförordningen.

Prop. 2017/18:95

79

Prop. 2017/18:95 De utökade rättigheterna i 3 kap. 3 a § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet bör enligt regeringens bedömning behållas. Vissa justeringar bör dock göras i den aktuella bestämmelsen. När det gäller uppgifter om juridiska personer bör samma bestämmelser tillämpas som i dag. För fysiska personer bör de särskilda bestämmelserna för Kronofogdemyndighetens verksamhet gälla vid sidan av de rättigheter som följer av dataskyddsförordningen. Detta bör tydliggöras genom att det i bestämmelsen upplyses om att det i fråga om personuppgifter även finns bestämmelser om rättelse m.m. i dataskydds- förordningen.

Dataskydd.net anser att den upplysningen skapar otydlighet för både myndigheten och enskilda kring enskildas rättigheter. Regeringen konstaterar att den tydliggör att för fysiska personer – till skillnad från juridiska personer – bör de särskilda bestämmelserna om behandling av uppgifter i Kronofogdemyndighetens verksamhet gälla vid sidan av de rättigheter som följer av dataskyddsförordningen.

I promemorians förslag får bestämmelsen en ny placering. Förvalt- ningsrätten i Stockholm anser att bestämmelsen om rättelse även fortsatt bör vara placerad i 3 kap. 3 a § eftersom det är en sådan bestämmelse som ofta åberopas av enskilda och att man i stället ska placera den nya bestämmelsen om invändning mot behandling i en ny 3 § (se avsnitt 9.5.4). Regeringen delar förvaltningsrättens synpunkt och behåller således bestämmelsens nuvarande placering.

Förslaget genomförs genom en ändring i 3 kap. 3 a § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet.

Undantaget vid visst administrativt samarbete i fråga om beskattning ska behållas, men justeras

I avsnitt 9.5.2 har redogjorts för 3 kap. 2 a § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet. De undantag från personuppgiftslagen som regleras i bestämmelsen avser inte endast rätten till information och tillgång till uppgifter, utan även skyldigheten för den personuppgiftsansvarige enligt 28 § PUL att på begäran av den registre- rade i vissa fall snarast rätta, blockera eller utplåna personuppgifter samt att underrätta tredje man om vidtagna korrigeringsåtgärder. Dessa rättig- heter motsvaras av rättigheterna i artikel 16–19 i dataskyddsförord- ningen.

Som framgår av avsnitt 9.5.2 infördes bestämmelsen i 3 kap. 2 a § lagen om behandling av uppgifter i Skatteverkets beskattningsverk- samhet för att genomföra artikel 25 i handräckningsdirektivet. Bestäm- melsen uppfyller de krav som ställs på en rättighetsbegränsande bestäm- melse enligt artikel 23 i dataskyddsförordningen (se avsnitt 9.5.2). Mot den bakgrunden bör bestämmelsen vara kvar även i den del som gäller begränsning av rätten till rättelse, radering och begränsning av behand- ling i artikel 16–18 och av anmälningsskyldigheten i artikel 19.

Av den aktuella bestämmelsen bör därför framgå att de rättigheter och skyldigheter som avses i artikel 16–19 i dataskyddsförordningen inte ska tillämpas om sådana begränsningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller

en stat som ingår i unionen.

80

Förslaget genomförs genom en ändring i 3 kap. 2 a § lagen om behand- ling av uppgifter i Skatteverkets beskattningsverksamhet.

Rätten till radering behöver inte inskränkas i andra fall

Den behandling som sker med stöd av aktuella registerlagar måste anses nödvändig för att utföra sådana uppgifter av allmänt intresse som avses i artikel 17.3 b i dataskyddsförordningen (jfr även avsnitt 7). Eftersom rätten till radering inte gäller i sådana situationer, hindrar bestämmel- serna i artikel 17 inte att uppgifter fortsätter att behandlas i de fall den fortsatta behandlingen av uppgifterna är tillåten enligt de aktuella författ- ningarna. I de fall personuppgifterna inte längre är nödvändiga för de ändamål för vilka de behandlats kan dock finnas en rätt till radering enligt artikel 17.1 a. Att uppgifter i sådana fall kan behöva raderas, även utan begäran av den enskilde, följer redan av artikel 5. Av den bestäm- melsen framgår bl.a. att den personuppgiftsansvarige, även utan begäran från den enskilde, ska se till att personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Något behov av att inskränka rätten till radering, utöver vad som anges under föregående rubrik, finns mot den bakgrunden inte.

Rätten till begränsning av behandling behöver inte inskränkas i andra fall

Bestämmelsen i artikel 18.1 d, som reglerar begränsning av behandling när den enskilde har invänt mot behandling, får ingen betydelse vid behandling som är tillåten enligt de berörda registerlagarna, eftersom rätten att invända mot behandling inte föreslås gälla i dessa fall (se avsnitt 9.5.4). Någon rätt att få behandling begränsad med stöd av artikel 18.1 d kommer därför inte att finnas vid behandling som är tillåten enligt de aktuella lagarna. I de övriga fall som avses i artikel 18.1 innebär dataskyddsförordningen att den registrerade har en rätt att få behand- lingen begränsad.

De verksamheter och den personuppgiftsbehandling som de berörda lagarna avser måste regelmässigt bedömas utföras för skäl som rör sådana viktiga allmänna intressen som avses i artikel 18.2. Den behandling av personuppgifter som är tillåten enligt de berörda lagarna är en förutsättning för att de aktuella myndigheterna ska kunna bedriva sin verksamhet på ett korrekt, rättssäkert och effektivt sätt. Till att börja med kan därför konstateras att den behandling som myndigheterna får utföra enligt författningarna är tillåten även om behandlingen av uppgifterna har begränsats enligt artikel 18.1.

Regleringen i artikel 18.1 b och c bör enligt regeringens bedömning innebära att uppgifter som annars skulle raderas ska bevaras av den personuppgiftsansvarige. I dessa fall bör det inte föreligga några större problem med att utföra sådana åtgärder som kan krävas för att be- handlingen ska anses vara begränsad. I de fall som avses i artikel 18.1 är regeringens utgångspunkt att kraven på att behandlingen ska begränsas inte ska medföra att det blir svårare att utföra den tillåtna behandling som myndigheterna behöver utföra. Eftersom uppgifterna får fortsätta att behandlas av myndigheterna med stöd av artikel 18.2 är regeringens

Prop. 2017/18:95

81

Prop. 2017/18:95 bedömning att kravet på att behandlingen ska begränsas inte innebär att uppgifterna t.ex. måste avlägsnas till ett annat tekniskt system eller att tillgången till dem måste begränsas. Det bör enligt regeringen räcka med mindre ingripande åtgärder, som visar att behandlingen är begränsad i enlighet med artikel 18.1 (jfr skäl 67, som endast anger exempel på åtgärder). Eftersom rätten till begränsning mot den bakgrunden inte bör innebära några betydande problem för myndigheterna, finns inte skäl att införa några inskränkningar av den rätt som följer av artikel 18.1, utöver det undantag som behandlas under en föregående rubrik.

Anmälningsskyldigheten i artikel 19 bör inte inskränkas i andra fall

Skyldigheten att underrätta mottagare till vilka personuppgifter har lämnats ut om åtgärder som har vidtagits med stöd av artikel 16, 17.1 och 18 innebär vissa nya skyldigheter för den personuppgiftsansvarige. Det undantag som finns i artikeln, för situationer då underrättelse är omöjlig eller medför en oproportionerlig ansträngning, får anses vara ett rimligt och tillräckligt undantag vid sådan behandling som omfattas av lagarna. Någon inskränkning av den personuppgiftsansvariges skyldigheter enligt bestämmelsen bör därför inte införas, utöver det tidigare undantaget.

9.5.4 Rätten att göra invändningar

Regeringens förslag: Bestämmelser i berörda lagar om att tillåten behandling får utföras även om den enskilde motsätter sig behand- lingen ska ges en ny utformning. I bestämmelserna ska det anges att artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invänd- ningar inte gäller vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

En sådan bestämmelse ska även införas i lagen om det statliga personadressregistret tillsammans med en upplysning om att bestäm- melser om rätten att göra invändningar mot behandling för direkt marknadsföring finns i artikel 21.2 i dataskyddsförordningen.

Promemorians förslag: Överensstämmer i sak med regeringens förslag. Promemorians förslag är något annorlunda utformade och place- rade.

Remissinstanserna: Skatteverket tillstyrker förslagen. Dataskydd.net avstyrker förslagen, utan att lämna någon närmare motivering. Förvalt- ningsrätten i Stockholm anser att de överväganden som har gjorts kring den föreslagna bestämmelsen i bl.a. lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, som hindrar rätten att göra invändningar, borde förtydligas. Förvaltningsrätten anser också att bestämmelsen bör ges en annan placering. Sveriges advokatsamfund ifrågasätter om det finns tillräckligt starka skäl för att införa bestäm- melser som anger att rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen inte gäller vid sådan behandling som är tillåten enligt de aktuella författningarna. I övrigt yttrar sig ingen remissinstans särskilt över förslagen.

82

Skälen för regeringens förslag

Nuvarande reglering

I artikel 14 i 1995 års dataskyddsdirektiv finns en rätt för den regist- rerade att motsätta sig behandling av personuppgifter. Av bestämmelsen framgår att medlemsstaterna ska tillförsäkra den registrerade rätten att, bl.a. i de fall när behandling sker på grund av att den är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller för att den är ett led i myndighetsutövning, när som helst av avgörande och berättigade skäl som rör den registrerades personliga situation motsätta sig behandling av uppgifter som rör honom eller henne, utom när den nationella lagstift- ningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter. Vidare framgår att den registrerade ska ges rätt att efter anmodan och utan kostnader motsätta sig behandling av personuppgifter som rör honom eller henne och som den registeransvarige bedömer kan komma att behandlas för ändamål som rör direkt marknadsföring, eller att bli informerad innan personuppgifter för första gången lämnas ut till tredje man eller används för tredje mans räkning för ändamål som rör direkt marknadsföring, och att uttryckligen få erbjudande om att utan kostnader motsätta sig ett sådant utlämnande eller sådan användning.

Artikel 14 i 1995 års dataskyddsdirektiv har genomförts i svensk rätt genom bl.a. 11 och 12 §§ PUL. Vid genomförandet gjorde Datalags- kommittén bedömningen att det inte fanns tillräckliga skäl för att föreslå en generell rätt att motsätta sig en behandling som var befogad enligt de regler som kommittén föreslog, se betänkandet Integritet, offentlighet, informationsteknik (SOU 1997:39 s. 366). I 11 § PUL anges att person- uppgifter inte får behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Av 12 § första stycket PUL följer att den registrerade har rätt att när som helst återkalla sitt samtycke i vissa fall då behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke. Av andra stycket följer att en registrerad, utöver vad som följer av första stycket och 11 §, inte har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt personuppgiftslagen. Möjligheterna för den registrerade att mot- sätta sig behandling är alltså begränsade enligt personuppgiftslagen.

I 1 kap. 2 § andra stycket lagen om behandling av uppgifter i Skatte- verkets beskattningsverksamhet, men också i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet, lagen om behandling av uppgifter i Tullverkets verksamhet, lagen om identi- tetskort för folkbokförda i Sverige och lagen om behandling av person- uppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverk- samheter finns uttryckliga bestämmelser som innebär att behandling av personuppgifter som är tillåten enligt respektive lag får utföras även om den registrerade motsätter sig behandlingen.

I lagen och förordningen om det statliga personadressregistret saknas sådana uttryckliga bestämmelser. Som framgår ovan finns ingen generell rätt enligt personuppgiftslagen för en enskild att motsätta sig behandling av personuppgifter. Det gäller dock med undantag för bl.a. behandling

Prop. 2017/18:95

83

Prop. 2017/18:95

84

som sker för direkt marknadsföring. Även utan uttryckliga bestämmelser i lagen om det statliga personadressregistret gäller således att behandling i SPAR får ske trots att en enskild motsätter sig behandling. Undantag gäller enligt denna lag för behandling som sker vid urvalsdragning för direktreklam. I 4 § lagen om det statliga personadressregistret, som reglerar innehållet i SPAR, finns nämligen en bestämmelse om att det på begäran av den registrerade ska anges i SPAR att uppgifter om denne inte får behandlas vid urvalsdragning för direktreklam.

Dataskyddsförordningens bestämmelser om rätten att göra invändningar

Rätten att göra invändningar regleras i artikel 21 i dataskyddsförord- ningen. Vid behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse, som ett led i myndighetsutövning eller efter en intresseavvägning (dvs. behandling enligt artikel 6.1 e eller f i dataskyddsförordningen) ska den registrerade enligt artikel 21.1 ha rätt att när som helst, av skäl som hänför sig till hans eller hennes specifika situation, göra invändningar mot behandlingen. Den personuppgifts- ansvarige får inte längre behandla personuppgifterna, såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Av artikel 21.2 framgår också att den registrerade ska ha rätt att när som helst invända mot behandling av personuppgifter som avser honom eller henne som sker för direkt marknadsföring. Enligt artikel 21.3 ska person- uppgifterna inte längre behandlas för direkt marknadsföring, om den registrerade invänder mot det. Av artikel 21.4 framgår att rätten att invända mot behandling uttryckligen ska meddelas den registrerade senast vid den första kommunikationen med denne.

Begränsningar i rätten att göra invändningar får enligt dataskydds- förordningen endast göras under de förutsättningar som anges i artikel 23, eller i vissa situationer med stöd av artikel 89.2–3 (jfr avsnitt 9.5.1).

Befintliga bestämmelser kan behållas, men bör justeras

Som framgår av avsnitt 7.1 sker den behandling som regleras i lagarna regelmässigt för att utföra en uppgift av allmänt intresse och ofta som ett led i myndighetsutövning. Sådan behandling kommer att omfattas av artikel 6.1 e i dataskyddsförordningen. Rätten att göra invändningar enligt artikel 21.1 gäller vid behandling som endast grundar sig på artikel 6.1 e.

En del av den personuppgiftsbehandling som omfattas av de berörda lagarna sker för att myndigheterna ska kunna uppfylla en rättslig förpliktelse. I dessa fall kan behandlingen ske med stöd av artikel 6.1 c, dvs. den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. I de fall behandling av personuppgifter sker för att en rättslig förpliktelse ska kunna fullgöras gäller inte rätten i artikel 21.1 i dataskyddsförordningen att göra invändningar. Dataskydds- utredningen gör bedömningen att det är den rättsliga grund som avses i artikel 6.1 e, dvs. utförande av en uppgift av allmänt intresse, som vanligen bör tillämpas av myndigheter, även utanför området för myndighetsutövning (SOU 2017:39 s. 128). Regeringen gör samma

bedömning i prop. 2017/18:105 (s. 57). Regeringen anser att det kan vara fråga om att fullgöra en rättslig förpliktelse i de situationer då myndigheterna ges i uppdrag att föra ett visst register (s. 53). Det finns också t.ex. bestämmelser som ger myndigheterna skyldighet att lämna ut uppgifter. Även bestämmelser som anger att en myndighet får t.ex. föra ett visst register borde enligt regeringens bedömning i vissa fall kunna anses innefatta en skyldighet för myndigheten att göra detta.

Rätten att göra invändningar kan mot den bakgrunden sannolikt bli tillämplig för den största delen av den behandling som regleras i de berörda författningarna. 1995 års dataskyddsdirektiv ställer inte upp några särskilda villkor för att införa begränsningar i rätten att motsätta sig behandling i nationell rätt. I personuppgiftslagen finns, som nämnts, endast möjlighet att motsätta sig behandling i vissa särskilda situationer. Som framgår ovan är det möjligt att med stöd av artikel 23.1 i dataskyddsförordningen införa nationella undantag från rätten att invända mot behandling. Möjligheten att begränsa rätten att göra invändningar med stöd av artikel 89.2–3 är däremot inte aktuell här.

Den behandling som utförs av myndigheterna enligt de berörda lagarna får antas regelmässigt vara av sådan karaktär att behandlingen får fortsätta enligt artikel 21.1 även om den registrerade invänder mot behandlingen. En rätt för den registrerade att invända mot behandling av personuppgifter kan dock ändå tänkas påverka effektiviteten i myndig- heternas verksamhet. Begränsningar i rätten att göra invändningar får göras enligt artikel 23.1 i syfte att säkerställa bl.a. ett viktigt mål av generellt allmänt intresse för medlemsstaten. Det krävs också att begränsningen uppfyller krav på nödvändighet och proportionalitet. Dataskyddsutredningen har anfört att det finns skäl att särskilt överväga om dataskyddsförordningens rätt att göra invändningar bör inskränkas när det gäller sådan behandling som sker med stöd av artikel 6.1 e, dvs. med en fastställd uppgift av allmänt intresse som rättslig grund. Utredningen har dock gjort bedömningen att rätten att göra invändningar mot myndigheters behandling av personuppgifter inte bör inskränkas på ett generellt plan genom ett undantag i den föreslagna dataskyddslagen. Enligt utredningen bör sådana undantag i stället övervägas på sektors- specifik nivå (SOU 2017:39 s. 207 f.). Regeringen instämmer i dessa bedömningar i prop. 2017/18:105 (s. 105 f.).

Det är av stor betydelse att personuppgifter får behandlas oberoende av den registrerades inställning i sådan verksamhet hos Skatteverket, Tullverket och Kronofogdemyndigheten som avses i berörda lagar. Den behandling som är tillåten enligt lagarna är en förutsättning för att myndigheterna ska kunna utföra sina uppgifter på ett korrekt, rättssäkert och effektivt sätt. Den personuppgiftsansvariga myndigheten får närmast undantagslöst anses kunna påvisa skäl för fortsatt behandling som väger tyngre än den registrerades intressen i det enskilda fallet. Under sådana förhållanden och för att fullt ut säkerställa förutsättningarna för de aktuella myndigheterna att behandla relevanta personuppgifter bör den registrerade inte heller fortsättningsvis ha någon rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen. En sådan begränsning måste anses utgöra en nödvändig och proportionell åtgärd i syfte att säkerställa ett viktigt mål av generellt allmänt intresse. De aktuella lagarna innehåller dessutom ett flertal olika integritetsskyddande

Prop. 2017/18:95

85

Prop. 2017/18:95 bestämmelser såsom ändamål med behandlingen och kategorier av uppgifter som får behandlas. Regleringen innebär en förhållandevis snäv ram för personuppgiftsbehandlingen och minimerar risken för kränkning av den registrerades rättigheter och friheter. Den får därför anses uppfylla de krav på bl.a. skyddsåtgärder som uppställs i artikel 23.2 i data- skyddsförordningen. Enligt regeringen är de bestämmelser som innebär att behandling av personuppgifter får utföras även om den registrerade motsätter sig behandlingen mot den bakgrunden förenliga med data- skyddsförordningen och kan därför vara kvar även i fortsättningen.

Regeringen anser att det saknas behov av ytterligare förtydliganden av bakgrunden till begränsningen av rätten att göra invändningar, vilket

Förvaltningsrätten i Stockholm efterfrågar. Sveriges advokatsamfund ifrågasätter om det finns tillräckligt starka skäl för att införa dessa bestämmelser och anger att invändningarna kommer oftast att kunna avslås då det ofta kommer att finnas starka skäl till personuppgifts- behandlingen. Enligt Sveriges advokatsamfund bör rättigheten ändå få finnas kvar till skydd för individens personliga integritet, oaktat att det kan påverka myndigheternas effektivitet. Regeringen gör dock som framgår ovan, vilket gäller även dataskydd.nets invändning, en annan bedömning i denna fråga.

Bestämmelserna i de aktuella lagarna bör enligt regeringen formuleras så att det är tydligt hur de förhåller sig till regleringen i dataskydds- förordningen. I bestämmelserna bör anges att artikel 21.1 i dataskydds- förordningen om rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har medde- lats i anslutning till lagen.

Bestämmelserna bör i vissa fall, i likhet med promemorians förslag, ges en annan placering än den nuvarande i syfte att nå bättre överens- stämmelse med lagarnas systematik. De föreslagna bestämmelserna har fått en något annorlunda utformning och delvis också annan placering jämfört med promemorians förslag, utan att det innebär någon ändring i sak.

Förslagen genomförs genom ändringar i 1 kap. 2 § och 3 kap. 3 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 2 § och 3 kap. 1 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 1 kap. 2 § och 3 kap. 1 § lagen om behandling av uppgifter i Tullverkets verksamhet, 3 och 10 §§ lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter, 9 och 18 §§ lagen om identitetskort för folkbokförda i Sverige samt genom ändringar i 1 kap. 2 § och 3 kap. 3 § i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet. Bestämmelsen i den sistnämnda paragrafen var i promemo- rian placerad i en ny 3 kap. 3 a §. Bestämmelsens placering har dock ändrats på förslag av Förvaltningsrätten i Stockholm (se också avsnitt 9.5.3).

Det införs också vissa nya rubriker, med en något ändrad lydelse i förhållande till promemorians förslag.

86

Ny bestämmelse bör införas i lagen om det statliga personadressregistret Prop. 2017/18:95

Som nämnts saknas i dag uttryckliga bestämmelser i lagen om det statliga personadressregistret som anger att den enskilde inte kan mot- sätta sig behandling av personuppgifter. Det bör i och för sig kunna hävdas att det är en rättslig förpliktelse för Skatteverket att föra SPAR och att den behandling som Skatteverket utför i verksamheten med SPAR därför sker med stöd av artikel 6.1 c i dataskyddsförordningen. Rätten att invända mot behandlingen gäller då inte. Eftersom regleringen i lagen och förordningen om det statliga personadressregistret inte fullt ut är utformad så att det tydligt framgår att Skatteverket har ålagts en sådan förpliktelse, och eftersom rätten att invända mot behandling i artikel 21 i dataskyddsförordningen blir direkt tillämplig, finns skäl att ha ett uttryckligt undantag från den rätten även när det gäller SPAR.

Ett av ändamålen med SPAR är att ta ut uppgifter om namn och adress för urvalsdragning genom direktreklam. I likhet med vad som gäller i dag bör undantaget från rätten att göra invändningar inte gälla vid behandling som sker vid urvalsdragning för direktreklam. I fråga om sådan behandling ska det således fortsatt vara möjligt att göra invändningar. Sådan behandling som myndigheten utför vid urvalsdragning i SPAR för direkt marknadsföring sker för att utföra en arbetsuppgift av allmänt intresse, dvs. den kan utföras med stöd av artikel 6.1 e, se propositionen Statlig förvaltning i medborgarnas tjänst (prop. 1997/98:136 s. 72). En rätt att invända vid sådan behandling kan således följa både av artikel 21.1 och 21.2. Eftersom den särskilda bestämmelsen vid behandling för direkt marknadsföring i artikel 21.2 ger den enskilde större rättigheter räcker det med att den bestämmelsen tillämpas vid behandling enligt SPAR-författningarna. I lagen bör därför anges att artikel 21.1 i data- skyddsförordningen om rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har med- delats i anslutning till lagen. Det bör samtidigt upplysas om att bestäm- melser om rätten att göra invändningar mot behandling för direkt marknadsföring finns i artikel 21.2 i dataskyddsförordningen. Det införs också en rubrik till bestämmelsen. Den aktuella bestämmelsen har liksom rubriken fått en något annorlunda utformning jämfört med promemorians förslag, utan att det innebär någon ändring i sak.

Förslaget genomförs genom en ny 3 a § i lagen om det statliga personadressregistret.

9.6 Skadestånd

Regeringens bedömning: Dataskyddsförordningens och dataskydds- lagens bestämmelser om skadestånd är tillämpliga vid behandling av personuppgifter som sker i strid med berörda registerlagar utom i fråga om juridiska personer och avlidna. Några särskilda bestämmel- ser om skadestånd behövs inte i lagarna.

Promemorians bedömning: Överensstämmer med regeringens bedömning.

87

Prop. 2017/18:95

88

Remissinstanserna: Dataskydd.net avstyrker delvis bedömningen, utan att lämna någon närmare motivering. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen.

Skälen för regeringens bedömning

Nuvarande reglering

Enligt 48 § PUL gäller att den personuppgiftsansvarige ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Samtliga berörda registerlagar innehåller bestämmelser som innebär att personuppgiftslagens bestämmelser om skadestånd gäller när behandling sker i strid med författningarna, ibland även i strid med anslutande författningar. Sådana bestämmelser finns i 3 kap. 3 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet men också i lagen om behandling av personuppgifter i Skatteverkets folkbok- föringsverksamhet, lagen om behandling av uppgifter i Kronofogde- myndighetens verksamhet, lagen om behandling av uppgifter i Tull- verkets verksamhet, lagen om det statliga personadressregistret, lagen om identitetskort för folkbokförda i Sverige och lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och boupptecknings- verksamheter.

Dataskyddsförordningens bestämmelser om skadestånd

I EU:s dataskyddsförordning finns en direkt tillämplig bestämmelse om rätt till ersättning i artikel 82. Varje person som lidit materiell eller immateriell skada till följd av en överträdelse av dataskyddsförordningen ska ha rätt till ersättning från den personuppgiftsansvarige eller person- uppgiftsbiträdet för den uppkomna skadan (artikel 82.1). Av skäl 146 i dataskyddsförordningen följer att med behandling som strider mot data- skyddsförordningen avses även behandling som strider mot medlems- staternas nationella rätt med närmare specifikation av förordningens bestämmelser.

Propositionen Ny dataskyddslag

I prop. 2017/18:105 föreslås en bestämmelse om att rätten till ersättning enligt artikel 82 i dataskyddsförordningen ska gälla vid överträdelser av bestämmelser i dataskyddslagen och andra föreskrifter som kompletterar dataskyddsförordningen (7 kap. 1 § förslaget till dataskyddslag). Regeringen konstaterar i propositionen att bestämmelsen innebär en viss utvidgning av rätten till ersättning jämfört med vad som gäller enligt dataskyddsförordningen (s. 150).

Det behövs ingen särskild lagreglering

De hänvisningar till personuppgiftslagens bestämmelser om bl.a. skade- stånd som finns i berörda lagar behöver tas bort. Detta förslag behandlas i avsnitt 9.2.

Frågan är därefter om nuvarande hänvisning till personuppgiftslagens bestämmelser om skadestånd bör ersättas med en hänvisning till dataskyddsförordningens bestämmelser om skadestånd. I den föreslagna

bestämmelsen i dataskyddslagen tydliggörs att rätten till ersättning enligt dataskyddsförordningen gäller även vid överträdelse av föreskrifter i de aktuella registerförfattningarna. Mot denna bakgrund behövs det inte någon hänvisning till dataskyddsförordningens bestämmelser om skadestånd i dessa lagar.

I vissa fall kan det i registerförfattningarna finnas bestämmelser som reglerar sådana företeelser som omfattas av dataskyddsförordningen, men som ger ett mer långtgående skydd för den enskilde vars person- uppgifter behandlas än vad som följer av dataskyddsförordningen. Så som bestämmelserna om skadestånd är utformade gäller i dag rätten till skadestånd även vid behandling som sker i strid med bestämmelser i registerförfattningarna som ger ett starkare skydd än personuppgifts- lagen. Den rätten bör enligt regeringens bedömning finnas kvar även i fortsättningen. Av skäl 146 i dataskyddsförordningen och den föreslagna bestämmelsen i 7 kap. 1 § dataskyddslagen får anses framgå att rätten till skadestånd enligt artikel 82 i dataskyddsförordningen gäller även vid behandling som strider mot bestämmelser i registerförfattningar som ger enskilda ett starkare skydd när personuppgifter om dem behandlas än vad som följer av dataskyddsförordningen. Det kan då nämligen anses vara fråga om bestämmelser som kompletterar dataskyddsförordningen på ett sådant sätt att artikel 82 i förordningen blir tillämplig.

I vissa fall har registerlagarna ett vidare tillämpningsområde än dataskyddsförordningen och dataskyddslagen. Detta gäller i de fall vissa bestämmelser i registerlagarna tillämpas även vid behandling av upp- gifter om juridiska personer och avlidna. Någon rätt till skadestånd i dessa fall finns inte i dag enligt de berörda registerförfattningarna. Regeringen gör bedömningen att det inte har framkommit några skäl att ändra på detta. Rätt till skadestånd enligt registerlagarna i dessa fall bör således inte heller finnas i fortsättningen. Någon sådan rätt kommer enligt regeringens bedömning inte heller att finnas med stöd av vare sig artikel 82 i dataskyddsförordningen eller 7 kap. 1 § dataskyddslagen. Detta beror på att registerförfattningarna i dessa delar inte kan anses komplettera dataskyddsförordningen på ett sådant sätt som avses i skäl 146 och 7 kap. 1 § förslaget till dataskyddslag.

När det handlar om behandling av personuppgifter som är undantagen från dataskyddsförordningens tillämpningsområde på grund av att den utgör ett led i en verksamhet som inte omfattas av unionsrätten (artikel 2.2 a i dataskyddsförordningen) innebär 1 kap. 2 § förslaget till data- skyddslag att rätten till skadestånd ändå blir tillämplig.

Sammantaget är det regeringens bedömning att det saknas skäl att särskilt reglera i registerlagarna vad som gäller i fråga om skadestånd. Regeringen har således en annan syn än dataskydd.net , som delvis avstyrker denna bedömning.

Prop. 2017/18:95

89

Prop. 2017/18:95

90

9.7 Sanktioner

Regeringens bedömning: Dataskyddsförordningens bestämmelser om sanktioner föranleder inga ändringar i berörda lagar.

Promemorians bedömning: Överensstämmer med regeringens bedömning.

Remissinstanserna: Dataskydd.net tillstyrker bedömningen. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen.

Skälen för regeringens bedömning

Nuvarande reglering

1995 års dataskyddsdirektiv överlåter enligt artikel 24 till medlems- staterna att besluta om de sanktioner som ska användas vid överträdelse av de bestämmelser som antagits för att genomföra direktivet, vilket har skett genom 49 § PUL.

Enligt 49 § PUL döms till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år den som uppsåtligen eller av grov oaktsamhet a) lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndig- heten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, b) behandlar personuppgifter i strid med 13– 21 §§, c) för över personuppgifter till tredje land i strid med 33–35 §§, d) låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §, e) behandlar sådana personuppgifter som avses i 13 och 21 §§ i strid med 5 a § andra stycket, eller f) i strid med 5 a § andra stycket för över personuppgifter till tredje land som inte har en sådan adekvat nivå för skyddet av personuppgifterna som avses i 33 §. I ringa fall döms inte till ansvar. Vidare anges i paragrafen att den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vitesföreläggandet.

De registerlagar som gäller i stället för personuppgiftslagen hänvisar till personuppgiftslagens bestämmelse om straff i 49 §, se t.ex. 1 kap. 3 § första stycket 9 lagen om behandling av uppgifter i Skatteverkets beskatt- ningsverksamhet. För de registerförfattningar där personuppgiftslagen gäller om inte annat följer av författningen, gäller bestämmelsen direkt, då de saknar särregler om straff.

Vid sidan av straffbestämmelsen i personuppgiftslagen finns andra straffbestämmelser som också kan innebära att vissa gärningar som inne- fattar personuppgiftsbehandling omfattas av straffansvar, se mer nedan.

Dataskyddsförordningens krav

Genom EU:s dataskyddsförordning införs en möjlighet för tillsynsmyn- digheten att ta ut en administrativ sanktionsavgift av företag eller andra som bryter mot dataskyddsregleringen. Administrativa sanktionsavgifter är således en nyhet som inte har någon motsvarighet i 1995 års data- skyddsdirektiv eller den nuvarande svenska personuppgiftsregleringen. Sanktionsavgifterna införs enligt skäl 148 för att stärka verkställigheten av förordningen. Bestämmelserna om administrativa sanktionsavgifter

finns i artikel 83 i förordningen och förtydligas i skäl 148–150. Av artikel 83.1 framgår att varje tillsynsmyndighet ska säkerställa att påförande av administrativa sanktionsavgifter i enlighet med artikeln i varje enskilt fall är effektivt, proportionellt och avskräckande. I artikel 83.2 finns en detaljerad reglering av vilka faktorer som ska beaktas vid beslut om sanktionsavgifter och bestämmande av avgiftens storlek. Det stora flertalet bestämmelser i förordningen som innehåller rättigheter eller skyldigheter för bl.a. personuppgiftsansvariga och personuppgifts- biträden omfattas av regleringen om sanktionsavgifter, vilket framgår av hänvisningar i artikel 83.4–6. För samtliga de artiklar som artikel 83 hänvisar till ska en överträdelse föranleda att sanktionsavgift påförs, om förutsättningarna i övrigt är uppfyllda enligt artikel 83.2.

Av särskild betydelse är artikel 83.7 i dataskyddsförordningen. Enligt den artikeln får varje medlemsstat fastställa regler för huruvida och i vilken utsträckning administrativa sanktionsavgifter kan påföras offent- liga myndigheter och organ i medlemsstaten. Enligt artikel 84 ska medlemsstaterna fastställa regler om andra sanktioner för överträdelser av förordningen, särskilt för sådana som inte är föremål för administra- tiva sanktionsavgifter, på i artikeln närmare angivna villkor.

Dataskyddsutredningen och propositionen Ny dataskyddslag

Regeringen föreslår i prop. 2017/18:105 att sanktionsavgifter ska kunna tas ut även av myndigheter, med högst 5 000 000 respektive 10 000 000 kronor (6 kap. 2 § förslaget till dataskyddslag). I bestämmel- sen anges för vilka överträdelser av dataskyddsförordningen som sanktionsavgift för myndigheter får tas ut. Förslaget motsvarar delvis Dataskyddsutredningens förslag, som bl.a. föreslog högre sanktions- belopp.

Regeringen bedömer i nämnda proposition i likhet med Dataskydds- utredningen att någon straffsanktion inte bör införas för överträdelser av förordningen, och föreslår därför inte någon straffbestämmelse mot- svarande den som gäller enligt personuppgiftslagen. Regeringen betonar dock att vissa beteenden som innefattar personuppgiftsbehandling redan är straffsanktionerade enligt andra bestämmelser, såsom exempelvis tjänstefel, dataintrång och förtal (s. 143 f.).

Vad gäller andra sanktioner konstaterar Dataskyddsutredningen att Datainspektionen hittills aldrig använt sig av den möjlighet att vites- förelägga som finns enligt personuppgiftslagen och bedömer att det inte finns något behov för tillsynsmyndigheten att också kunna förena sina förelägganden med vite på förordningens tillämpningsområde (SOU 2017:39 s. 294–297). I nämnda proposition gör regeringen inte någon annan bedömning. Några andra sanktioner än sanktionsavgift föreslås alltså inte. Se dock avsnitt 9.6 om skadestånd.

Det behövs inga lagändringar

I fråga om registerlagarna som gäller i stället för personuppgiftslagen föreslås, som framgår av avsnitt 9.2, de bestämmelser som anger vilka bestämmelser i personuppgiftslagen som gäller tas bort. Hänvisningen till 49 § PUL om straff i de lagar som gäller i stället för personuppgiftslagen ska således tas bort.

Prop. 2017/18:95

91

Prop. 2017/18:95 Som framgår av redovisningen ovan innehåller inte dataskyddsförord- ningen några direkt tillämpliga bestämmelser om straff och regeringens förslag till dataskyddslag innehåller inte heller några straffbestämmelser. Att det inte kommer att finnas några särskilda straffbestämmelser hän- förliga till aktuell personuppgiftsbehandling innebär en ändring i sak i förhållande till dagens regler.

Av redovisningen ovan framgår vidare att det inte heller kommer att finnas några vitesbestämmelser hänförliga till dataskyddsförordningen. För de registerförfattningar där personuppgiftslagen gäller, innebär detta en ändring i sak. I fråga om de registerförfattningar som gäller i stället för personuppgiftslagen gäller dock inte i dag personuppgiftslagens bestämmelser om vite, varför detta inte innebär någon ändring i sak.

Regeringen ser inte skäl till någon annan bedömning eller annan reglering för aktuella lagar än vad som övervägs och föreslås av regeringen i prop. 2017/18:105 i detta avseende. Eftersom dataskydds- lagen föreslås gälla om inte annat följer av de aktuella registerlagarna (se avsnitt 9.2), kommer 6 kap. dataskyddslagen att vara tillämpligt. Därmed kommer tillsynsmyndigheten att kunna besluta om sanktionsavgift för myndigheter som överträder dataskyddsförordningens bestämmelser. Förutom att hänvisningen till 49 § PUL tas bort, föreslås därför inga lagändringar på området.

9.8 Överklagande

Regeringens förslag: Bestämmelser om överklagande av beslut om rättelse och information m.m. i berörda registerlagar, utom i lagen om behandling av identitetskort för folkbokförda i Sverige, ska tas bort.

I lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet ska det finnas en särskild överklagandebestämmelse enligt vilken beslut om rättelse får överklagas till allmän förvaltnings- domstol. Prövningstillstånd ska även fortsättningsvis krävas vid över- klagande till kammarrätten.

Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. I promemorian föreslås i den särskilda överklagandebestäm- melsen i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet en upplysningsbestämmelse om att det finns bestämmelser om överklagande i dataskyddslagen. De beslut om rättelse som ska få överklagas med stöd av nämnda lag omfattar vidare endast sådana beslut om rättelse som avses i 3 kap. 3 a § första stycket 2.

Remissinstanserna: Skatteverket och dataskydd.net tillstyrker prome- morians förslag. Förvaltningsrätten i Stockholm anför att överklagande- bestämmelsen i lagen om behandling av uppgifter i Kronofogdemyndig- hetens verksamhet i dag tillämpas på så sätt att juridiska personer ges möjlighet att överklaga beslut om rättelse enligt både 3 kap. 3 a § första stycket 1 och 2. Promemorians förslag innebär att möjligheten att överklaga beslut om rättelse enligt punkten 1 slopas för juridiska personer och detta utan motivering. I övrigt yttrar sig ingen remissinstans särskilt över förslagen.

92

Skälen för regeringens förslag

Prop. 2017/18:95

Nuvarande reglering

Bestämmelser om överklagande av vissa beslut som har fattats av en myndighet i egenskap av personuppgiftsansvarig finns i 52 § PUL. Där anges att en myndighets beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos allmän förvaltningsdomstol. Andra beslut fattade av den personuppgiftsansva- rige enligt personuppgiftslagen får enligt 53 § inte överklagas. Pröv- ningstillstånd krävs vid överklagande till kammarrätten. Bestämmelsen i 52 § PUL har inte sin grund i 1995 års dataskyddsdirektiv utan i allmänna förvaltningsrättsliga principer om att beslut som direkt berör en enskild person ska kunna överklagas, se propositionen Översyn av personuppgiftslagen (prop. 2005/06:173 s. 51 f.). De registerförfattningar som gäller i stället för personuppgiftslagen innehåller egna bestämmelser om överklagande av myndigheternas beslut. Sådana bestämmelser finns t.ex. i 3 kap. 4 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet men också i lagen om behandling av personupp- gifter i Skatteverkets folkbokföringsverksamhet, lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och lagen om behand- ling av uppgifter i Tullverkets verksamhet. Bestämmelserna innebär att myndigheternas beslut om rättelse och om information som ska lämnas enligt 26 § PUL får överklagas till allmän förvaltningsdomstol. Andra beslut enligt lagarna får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten.

Lagen om identitetskort för folkbokförda i Sverige innehåller inte endast bestämmelser om behandling av personuppgifter, utan även om ansökan, utfärdande och återkallelse av identitetskort. Av 19 § framgår att beslut enligt lagen får överklagas till allmän förvaltningsdomstol och att det krävs prövningstillstånd vid överklagande till kammarrätten.

För de övriga registerförfattningar för vilka personuppgiftslagen gäller tillämpas överklagandebestämmelserna i personuppgiftslagen.

Dataskyddsförordningens bestämmelser, Dataskyddsutredningen och propositionen Ny dataskyddslag

Varje registrerad som anser att hans eller hennes rättigheter har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med förordningen ska ha rätt till ett effektivt rättsmedel, utöver rätten att lämna in ett klagomål till en tillsynsmyndig- het (artikel 79.1 i EU:s dataskyddsförordning).

Enligt Dataskyddsutredningens bedömning, som överensstämmer med den bedömning som gjordes vid genomförandet av motsvarande bestäm- melse i 1995 års dataskyddsdirektiv, tillgodoses denna rättighet genom möjligheten att vid allmän domstol föra talan om skadestånd (SOU 2017:39 s. 304). I likhet med direktivet innehåller dataskyddsförord- ningen inte någon särskild reglering om överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig. Data- skyddsutredningen har, mot bakgrund av de allmänna förvaltnings- rättsliga principer som motiverade införandet av överklagandebestäm-

93

Prop. 2017/18:95 melserna i personuppgiftslagen, föreslagit att dataskyddslagen ska innehålla en bestämmelse om överklagande (SOU 2017:39 s. 303).

Regeringen anför i prop. 2017/18:105 att när den personuppgifts- ansvarige är en myndighet kan vissa beslut som meddelas till följd av en begäran av en registrerad sägas vara ett utflöde av myndighetens myndighetsutövning och att sådana beslut därför bör kunna överklagas av den registrerade (s. 151). Regeringen föreslår i 7 kap. 2 § förslaget till dataskyddslag att beslut enligt artiklarna 12.5 och 15–21 i dataskydds- förordningen som har meddelats av en myndighet i egenskap av personuppgiftsansvarig får överklagas till allmän förvaltningsdomstol. Det rör sig om beslut om avgifter m.m., tillgång till personuppgifter m.m., rättelse, radering, begränsning, underrättelse till tredje man om rättelse, radering eller begränsning, dataportabilitet och om invändningar mot behandling. Rätten att överklaga gäller dock inte beslut av regeringen, Högsta domstolen, Högsta förvaltningsdomstolen eller Riksdagens ombudsmän. Prövningstillstånd föreslås på samma sätt som i dag krävas vid överklagande till kammarrätten. Andra beslut som en personuppgiftsansvarig myndighet fattar enligt dataskyddsförordningen ska enligt 7 kap. 5 § förslaget till dataskyddslag inte få överklagas.

Vissa lagändringar bör göras

Den föreslagna dataskyddslagen kommer att gälla om inte annat följer av registerlagarna eller föreskrifter som har meddelats i anslutning till de författningarna, se avsnitt 9.2. Det innebär att under förutsättning att det inte finns avvikande bestämmelser i registerförfattningarna, kommer bestämmelserna i dataskyddslagen om överklagande av personuppgifts- ansvariga myndigheters beslut att vara tillämpliga även inom register- författningarnas tillämpningsområde.

För de flesta av de berörda registerlagarna har inte framkommit något skäl att reglera överklagandemöjligheten på annat sätt än det som föreslås i den nya dataskyddslagen. Det saknas därför behov av särskilda bestämmelser om överklagande i dessa lagar. De bestämmelser om överklagande av beslut om rättelse och information som i dag finns i lagarna bör därför upphävas. Någon upplysning om att det finns bestämmelser om överklagande i dataskyddslagen bedöms inte heller behövas.

Överklagandebestämmelsen i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet skiljer sig i ett avseende från övriga registerförfattningar. Bestämmelsen i 3 kap. 4 § första stycket i den lagen omfattar utöver sådana beslut om rättelse enligt 3 kap. 3 a § första stycket 1 som är överklagbara enligt förslaget till dataskyddslag, även sådana beslut om rättelse enligt 3 kap. 3 a § första stycket 2 där det är fråga om uppgifter som är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser. För att det tydligt ska framgå att även beslut enligt punkten 2 får överklagas bör en överklagandebestämmelse finnas kvar i den lagen.

Förvaltningsrätten i Stockholm anger att överklagandebestämmelsen i dag tillämpas på så sätt att även juridiska personer ges möjlighet att överklaga beslut om rättelse enligt både punkt 1 och 2. Förvaltningsrätten

anser att promemorians förslag, som enbart hänvisar till punkten 2, skulle

94

innebära att möjligheten att överklaga beslut om rättelse enligt punkten 1 slopas för juridiska personer eftersom dessa inte omfattas av dataskydds- lagens tillämpningsområde.

Regeringen anser att det fortsatt bör vara möjligt för juridiska personer att överklaga de två olika besluten om rättelse i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet. Mot denna bakgrund bör promemorians förslag justeras så att beslut om rättelse enligt 3 kap. 3 a § första stycket får överklagas till allmän förvaltningsdomstol. Härigenom inkluderas både punkt 1 och 2.

I promemorian föreslås också att det i överklagandebestämmelsen ska upplysas om att det finns vissa bestämmelser om överklagande i data- skyddslagen. Regeringen anser dock att en sådan upplysning inte är nödvändig, då det av 1 kap. 3 § kommer att framgå att lagen kompletterar dataskyddslagen, se avsnitt 9.2.

Följande kan anges vad gäller förhållandet mellan nu aktuell över- klagandebestämmelse och dataskyddslagens bestämmelser om över- klagande. Fysiska personer kommer att kunna överklaga beslut om rättelse enligt 3 kap. 3 a § första stycket 1 lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet med stöd av data- skyddslagen och kommer därmed inte att behöva tillämpa nu aktuell överklagandebestämmelse i sådana fall. Juridiska personer omfattas dock inte av dataskyddslagens tillämpningsområde och kommer i stället att kunna överklaga sådana beslut med stöd av nu aktuell överklagande- bestämmelse. När det gäller beslut om rättelse enligt 3 kap. 3 a § första stycket 2 kommer såväl fysiska som juridiska personer att ha rätt att överklaga dessa med stöd av nu aktuell överklagandebestämmelse. Andra stycket i överklagandebestämmelsen föreslås vara oförändrat, vilket innebär att prövningstillstånd även fortsättningsvis krävs vid över- klagande till kammarrätten. Detta innebär att enligt såväl denna bestämmelse som enligt dataskyddslagen kommer överklagande att ske till allmän förvaltningsdomstol och prövningstillstånd krävas vid överklagande till kammarrätten.

Som tidigare nämnts innehåller lagen om identitetskort för folkbok- förda i Sverige bestämmelser om ansökan, utfärdande och återkallelse av identitetskort. Överklagandebestämmelserna i lagen omfattar samtliga beslut som fattas med stöd av lagen. Rätten till rättelse m.m. vid behand- ling av personuppgifter som omfattas av lagen kommer i fortsättningen att regleras i dataskyddsförordningen. Bestämmelser om överklagande av bl.a. sådana beslut finns i dataskyddslagen. Någon ändring av över- klagandebestämmelserna i lagen om behandling av identitetskort för folkbokförda i Sverige bör inte göras.

Förslagen genomförs genom att 3 kap. 4 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 3 kap. 4 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet och 3 kap. 4 § lagen om behandling av uppgifter i Tullverkets verk- samhet samt vissa rubriker upphör att gälla och genom ändringar i 3 kap. 4 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet.

Prop. 2017/18:95

95

Prop. 2017/18:95 9.9

Hänvisning till 2013 års lag

Regeringens förslag: Den bestämmelse i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet som reglerar för- hållandet mellan den lagen, personuppgiftslagen och lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen ska tas bort.

Promemorians förslag: Överensstämmer med regeringens förslag.

Remissinstanserna: Skatteverket och dataskydd . net tillstyrker för- slaget. I övrigt yttrar sig ingen remissinstans särskilt över förslaget.

Skälen för regeringens förslag: Lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet hänvisar till lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, här kallad 2013 års lag. I 1 kap. 3 a § lagen om behandling av uppgifter i Kronofogde- myndighetens verksamhet anges att i 2013 års lag, och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som inom ramen för polissamarbete eller straffrättsligt samarbete har överförts från eller gjorts tillgängliga av 1. en stat som är medlem i Europeiska unionen (EU), 2. Island, Norge, Schweiz eller Liechtenstein, 3. ett EU-organ, eller 4. ett EU-informationssystem. Om det i de författningar som anges i första stycket finns avvikande bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag och personuppgiftslagen.

I bestämmelsen hänvisas alltså till personuppgiftslagen. Eftersom den lagen kommer att upphävas behöver alla hänvisningar till den tas bort, se avsnitt 9.2. Bestämmelsen har dock också samband med de förslag som har lämnats av Utredningen om 2016 års dataskyddsdirektiv. Utredning- en har haft i uppdrag att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt och har i delbetänkandet Brottsdatalag föreslagit att 2013 års lag ska upphävas när brottsdatalagen träder i kraft (SOU 2017:29 s. 145 f.). I registerförfattningarna för brottsbekämpande myndigheter finns det likadana bestämmelser som den nu nämnda, som alltså anger att bestämmelserna i 2013 års lag ska tillämpas i stället för bestämmelserna i respektive författning och personuppgiftslagen. I slutbetänkandet (SOU 2017:74) har utredningen föreslagit att sådana bestämmelser ska upphöra att gälla.

Bestämmelsen i 1 kap. 3 a § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet kommer således inte längre att fylla någon funktion. För att förslagen avseende upphävande av hänvisningar till personuppgiftslagen ska bli heltäckande och då förslag har lämnats om att upphäva 2013 års lag, föreslår regeringen att bestämmelsen upphör att gälla.

96

10 Automatiserade beslut

Regeringens bedömning: Dataskyddsförordningens bestämmelser om automatiserat beslutsfattande föranleder inga ändringar i berörda lagar. Bestämmelser om automatiserat beslutsfattande kan behållas.

Promemorians bedömning: Överensstämmer med regeringens bedömning.

Remissinstanserna: Datainspektionen ifrågasätter slutsatsen att artikel 22 endast avser automatiserade beslut som innefattar profilering. Data- skydd.net tillstyrker bedömningen. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen.

Skälen för regeringens bedömning

Nuvarande reglering

En rätt att motsätta sig automatiskt individuellt beslutsfattande finns i artikel 15 i 1995 års dataskyddsdirektiv, som i svensk rätt har genomförts genom 29 § PUL. I 29 § första stycket PUL anges att om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för den fysiska personen enbart grundas på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos personen, ska den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. I 29 § andra stycket anges att var och en som varit föremål för ett sådant beslut som avses i första stycket har rätt att på ansökan få information från den person- uppgiftsansvarige om vad som har styrt den automatiserade behandling som lett fram till beslutet.

Bestämmelsen gäller för registerförfattningarna där personuppgifts- lagen gäller, men inte för de registerförfattningar som gäller i stället för personuppgiftslagen, då det i dessa inte finns någon hänvisning till bestämmelsen. Detta gäller t.ex. lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet. På området för skatt, tull och exekution förekommer automatiserat beslutsfattande, men det finns inga regler om detta i registerförfattningarna. I prop. 2000/01:33 anges följande angående frågan om det i lagarna om behandling av uppgifter i Skatteverkets beskattnings- och folkbokföringsverksamhet samt Krono- fogdemyndighetens och Tullverkets verksamhet fanns skäl att hänvisa till 29 § PUL: ”För att 29 § personuppgiftslagen skall vara tillämplig krävs att de uppgifter på vilka den automatiserade behandlingen grundas är sådana som är avsedda att bedöma vissa personliga egenskaper hos den som är föremål för beslutet, t.ex. arbetsprestationer, kreditvärdighet, pålitlighet och uppträdande. Beslut om taxering och betalning m.m. av skatt får i vissa fall fattas helt automatiserat. Sådana beslut kan dock inte anses vara avsedda att bedöma personliga egenskaper hos den skatt- skyldige. Det torde heller inte på övriga områden komma i fråga att fatta sådana beslut helt automatiserat. Något behov av att hänvisa till 29 § personuppgiftslagen finns därför inte. Det bör också framhållas att det i de lagar som reglerar förfarandet på ifrågavarande områden redan finns föreskrifter om rätt till omprövning av beslut” (s. 94).

Prop. 2017/18:95

97

Prop. 2017/18:95 Som exempel på författningar som innehåller uttryckliga bestämmelser om automatiserade beslut kan följande nämnas. Beslut om trängselskatt enligt lagen om trängselskatt fattas automatiskt, vilket görs antingen av Transportstyrelsen eller beskattningsmyndigheten (2 och 15 §§). Lagen innehåller också bestämmelser om bl.a. rättelse, omprövning och över- klagande av beslut. Även lagen (2011:1245) om särskilda ordningar för mervärdesskatt för telekommunikationstjänster, radio och tv-sändningar och elektroniska tjänster och fastighetstaxeringslagen (1979:1152) inne- håller bestämmelser om automatiserade beslut (16 § respektive 20 kap. 2 a §).

Såväl vid beslut som fattas med stöd av tullagen som skatteförfarande- lagen saknas uttryckliga bestämmelser om att beslut får fattas automa- tiskt. Däremot anges i respektive myndighetsinstruktion att myndigheten inte ska tillämpa 21 § 3–5 i myndighetsförordningen (2007:515) om myndighetens beslut när det gäller beslut som fattas genom automati- serad behandling, se 22 § förordningen (2016:1332) med instruktion för Tullverket och 39 § förordningen (2017:154) med instruktion för Skatte- verket. Enligt 21 § 3–5 myndighetsförordningen ska för varje beslut i ett ärende visas vem som fattat beslut, varit föredragande och varit med i den slutliga handläggningen utan att delta i avgörandet. Samma ordning gäller för Kronofogdemyndigheten enligt förordningen (2016:1333) med instruktion för Kronofogdemyndigheten (22 §).

I förvaltningslagen (2017:900) som träder i kraft den 1 juli 2018 finns en bestämmelse som uttryckligen tillåter automatiserat beslutsfattande. Ett beslut kan fattas av en befattningshavare ensam eller av flera gemensamt eller automatiserat (28 § första stycket). Regeringen anför i propositionen En modern och rättssäker förvaltning – ny förvaltningslag att det finns anledning att i lagen tydliggöra att förvaltningsbeslut kan fattas på automatiserad väg. Regeringen konstaterar att automatiseringen av beslut under senare år har kommit att bli en allt vanligare företeelse inom delar av den förvaltning som hanterar ett mycket stort antal ärenden årligen, t.ex. i Försäkringskassans verksamhet. Genom att det i lagen slås fast att beslut kan fattas automatiserat tydliggörs att det inte behövs en reglering i en specialförfattning för att en myndighet ska kunna använda denna beslutsform (prop. 2016/17:180 s. 179).

Dataskyddsförordningens bestämmelser om automatiserade beslut

Huvudregeln enligt artikel 22.1 i EU:s dataskyddsförordning är att den registrerade ska ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. I artikeln föreskrivs undantags- situationer och villkor för sådant förfarande. Enligt artikel 22.2 b ska punkt 1 inte tillämpas om beslutet tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen. Beslut får enligt artikel 22.4 inte grunda sig på känsliga personuppgifter såvida inte artikel 9.2 a (samtycke) eller g (viktigt allmänt intresse) gäller och lämpliga åtgärder

som ska skydda den registrerades berättigade intressen har vidtagits.

98

Artikel 22 är direkt tillämplig i medlemsstaterna men med stöd av artikel 23 är det möjligt att i nationell rätt begränsa tillämpningsområdet för artikeln.

I artikel 4.4 i dataskyddsförordningen finns en definition av profilering, nämligen ”varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar”.

I skäl 71 i dataskyddsförordningen utvecklas frågan om automatiserat beslutsfattande. Där framgår att den registrerade bör ha rätt att inte bli föremål för ett beslut, vilket kan inbegripa en åtgärd, med bedömning av personliga aspekter rörande honom eller henne, vilket enbart grundas på automatiserad behandling och medför rättsverkan för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, såsom ett automatiserat avslag på en kreditansökan online eller e- rekrytering utan personlig kontakt. Vidare framgår att sådan behandling omfattar ”profilering” i form av automatisk behandling av personupp- gifter med bedömning av personliga aspekter rörande en fysisk person, särskilt för att analysera eller förutse aspekter avseende den registrerades arbetsprestation, ekonomiska situation, hälsa, personliga preferenser eller intressen, pålitlighet eller beteende, vistelseort eller förflyttningar, i den mån dessa har rättsverkan rörande honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. Beslutsfattande grundat på sådan behandling, inbegripet profilering, bör dock, enligt skäl 71, tillåtas när det uttryckligen beviljas genom unionsrätten eller med- lemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av, inbegripet för sådan övervakning och sådant förebyggande av bedrägerier och skatteundandragande som genomförs i enlighet med unionsinstitutionernas eller de nationella tillsynsorganens bestämmelser, standarder och rekommendationer samt för att sörja för tillförlitlighet hos en tjänst som tillhandahålls av den personuppgiftsansvarige, eller när det krävs för ingående eller genomförande av ett avtal mellan den registre- rade och en personuppgiftsansvarig eller den registrerade har gett sitt uttryckliga samtycke. Denna form av uppgiftsbehandling bör, enligt samma skäl, under alla omständigheter omgärdas av lämpliga skydds- åtgärder, som bör inkludera specifik information till den registrerade och rätt till mänskligt ingripande, att framföra sina synpunkter, att erhålla en förklaring till det beslut som fattas efter sådan bedömning och att överklaga beslutet.

Dataskyddsutredningen och propositionen Ny dataskyddslag

Dataskyddsutredningen har inga förslag eller närmare överväganden om automatiskt beslutsfattande. Detsamma gäller prop. 2017/18:105.

Det behövs inga lagändringar

Som framgår av beskrivningen ovan finns i dag dataskyddsreglering om automatiserade beslut som i viss utsträckning gäller i verksamhet hos nu aktuella myndigheter, nämligen genom att 29 § PUL är tillämplig för

Prop. 2017/18:95

99

Prop. 2017/18:95

vissa registerförfattningar. Då det inte finns några hänvisningar till

bestämmelsen behövs inga justeringar i lag på grund av att personupp-

giftslagen kommer att upphävas.

Som framgår av förarbetsuttalandena ovan ansågs en hänvisning till

29 § PUL inte behöva införas i registerförfattningarna på området för

skatt, tull och exekution då de helt automatiserade besluten som förekom

inte kunde anses vara avsedda att bedöma personliga egenskaper hos den

skattskyldige. Mot den bakgrunden finns det, vid bedömningen av data-

skyddsförordningens bestämmelser om automatiserat beslutsfattande,

skäl att överväga om det finns någon skillnad mellan 1995 års data-

skyddsdirektivs och dataskyddsförordningens bestämmelse när det gäller

vilket slag av beslutsfattande som avses.

Det kan konstateras att artikel 22 till sin ordalydelse kan tolkas på olika

sätt. Bestämmelsen kan läsas så att den är generellt tillämplig på auto-

matiserade beslut. Formuleringen ”inbegripet profilering” skulle då

endast vara en upplysning om att bestämmelsen även omfattar profile-

ring. Artikel 22 kan dock även läsas så att den automatiserade behand-

lingen måste omfatta profilering enligt definitionen i artikel 4.4 för att

bestämmelsen ska bli tillämplig.

Det kan också konstateras att skäl 71 endast tycks behandla profilering

och att skäl 73, vid uppräkningen av rättigheter som kan begränsas enligt

artikel 23, endast omnämner ”profileringsbaserade beslut”. Detta får

anses tala mot att artikel 22 är tillämplig även när profilering inte inbe-

grips i behandlingen av personuppgifter.

Det anförda talar för att avsikten med artikel 22 i dataskyddsförord-

ningen är att endast omfatta automatiserade beslut som innefattar profile-

ring. Någon säker slutsats kan dock i avsaknad av praxis inte dras i denna

fråga.

Även om en annan tolkning av artikel 22.1 i dataskyddsförordningen

skulle göras, dvs. att bestämmelsen också omfattar automatiserat besluts-

fattande som inte är profilering, så som Datainspektionen anser, kan det

emellertid konstateras att automatiserat beslutsfattande generellt är

tillåtet för svenska myndigheter, vilket kommer till uttryck bl.a. i ovan

nämnda nya förvaltningslag (28 §). Utöver de allmänna kraven på

legalitet, objektivitet och proportionalitet säkerställs rätten till insyn, krav

på kommunikation liksom möjligheten till ändring och rättelse av beslut

samt rätten att överklaga beslut som kan antas påverka någons situation

på ett inte obetydligt sätt. Genom den förvaltningsrättsliga regleringen är

beslutsfattandet omgärdat av sådana skyddsåtgärder (lämpliga åtgärder

till skydd för den registrerades rättigheter, friheter och berättigade

intressen) som anges i artikel 22.2 b.

Skulle artikel 22 bedömas vara tillämplig också på annat automatiskt

beslutsfattande än profilering finns det också på nu aktuellt område även

annat författningsstöd än förvaltningslagen, direkt eller indirekt, för detta

beslutsfattande, vilket framgår av beskrivningen ovan. Det finns också

möjlighet till omprövning eller överklagande av besluten. Besluten fattas

inte på grundval av känsliga personuppgifter (jfr artikel 22.4). För det fall

det ändå skulle förekomma beslut som grundar sig på känsliga

personuppgifter måste det anses utgöra ett sådant viktigt allmänt intresse

som omnämns i artikel 22.4 att aktuella myndigheter kan bedriva sin

100

verksamhet på ett korrekt, rättssäkert och effektivt sätt (jfr prop.

2017/18:105 s. 83). Artikel 22.4 uppställer även krav på att lämpliga Prop. 2017/18:95 åtgärder som ska skydda den registrerades berättigade intressen har

vidtagits. Detta är ett krav som får anses rikta sig direkt till den personuppgiftsansvarige och förutsätter således inte i sig några nationella lagstiftningsåtgärder.

Bedömningen innebär att det inte finns skäl för några justeringar i aktuella lagar med hänvisning till artikel 22 i dataskyddsförordningen. Det har inte heller framkommit andra skäl till ändring av bestämmelserna eller möjligheterna till automatiskt beslutsfattande.

11 Ikraftträdande- och övergångsbestämmelser

Regeringens förslag: Lagändringarna ska träda i kraft den 25 maj 2018. För de lagar som i dag gäller i stället för personuppgiftslagen ska det införas övergångsbestämmelser som innebär att äldre före- skrifter om straff gäller för överträdelser som har skett före ikraft- trädandet.

Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Skatteverket tillstyrker förslagen. I övrigt

invänder ingen remissinstans mot förslagen.

Skälen för regeringens förslag

Dataskyddsförordningens krav

Av artikel 99.1 i EU:s dataskyddsförordning följer att förordningen träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning, vilket skedde den 4 maj 2016. Av artikel 99.2 följer att förordningen ska tillämpas från och med den 25 maj 2018. I artikel 94 anges vidare att 1995 års dataskyddsdirektiv ska upphöra att gälla med verkan från och med den 25 maj 2018 och att hänvisningar till det upphävda direktivet ska anses som hänvisningar till förordningen.

Propositionen Ny dataskyddslag

Dataskyddslagen föreslås träda i kraft den 25 maj 2018 och personupp- giftslagen föreslås därigenom upphävas (se prop. 2017/18:105). Personuppgiftslagen föreslås dock fortfarande gälla i den utsträckning som det i en annan lag eller en förordning finns bestämmelser som innehåller hänvisningar till den.

Vidare föreslås bl.a. att bestämmelsen i 49 § PUL fortfarande ska gälla för överträdelser som har skett före ikraftträdandet. Vad gäller den övergångsbestämmelsen anger regeringen att eftersom förslaget innebär att den straffrättsliga regleringen upphävs och i praktiken ersätts med sanktionsavgifter, uppkommer frågan om vad som ska gälla för straff-

belagda gärningar som har begåtts vid behandling som upphört före

101

Prop. 2017/18:95 den 25 maj 2018 men där överträdelsen inte har lagförts innan de nya reglerna ska börja tillämpas. Regeringen resonerar där kring frågan om den lindrigaste lagens princip är tillämplig i dessa fall eller inte. Huvudsyftet med dataskyddsförordningens och dataskyddslagens system med kraftfulla sanktionsavgifter är framför allt att effektivisera sank- tionssystemet. Att överträdelser mot dataskyddsregleringen föreslås avkriminaliseras ska inte ses som ett uttryck för att överträdelserna ska bedömas lindrigare än tidigare. Regeringen anser därför att lindrigaste lagens princip inte gör sig särskilt starkt gällande i detta fall, varför det inte finns skäl att låta systemet med sanktionsavgifter få retroaktiv effekt. Personuppgiftslagens straffbestämmelse bör i stället tillämpas på över- trädelser som har skett före dataskyddslagens ikraftträdande (s. 176 f.).

Ändringarna bör träda i kraft den 25 maj 2018

Ändringarna bör träda i kraft samtidigt som dataskyddsförordningen börjar tillämpas och dataskyddslagen föreslås träda i kraft. Regeringen föreslår därför att ändringarna ska träda i kraft den 25 maj 2018.

En övergångsbestämmelse bör införas

Vad gäller frågan om skada som har inträffat och överträdelser som har skett före ikraftträdandet kan följande lyftas fram. När det gäller skade- stånd bör äldre bestämmelser gälla, dvs. om skadan har orsakats före den 25 maj 2018. Att så är fallet följer av allmänna rättsgrundsatser, varför det inte finns något egentligt behov av övergångsbestämmelser i det avseendet (se prop. 1972:5 s. 593 och prop. 2017/18:105 s. 176). Några sådana övergångsbestämmelser föreslås därför inte för nu aktuella författningar.

När det gäller straffbestämmelsen i 49 § PUL är den direkt tillämplig för de registerförfattningar där personuppgiftslagen gäller. För de lagar som gäller i stället för personuppgiftslagen gäller straffbestämmelsen genom att den pekas ut i respektive författning. Regeringen föreslår som framgår ovan i dataskyddslagen en övergångsbestämmelse om att per- sonuppgiftslagens straffbestämmelse fortfarande ska gälla för överträdel- ser som skett före dataskyddslagens ikraftträdande. Äldre föreskrifter om straff bör på samma grunder gälla även för nu aktuella lagar. För att säkerställa att detta kommer att gälla även för de lagar som gäller i stället för personuppgiftslagen, föreslås en övergångsbestämmelse om att äldre föreskrifter om straff fortfarande ska gälla för överträdelser som har skett före ikraftträdandet.

Några andra övergångsbestämmelser bedöms inte behövas.

102

12

Konsekvenser

Prop. 2017/18:95

Regeringens bedömning: Förslagen medför att lagar som reglerar Skatteverkets, Tullverkets och Kronofogdemyndighetens personupp- giftsbehandling anpassas till EU:s dataskyddsförordning, med beaktande av myndigheternas behov. De ekonomiska konsekvenserna för myndigheterna är ytterst begränsade. Eventuella kostnader ryms inom myndigheternas befintliga ekonomiska ramar.

Förslagen medför inte några offentligfinansiella effekter.

Promemorians bedömning: Överensstämmer med regeringens bedömning.

Remissinstanserna: Ingen remissinstans yttrar sig särskilt över bedömningen. Regelrådet avstår från att yttra sig.

Skälen för regeringens bedömning

Dataskyddsreformen innebär bl.a. att EU:s dataskyddsförordning kom- mer att ersätta personuppgiftslagen. Vidare avses en generell lag på nationell nivå komplettera dataskyddsförordningen, dataskyddslagen (se prop. 2017/18:105). I denna proposition föreslås vissa specifika anpass- ningar av lagstiftning på området för skatt, tull och exekution som bedöms nödvändiga eller lämpliga som en följd av ovan nämnda reglering, samt vissa mindre justeringar som inte har direkt samband med dataskyddsreformen.

De flesta förslagen är rena följder av eller anpassningar till dataskydds- förordningen och till att personuppgiftslagen upphävs. Det gäller t.ex. slopade hänvisningar till personuppgiftslagen eller slopade bestämmelser avseende sådant som regleras direkt i dataskyddsförordningen eller i den föreslagna dataskyddslagen, och att hänvisningar görs till dataskyddsför- ordningens definition av känsliga personuppgifter i stället för till person- uppgiftslagens. Dessa förslag, och de förslag som anger författningarnas förhållande till dataskyddsförordningen och dataskyddslagen, bidrar till att minska eventuell dubbelreglering och klargör de olika regleringarnas förhållande till varandra. Andra förslag medför inte någon ändring i förhållande till dagens reglering, t.ex. justeringar i bestämmelser om att rätten att göra invändningar mot behandling inte ska gälla.

I propositionen bedöms att särskilda lagbestämmelser som innebär avsteg från eller specificeringar av dataskyddsförordningens eller data- skyddslagens bestämmelser och som är anpassade efter de särskilda behov som Skatteverket, Tullverket eller Kronofogdemyndigheten har kan behållas, t.ex. bestämmelser om tillåtna ändamål och när det är tillåtet att behandla vissa kategorier av personuppgifter. Genom sådana särbestämmelser säkerställs att myndigheterna har lämpliga verktyg för den personuppgiftsbehandling som deras verksamhet kräver och som den nya dataskyddsregleringen tillåter.

De förslag som inte har direkt samband med dataskyddsreformen är t.ex. att vissa bestämmelser flyttas eller formuleras om, såsom att s.k. primära och sekundära ändamålsbestämmelser förtydligas. Detta medför att regleringen blir enklare att tillämpa.

103

Prop. 2017/18:95 De ekonomiska konsekvenserna av de i denna proposition föreslagna ändringarna bedöms bli ytterst begränsade. Ändringarna bedöms inte medföra några nämnvärda kostnader för myndigheterna t.ex. i form av IT-utveckling eller liknande. Som framgår ovan utgörs den stora föränd- ringen av den nya regleringen på EU-nivå, som är direkt tillämplig. De omställningar och anpassningar av verksamheten som myndigheterna kan behöva genomgå orsakas således till allra största delen av annan reglering än de förslag som läggs fram i denna proposition. Skulle förslagen i denna proposition medföra vissa kostnader, bedöms dessa kunna hanteras inom myndigheternas befintliga ekonomiska ramar.

Förslagen bedöms inte medföra några offentligfinansiella effekter eller samhällsekonomiska konsekvenser. Förslagen bedöms inte heller ha någon påverkan på vare sig jämställdheten mellan kvinnor och män eller möjligheten att nå de integrationspolitiska målen. Förslagen bedöms inte ha några sociala eller miljömässiga konsekvenser.

13 Författningskommentar

13.1 Förslaget till lag om ändring i lagen (1998:527) om det statliga personadressregistret

2 §

Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv 95/46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning, och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (2018:000), kallad data- skyddslagen.

I första stycket upplyses om att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och är direkt tillämplig. Denna lag utgör således ett komplement till dataskydds- förordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket finns i bl.a. denna lag.

Genom andra stycket klargörs att även dataskyddslagen och föreskrif- ter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av lagen eller före- skrifter som har meddelats i anslutning till lagen. Lagen utgör således ett komplement till dataskyddslagen. Till skillnad från dataskyddsförord- ningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestäm- melser gäller endast om denna lag eller tillhörande föreskrifter inte inne- håller några avvikande bestämmelser.

Hänvisningarna i lagen till dataskyddsförordningen avser förordningen i den vid varje tidpunkt gällande lydelsen, en s.k. dynamisk hänvisning.

104

Den nya utformningen innebär också att hänvisningarna till person- Prop. 2017/18:95 uppgiftslagen (1998:204) har tagits bort.

Övervägandena finns i avsnitt 9.2.

3 a §

I paragrafen, som är ny, görs i första stycket ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskyddsförordningen. Undantaget utgör en sådan begränsning i den nationella rätten som är tillåten enligt artikel 23 i dataskyddsförord- ningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar enligt artikel 21.1.

I artikel 21.2 i dataskyddsförordningen ges en rätt för den registrerade att invända mot behandling av personuppgifter för direkt marknads- föring. Den rätten gäller vid sådan behandling som omfattas av lagen. I andra stycket ges en upplysning om att en sådan rätt finns i artikel 21.2 i dataskyddsförordningen.

Övervägandena finns i avsnitt 9.5.4.

Ikraftträdandebestämmelse

Bestämmelsen behandlas i avsnitt 11.

13.2 Förslaget till lag om ändring i lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet

1 kap.

2 §

Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning.

I paragrafen upplyses om att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och är direkt tillämplig. Denna lag utgör således ett komplement till dataskydds- förordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket finns i bl.a. denna lag.

Hänvisningarna i lagen till dataskyddsförordningen avser förordningen i den vid varje tidpunkt gällande lydelsen, en s.k. dynamisk hänvisning.

Den nya utformningen innebär också att hänvisningarna till person- uppgiftslagen (1998:204), PUL, har tagits bort. Vidare har bestämmelsen i andra stycket utgått och en liknande bestämmelse införts i 3 kap. 3 §, se kommentaren till den bestämmelsen.

Övervägandena finns i avsnitt 9.2.

105

Prop. 2017/18:95

106

3 §

Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (2018:000), kallad dataskyddslagen.

Genom paragrafen klargörs att även dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av lagen eller före- skrifter som har meddelats i anslutning till lagen. Denna lag utgör således ett komplement till dataskyddslagen. Till skillnad från dataskyddsförord- ningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestäm- melser gäller endast om denna lag eller tillhörande föreskrifter inte innehåller några avvikande bestämmelser.

Den nya utformningen innebär också att hänvisningarna till person- uppgiftslagen har tagits bort.

Övervägandena finns i avsnitt 9.2.

4 §

Paragrafen reglerar ändamål för vilka personuppgifter får behandlas enligt lagen. Paragrafen har ändrats genom att bestämmelsen i andra stycket, som rör behandling av uppgifter för tillhandahållande av information som behövs i Skatteverkets brottsbekämpande verksamhet, har flyttats till 5 §. Ändringen innebär att paragrafen endast omfattar ändamål som avser sådan verksamhet inom Skatteverket som omfattas av lagens tillämpningsområde och för vilka uppgifter får samlas in i verksamheten, s.k. primära ändamål. De sekundära ändamålen har samlats i 5 § (se kommentaren till den paragrafen).

I inledningen av paragrafen i dess nya lydelse har vissa redaktionella ändringar gjorts.

Övervägandena finns i avsnitt 9.3.

5 §

I paragrafen finns bestämmelser om s.k. sekundära ändamål. De sekun- dära ändamålen reglerar i vilken utsträckning personuppgifter, som myndigheten har samlat in för ett primärt ändamål, får behandlas för att lämnas ut till annan verksamhet inom den egna myndigheten, till enskilda eller till andra myndigheter för att tillgodose deras behov.

Paragrafen har fått en ny struktur och delvis nytt innehåll. Genom ändringarna i paragrafens inledning klargörs att det endast är sådana uppgifter som redan behandlas med stöd av 4 § som får behandlas för de sekundära ändamålen i paragrafen. Uppgifter får alltså inte samlas in för att behandlas endast för de ändamål som anges i paragrafen.

I den nya första punkten återges de nuvarande bestämmelserna om tillhandahållande av information som behövs i författningsreglerad verk- samhet hos någon annan än Skatteverket.

Till den nya andra punkten har bestämmelsen om behandling av upp- gifter för tillhandahållande av information som behövs i Skatteverkets brottsbekämpande verksamhet flyttats. Den fanns tidigare i 4 § andra stycket (se kommentaren till den paragrafen). Ändringen medför att de sekundära ändamålen samlas i en paragraf. En redaktionell ändring har också gjorts.

Den nya tredje punkten motsvarar till stor del det tidigare andra Prop. 2017/18:95 stycket. Genom ändringarna klargörs att uppgifter får behandlas för att

tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande.

Av den nya fjärde punkten framgår att behandling får ske även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med insamlingsändamålen (den s.k. finalitets- principen). Bestämmelsen är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med insamlings- ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen.

Övervägandena finns i avsnitt 9.3.

7 §

I första stycket har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Bestämmelsens inledning har också fått en något annorlunda utformning. Eftersom dataskyddsförordningens definition är något vidare än person- uppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter. Hänvis- ningen till personuppgiftslagens definition av lagöverträdelser m.m. har ersatts med en uppräkning av de lagöverträdelser m.m. som motsvarar personuppgiftslagens definition. Den senare ändringen innebär ingen ändring i sak.

Övervägandena finns i avsnitt 9.4.

2 kap.

14 §

I paragrafen, som behandlar möjligheten för Skatteverket att ta ut avgifter för att lämna ut uppgifter ur beskattningsdatabasen, har andra stycket fått en ny struktur och en ny andra punkt. I den nya andra punkten upplyses om att rätten att ta ut avgifter inte innebär någon inskränkning i den registrerades rätt till kostnadsfri information och kommunikation m.m. enligt artikel 12.5 i dataskyddsförordningen.

Övervägandena finns i avsnitt 9.5.2.

3 kap.

2 a §

I paragrafen görs undantag från vissa av den registrerades rättigheter och den personuppgiftsansvariges skyldigheter när personuppgifter behandlas på grund av samarbete enligt lagen (2012:843) om administrativt sam- arbete inom Europeiska unionen i fråga om beskattning. Undantagen

utgör en sådan begränsning i den nationella rätten som är tillåten enligt

107

Prop. 2017/18:95 artikel 23 i dataskyddsförordningen. Hänvisningarna till 23, 25, 26, 28 och 42 §§ PUL har ersatts med hänvisningar till artiklarna 13 och 15–19 i dataskyddsförordningen. I stället för att hänvisa till intressen som anges i 8 a § f PUL har det skrivits ut i paragrafen att de aktuella artiklarna inte ska tillämpas om sådana begränsningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen.

Övervägandena finns i avsnitt 9.5.2 och 9.5.3.

3 §

I paragrafen, som är ny, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskydds- förordningen. Undantaget utgör en sådan begränsning i den nationella rätten som är tillåten enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar enligt artikel 21.1. Bestämmelsen har flyttats från 1 kap. 2 § andra stycket och har anpassats till regleringen i dataskydds- förordningen genom en ny lydelse.

Övervägandena finns i avsnitt 9.5.4.

Ikraftträdande- och övergångsbestämmelser

Bestämmelserna behandlas i avsnitt 11.

13.3 Förslaget till lag om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet

1 kap.

2 §

Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv 95/46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning.

I paragrafen upplyses om att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och är direkt tillämplig. Denna lag utgör således ett komplement till dataskydds- förordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket finns i bl.a. denna lag.

Hänvisningarna i lagen till dataskyddsförordningen avser förordningen i den vid varje tidpunkt gällande lydelsen, en s.k. dynamisk hänvisning.

Den nya utformningen innebär också att hänvisningarna till person- uppgiftslagen (1998:204), PUL, har tagits bort. Vidare har bestämmelsen

108

i andra stycket utgått och en liknande bestämmelse införts i 3 kap. 1 §, se kommentaren till den bestämmelsen.

Övervägandena finns i avsnitt 9.2.

3 §

Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (2018:000), kallad dataskyddslagen.

Genom paragrafen klargörs att även dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av lagen eller föreskrifter som har meddelats i anslutning till lagen. Denna lag utgör således ett komplement till dataskyddslagen. Till skillnad från data- skyddsförordningen är dataskyddslagen dock subsidiär, och dataskydds- lagens bestämmelser gäller endast om denna lag eller tillhörande före- skrifter inte innehåller några avvikande bestämmelser.

Den nya utformningen innebär också att hänvisningarna till person- uppgiftslagen har tagits bort.

Övervägandena finns i avsnitt 9.2.

4 §

I paragrafen regleras de ändamål för vilka personuppgifter får behandlas enligt lagen.

I andra stycket klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande. Av andra stycket framgår också att behandling får ske även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med insam- lingsändamålen (den s.k. finalitetsprincipen). Den sistnämnda bestäm- melsen är utformad i nära anslutning till artikel 5.1 b i dataskydds- förordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med insamlings- ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen.

Övervägandena finns i avsnitt 9.3.

6 §

I första stycket har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Bestämmelsens inledning har också fått en något annorlunda utformning. Eftersom dataskyddsförordningens definition är något vidare än person- uppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter. Hänvis- ningen till personuppgiftslagens definition av lagöverträdelser m.m. har ersatts med en uppräkning av de lagöverträdelser m.m. som motsvarar

Prop. 2017/18:95

109

Prop. 2017/18:95 personuppgiftslagens definition. Den senare ändringen innebär ingen ändring i sak.

Övervägandena finns i avsnitt 9.4.

2 kap.

12 §

I paragrafen, som behandlar möjligheten för Skatteverket att ta ut avgifter för att lämna ut uppgifter ur folkbokföringsdatabasen, har andra stycket fått en ny struktur och en ny andra punkt. I den nya andra punkten upplyses om att rätten att ta ut avgifter inte innebär någon inskränkning i den registrerades rätt till kostnadsfri information och kommunikation m.m. enligt artikel 12.5 i dataskyddsförordningen.

Övervägandena finns i avsnitt 9.5.2.

3 kap.

1 §

I paragrafen, som är ny, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskydds- förordningen. Undantaget utgör en sådan begränsning i den nationella rätten som är tillåten enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar enligt artikel 21.1. Bestämmelsen har flyttats från 1 kap. 2 § andra stycket och har anpassats till regleringen i dataskydds- förordningen genom en ny lydelse.

Övervägandena finns i avsnitt 9.5.4.

Ikraftträdande- och övergångsbestämmelser

Bestämmelserna behandlas i avsnitt 11.

13.4 Förslaget till lag om ändring i lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet

1 kap.

2 §

Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv 95/46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning.

I paragrafen upplyses om att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och är

direkt tillämplig. Denna lag utgör således ett komplement till dataskydds-

110

förordningen. Dataskyddsförordningen både möjliggör och förutsätter Prop. 2017/18:95 nationell reglering, vilket finns i bl.a. denna lag.

Hänvisningarna i lagen till dataskyddsförordningen avser förordningen i den vid varje tidpunkt gällande lydelsen, en s.k. dynamisk hänvisning.

Den nya utformningen innebär också att hänvisningarna till person- uppgiftslagen (1998:204), PUL, har tagits bort. Vidare har bestämmelsen i andra stycket utgått och en liknande bestämmelse införts i 3 kap. 3 §, se kommentaren till den bestämmelsen.

Övervägandena finns i avsnitt 9.2.

3 §

Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (2018:000), kallad dataskyddslagen.

Genom paragrafen klargörs att även dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av lagen eller föreskrifter som har meddelats i anslutning till lagen. Denna lag utgör således ett komplement till dataskyddslagen. Till skillnad från data- skyddsförordningen är dataskyddslagen dock subsidiär, och dataskydds- lagens bestämmelser gäller endast om denna lag eller tillhörande före- skrifter inte innehåller några avvikande bestämmelser.

Den nya utformningen innebär också att hänvisningarna till person- uppgiftslagen har tagits bort.

Övervägandena finns i avsnitt 9.2.

6 §

I första stycket har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Bestämmelsens inledning har också fått en något annorlunda utformning. Eftersom dataskyddsförordningens definition är något vidare än person- uppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter. Hänvis- ningen till personuppgiftslagens definition av lagöverträdelser m.m. har ersatts med en uppräkning av de lagöverträdelser m.m. som motsvarar personuppgiftslagens definition. Den senare ändringen innebär ingen ändring i sak.

Övervägandena finns i avsnitt 9.4.

2 kap.

2 §

I paragrafen regleras de ändamål för vilka personuppgifter får behandlas i utsöknings- och indrivningsdatabasen. Paragrafen har ändrats genom att bestämmelsen i andra stycket, som rör behandling av uppgifter för tillhandahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F–skuld- sanering, har flyttats till 3 §. Ändringen innebär att paragrafen endast omfattar de s.k. primära ändamålen, för vilka uppgifter får föras in i

111

Prop. 2017/18:95

112

utsöknings- och indrivningsdatabasen. De sekundära ändamålen har samlats i 3 § (se kommentaren till den paragrafen).

I inledningen av paragrafen i dess nya lydelse har vissa redaktionella ändringar gjorts.

Övervägandena finns i avsnitt 9.3.

3 §

I paragrafen regleras de ändamål för vilka personuppgifter får behandlas för att tillhandahållas utanför den verksamhet som utsöknings- och indrivningsdatabasen förs inom, de s.k. sekundära ändamålen med databasen.

Paragrafen har fått en ny struktur och delvis nytt innehåll. Genom ändringarna i paragrafens inledning klargörs att det endast är sådana uppgifter som redan behandlas i utsöknings- och indrivningsdatabasen med stöd av 2 § som får behandlas i databasen för de sekundära ända- målen i paragrafen. Uppgifter får alltså inte föras in i databasen endast för de ändamål som anges i paragrafen.

I den nya första punkten återges de nuvarande bestämmelserna om tillhandahållande av information som behövs i författningsreglerad verk- samhet hos någon annan än Kronofogdemyndigheten.

Till den nya andra punkten har bestämmelsen om behandling av upp- gifter för tillhandahållande av information som behövs i Kronofogde- myndighetens verksamhet för handläggning av ärenden om skuldsane- ring och F–skuldsanering flyttats. Den fanns tidigare i 2 § andra stycket (se kommentaren till den paragrafen). Ändringen medför att de sekun- dära ändamålen samlas i en paragraf. En redaktionell ändring har också gjorts.

Den nya tredje punkten motsvarar till stor del det tidigare andra stycket. Genom ändringarna klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande.

Av den nya fjärde punkten framgår att behandling får ske även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med insamlingsändamålen (den s.k. finalitets- principen). Bestämmelsen är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med insamlings- ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen.

Övervägandena finns i avsnitt 9.3.

8 §

I paragrafen regleras de ändamål för vilka personuppgifter får behandlas i betalningsföreläggande- och handräckningsdatabasen. Paragrafen har ändrats genom att bestämmelsen i andra stycket, som rör behandling av uppgifter för tillhandahållande av information som behövs i Kronofogde-

myndighetens verksamhet för handläggning av ärenden om skuld- Prop. 2017/18:95 sanering och F–skuldsanering, har flyttats till 9 §. Ändringen innebär att

paragrafen endast omfattar de s.k. primära ändamålen, för vilka uppgifter får föras in i betalningsföreläggande- och handräckningsdatabasen. De sekundära ändamålen har samlats i 9 § (se kommentaren till den paragrafen).

I inledningen av paragrafen i dess nya lydelse har vissa redaktionella ändringar gjorts.

Övervägandena finns i avsnitt 9.3.

9 §

I paragrafen regleras de ändamål för vilka personuppgifter får behandlas för att tillhandahållas utanför den verksamhet som betalningsföre- läggande- och handräckningsdatabasen förs inom, de s.k. sekundära ändamålen med databasen.

Paragrafen har fått en ny struktur och delvis nytt innehåll. Genom ändringarna i paragrafens inledning klargörs att det endast är sådana uppgifter som redan behandlas i betalningsföreläggande- och handräck- ningsdatabasen med stöd av 8 § som får behandlas i databasen för de sekundära ändamålen i paragrafen. Uppgifter får alltså inte föras in i databasen endast för de ändamål som anges i paragrafen.

I den nya första punkten återges de nuvarande bestämmelserna om tillhandahållande av information som behövs i författningsreglerad verk- samhet hos någon annan än Kronofogdemyndigheten.

Till den nya andra punkten har bestämmelsen om behandling av upp- gifter för tillhandahållande av information som behövs i Kronofogde- myndighetens verksamhet för handläggning av ärenden om skuldsane- ring och F–skuldsanering flyttats. Den fanns tidigare i 8 § andra stycket (se kommentaren till den paragrafen). Ändringen medför att de sekun- dära ändamålen samlas i en paragraf. En redaktionell ändring har också gjorts.

Den nya tredje punkten motsvarar till stor del det tidigare andra stycket. Genom ändringarna klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande.

Av den nya fjärde punkten framgår att behandling får ske även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med insamlingsändamålen. Bestämmelsen är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål i enlighet med artikel 89.1 i förord- ningen inte ska anses vara oförenlig med insamlingsändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen.

Övervägandena finns i avsnitt 9.3.

113

Prop. 2017/18:95

114

14 §

I paragrafen har vissa redaktionella ändringar gjorts.

15 §

I paragrafen regleras de ändamål för vilka personuppgifter får behandlas för att tillhandahållas utanför den verksamhet som skuldsaneringsdata- basen förs inom, de s.k. sekundära ändamålen med databasen.

Paragrafen har fått en ny struktur och delvis nytt innehåll. Genom ändringarna i paragrafens inledning klargörs att det endast är sådana uppgifter som redan behandlas i skuldsaneringsdatabasen med stöd av 14 § som får behandlas i databasen för de sekundära ändamålen i paragrafen. Uppgifter får alltså inte föras in i databasen endast för de ändamål som anges i paragrafen.

I den nya första punkten återges de nuvarande bestämmelserna om tillhandahållande av information som behövs i författningsreglerad verk- samhet hos någon annan än Kronofogdemyndigheten.

Den nya andra punkten motsvarar till stor del det tidigare andra stycket. Genom ändringarna klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande.

Av den nya tredje punkten framgår att behandling får ske även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med insamlingsändamålen. Bestämmelsen är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål i enlighet med artikel 89.1 i förord- ningen inte ska anses vara oförenlig med insamlingsändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen.

Övervägandena finns i avsnitt 9.3.

20 §

I paragrafen regleras de ändamål för vilka personuppgifter får behandlas i konkurstillsynsdatabasen. Paragrafen har ändrats genom att bestäm- melsen i andra stycket, som rör behandling av uppgifter för tillhanda- hållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F– skuldsanering, har flyttats till 20 a §. Ändringen innebär att paragrafen endast omfattar de s.k. primära ändamålen, för vilka uppgifter får föras in i konkurstillsynsdatabasen. De sekundära ändamålen har samlats i 20 a § (se kommentaren till den paragrafen).

I inledningen av paragrafen i dess nya lydelse har vissa redaktionella ändringar gjorts.

Övervägandena finns i avsnitt 9.3.

20 a §

I paragrafen regleras de ändamål för vilka personuppgifter får behandlas för att tillhandahållas utanför den verksamhet som konkurstillsyns- databasen förs inom, de s.k. sekundära ändamålen med databasen.

Paragrafen har fått en ny struktur och delvis nytt innehåll. Den nya första punkten om behandling av uppgifter för tillhandahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F–skuldsanering har flyttats från 20 § andra stycket (se kommentaren till den paragrafen). Ändringen medför att de sekundära ändamålen har samlats i en paragraf. En redaktionell ändring har också gjorts.

Den nya andra punkten motsvarar till stor del paragrafens tidigare innehåll. Genom ändringarna klargörs att uppgifter får behandlas inte bara för att tillhandahålla information i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande.

Av den nya tredje punkten framgår att behandling får ske även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med insamlingsändamålen. Bestämmelsen är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål i enlighet med artikel 89.1 i förord- ningen inte ska anses vara oförenlig med insamlingsändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen.

Övervägandena finns i avsnitt 9.3.

30 §

I paragrafen, som behandlar möjligheten för Kronofogdemyndigheten att ta ut avgifter för att lämna ut uppgifter ur Kronofogdemyndighetens databaser, har andra stycket fått en ny struktur och en ny andra punkt. I den nya andra punkten upplyses om att rätten att ta ut avgifter inte innebär någon inskränkning i den registrerades rätt till kostnadsfri information och kommunikation m.m. enligt artikel 12.5 i dataskydds- förordningen.

Övervägandena finns i avsnitt 9.5.2.

3 kap.

3 §

I paragrafen, som är ny, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskydds- förordningen. Undantaget utgör en sådan begränsning i den nationella rätten som är tillåten enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar enligt artikel 21.1. Bestämmelsen har flyttats från

Prop. 2017/18:95

115

Prop. 2017/18:95 1 kap. 2 § andra stycket och har anpassats till regleringen i dataskydds- förordningen genom en ny lydelse.

Övervägandena finns i avsnitt 9.5.4.

3 a §

Paragrafen innehåller bestämmelser om rättelse m.m. när uppgifter behandlas i Kronofogdemyndighetens verksamhet. Bestämmelserna innebär i vissa avseenden utökade rättigheter för den registrerade och utökade skyldigheter för den personuppgiftsansvarige i förhållande till dataskyddsförordningen. Av 1 kap. 1 § andra stycket följer vidare att bestämmelsen är tillämplig även vid behandling av uppgifter om juridiska personer och avlidna.

I det nya tredje stycket ges en upplysning om att det i fråga om personuppgifter finns bestämmelser om rättelse m.m. också i dataskydds- förordningen. Vid behandling av personuppgifter får bestämmelsen i första stycket praktisk betydelse endast i de fall den ger rättigheter eller skyldigheter som går utöver de rättigheter och skyldigheter som följer av dataskyddsförordningen.

Övervägandena finns i avsnitt 9.5.3.

4 §

Paragrafen innehåller bestämmelser om överklagande. Första stycket har ändrats så att det anges att beslut om rättelse enligt 3 a § första stycket får överklagas till allmän förvaltningsdomstol.

Av 1 kap. 3 § följer att dataskyddslagens bestämmelser om överklagan- de gäller.

Bestämmelsen i denna paragraf reglerar rätten till överklagande avse- ende situationer som inte omfattas av dataskyddslagens tillämpnings- område. Juridiska personer omfattas t.ex. inte av dataskyddslagens tillämpningsområde men kan överklaga beslut om rättelse enligt 3 a § första stycket med stöd av denna bestämmelse. Fysiska personer kan dock överklaga beslut om rättelse som har fattats enligt 3 a § första stycket 1 med stöd av dataskyddslagen. När det gäller beslut om rättelse enligt 3 a § första stycket 2, som inte heller omfattas av dataskyddslagens tillämpningsområde, har såväl fysiska som juridiska personer möjlighet att överklaga dessa med stöd av denna bestämmelse. Se också författ- ningskommentaren till 3 a §.

Övervägandena finns i avsnitt 9.8.

Ikraftträdande- och övergångsbestämmelser

Bestämmelserna behandlas i avsnitt 11.

116

13.5 Förslaget till lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

1 kap.

2 §

Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv 95/46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning.

I paragrafen upplyses om att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och är direkt tillämplig. Denna lag utgör således ett komplement till dataskydds- förordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket finns i bl.a. denna lag.

Hänvisningarna i lagen till dataskyddsförordningen avser förordningen i den vid varje tidpunkt gällande lydelsen, en s.k. dynamisk hänvisning.

Den nya utformningen innebär också att hänvisningarna till person- uppgiftslagen (1998:204), PUL, har tagits bort. Vidare har bestämmelsen i andra stycket utgått och en liknande bestämmelse införts i 3 kap. 1 §, se kommentaren till den bestämmelsen.

Övervägandena finns i avsnitt 9.2.

3 §

Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (2018:000), kallad dataskyddslagen.

Genom paragrafen klargörs att även dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av lagen eller föreskrifter som har meddelats i anslutning till lagen. Denna lag utgör således ett komplement till dataskyddslagen. Till skillnad från data- skyddsförordningen är dataskyddslagen dock subsidiär, och dataskydds- lagens bestämmelser gäller endast om denna lag eller tillhörande före- skrifter inte innehåller några avvikande bestämmelser.

Den nya utformningen innebär också att hänvisningarna till person- uppgiftslagen har tagits bort.

Övervägandena finns i avsnitt 9.2.

4 §

Paragrafen reglerar ändamål för vilka personuppgifter får behandlas enligt lagen. Paragrafen har ändrats genom att bestämmelsen i andra stycket, som rör behandling av uppgifter för tillhandahållande av information som behövs i Tullverkets brottsbekämpande verksamhet, har flyttats till 5 §. Ändringen innebär att paragrafen endast omfattar ändamål som avser sådan verksamhet inom Tullverket som omfattas av

Prop. 2017/18:95

117

Prop. 2017/18:95

118

lagens tillämpningsområde och för vilka uppgifter får samlas in i verksamheten, s.k. primära ändamål. De s.k. sekundära ändamålen har samlats i 5 § (se kommentaren till den paragrafen).

I inledningen av paragrafen i dess nya lydelse har vissa redaktionella ändringar gjorts.

Övervägandena finns i avsnitt 9.3.

5 §

I paragrafen finns bestämmelser om de ändamål för vilka personuppgifter får behandlas för att tillhandahållas utanför den verksamhet som lagens tillämpningsområde omfattar, s.k. sekundära ändamål.

Paragrafen har fått en ny struktur och delvis nytt innehåll. Genom ändringarna i paragrafens inledning klargörs att det endast är sådana uppgifter som redan behandlas med stöd av 4 § som får behandlas för de sekundära ändamålen i paragrafen. Uppgifter får alltså inte samlas in för att behandlas endast för de ändamål som anges i paragrafen.

I den nya första punkten återges de nuvarande bestämmelserna om tillhandahållande av information som behövs i författningsreglerad verksamhet hos någon annan än Tullverket.

Till den nya andra punkten har bestämmelserna om behandling av uppgifter för tillhandahållande av information som behövs i Tullverkets brottsbekämpande verksamhet flyttats. Den fanns tidigare i 4 § andra stycket (se kommentaren till den paragrafen). Ändringen medför att de sekundära ändamålen samlas i en paragraf. En redaktionell ändring har också gjorts.

Den nya tredje punkten motsvarar till stor del det tidigare andra stycket. Genom ändringarna klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande.

Av den nya fjärde punkten framgår att behandling får ske även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med insamlingsändamålen (den s.k. finalitets- principen). Bestämmelsen är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med insam- lingsändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behand- lingen är förenlig med insamlingsändamålen.

Övervägandena finns i avsnitt 9.3.

7 §

I första stycket har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Bestämmelsens inledning har också fått en något annorlunda utformning. Eftersom dataskyddsförordningens definition är något vidare än person- uppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter. Hänvis-

ningen till personuppgiftslagens definition av lagöverträdelser m.m. har Prop. 2017/18:95 ersatts med en uppräkning av de lagöverträdelser m.m. som motsvarar personuppgiftslagens definition. Den senare ändringen innebär ingen

ändring i sak.

Övervägandena finns i avsnitt 9.4.

2 kap.

11 §

I paragrafen, som behandlar möjligheten för Tullverket att ta ut avgifter för att lämna ut uppgifter ur tulldatabasen, har andra stycket fått en ny struktur och en ny andra punkt. I den nya andra punkten upplyses om att rätten att ta ut avgifter inte innebär någon inskränkning i den registre- rades rätt till kostnadsfri information och kommunikation m.m. enligt artikel 12.5 i dataskyddsförordningen.

Övervägandena finns i avsnitt 9.5.2.

3 kap.

1 §

I paragrafen, som är ny, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskydds- förordningen. Undantaget utgör en sådan begränsning i den nationella rätten som är tillåten enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar enligt artikel 21.1. Bestämmelsen har flyttats från 1 kap. 2 § andra stycket och har anpassats till regleringen i dataskydds- förordningen genom en ny lydelse.

Övervägandena finns i avsnitt 9.5.4.

Ikraftträdande- och övergångsbestämmelser

Bestämmelserna behandlas i avsnitt 11.

13.6 Förslaget till lag om ändring i lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter

4 §

Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning, och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (2018:000), kallad data-

skyddslagen.

119

Prop. 2017/18:95

120

I första stycket upplyses om att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och är direkt tillämplig. Denna lag utgör således ett komplement till dataskydds- förordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket finns i bl.a. denna lag.

Genom andra stycket klargörs att även dataskyddslagen och föreskrif- ter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av lagen eller föreskrifter som har meddelats i anslutning till lagen. Lagen utgör således ett komplement till dataskyddslagen. Till skillnad från dataskyddsför- ordningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestämmelser gäller endast om denna lag eller tillhörande föreskrifter inte innehåller några avvikande bestämmelser.

Hänvisningarna i lagen till dataskyddsförordningen avser förordningen i den vid varje tidpunkt gällande lydelsen, en s.k. dynamisk hänvisning.

Den nya utformningen innebär också att hänvisningarna till person- uppgiftslagen (1998:204), PUL, har tagits bort.

Övervägandena finns i avsnitt 9.2.

6 §

I paragrafen regleras för vilka ändamål personuppgifter får behandlas enligt lagen. I andra stycket har hänvisningen till 9 § första stycket d och andra stycket PUL ersatts med en bestämmelse som anger att sådana uppgifter får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). Bestäm- melsen är utformad i nära anslutning till artikel 5.1 b i dataskydds- förordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med insamlings- ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen.

Övervägandena finns i avsnitt 9.3.

7 §

I paragrafen har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Bestämmelsens inledning har också fått en något annorlunda utformning. Eftersom dataskyddsförordningens definition är något vidare än person- uppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter.

Övervägandena finns i avsnitt 9.4.1.

10 §

I paragrafen, som är ny, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskydds- förordningen. Undantaget utgör en sådan begränsning i den nationella

rätten som är tillåten enligt artikel 23 i dataskyddsförordningen. Vid Prop. 2017/18:95 sådan behandling av personuppgifter som är tillåten enligt lagen eller

föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar enligt artikel 21.1. Bestämmelsen har flyttats från 3 § och har anpassats till regleringen i dataskyddsförordningen genom en ny lydelse.

Övervägandena finns i avsnitt 9.5.4.

Ikraftträdandebestämmelse

Bestämmelsen behandlas i avsnitt 11.

13.7 Förslaget till lag om ändring i lagen (2015:899) om identitetskort för folkbokförda i Sverige

10 §

Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning, och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (2018:000), kallad data- skyddslagen.

I första stycket upplyses om att lagen innehåller bestämmelser som

kompletterar dataskyddsförordningen. Dataskyddsförordningen är den

huvudsakliga rättsakten på området för personuppgiftsbehandling och är

direkt tillämplig. Denna lag utgör således ett komplement till dataskydds-

förordningen. Dataskyddsförordningen både möjliggör och förutsätter

nationell reglering, vilket finns i bl.a. denna lag.

Genom andra stycket klargörs att även dataskyddslagen och föreskrif-

ter som har meddelats i anslutning till den lagen gäller vid behandling av

personuppgifter enligt denna lag, om inte annat följer av lagen eller

föreskrifter som har meddelats i anslutning till lagen. Lagen utgör således

ett komplement till dataskyddslagen. Till skillnad från dataskyddsför-

ordningen är dataskyddslagen dock subsidiär, och dataskyddslagens

bestämmelser gäller endast om denna lag inte innehåller några avvikande

bestämmelser.

Hänvisningarna i lagen till dataskyddsförordningen avser förordningen

i den vid varje tidpunkt gällande lydelsen, en s.k. dynamisk hänvisning.

Den nya utformningen innebär också att hänvisningarna till person-

uppgiftslagen (1998:204), PUL, har tagits bort.

Övervägandena finns i avsnitt 9.2.

12 §

I paragrafen regleras för vilka ändamål personuppgifter får behandlas

enligt lagen. I andra stycket har hänvisningen till 9 § första stycket d och

andra stycket PUL ersatts med en bestämmelse som anger att sådana

uppgifter får behandlas även för andra ändamål, under förutsättning att

121

Prop. 2017/18:95 uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). Bestäm- melsen är utformad i nära anslutning till artikel 5.1 b i dataskydds- förordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med insamlings- ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen.

Övervägandena finns i avsnitt 9.3.

13 §

I paragrafen har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Bestämmelsens inledning har också fått en något annorlunda utformning. Eftersom dataskyddsförordningens definition är något vidare än person- uppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter.

Övervägandena finns i avsnitt 9.4.1.

17 §

I andra stycket har hänvisningen till personuppgiftslagens definition av lagöverträdelser m.m. ersatts med en uppräkning av de lagöverträdelser m.m. som motsvarar personuppgiftslagens definition. Denna ändring innebär ingen ändring i sak.

Övervägandena finns i avsnitt 9.4.2.

18 §

I paragrafen, som är ny, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskydds- förordningen. Undantaget utgör en sådan begränsning i den nationella rätten som är tillåten enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar enligt artikel 21.1. Bestämmelsen har flyttats från 9 § och har anpassats till regleringen i dataskyddsförordningen genom en ny lydelse.

Övervägandena finns i avsnitt 9.5.4.

Ikraftträdandebestämmelse

Bestämmelsen behandlas i avsnitt 11.

122

Promemorians lagförslag

Prop. 2017/18:95

Bilaga 1

Förslag till lag om ändring i lagen (1998:527) om det statliga personadressregistret

Härigenom föreskrivs i fråga om lagen (1998:527) om det statliga personadressregistret

dels att 9 § och rubriken före 9 § ska upphöra att gälla, dels att 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 a §, och närmast före 3 a § en ny rubrik av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

2 §

När personuppgifter behandlas i SPAR gäller personuppgiftslagen (1998:204), om inte avvikande bestämmelser meddelas i denna lag. De beteckningar som används i denna lag har samma betydelse som i 3 § personuppgiftslagen.

Bestämmelser om behandling av personuppgifter finns i Europa- parlamentets och rådets förord- ning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning). Denna lag innehåller kompletterande bestäm- melser om sådan behandling.

Även lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till den.

Invändningar mot behandling

3 a §

Rätten att

göra

invändningar

enligt artikel 21.1 i Europa-

parlamentets och rådets förord-

ning (EU) nr 2016/679 gäller inte

vid sådan behandling som är

tillåten enligt denna lag eller

föreskrifter som har meddelats i

anslutning till den.

Bestämmelser om rätt för den

registrerade

att

invända mot

123

Prop. 2017/18:95

Bilaga 1

124

behandling av personuppgifter för direkt marknadsföring finns i artikel 21.2 i samma förordning.

Denna lag träder i kraft den 25 maj 2018.

Även lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller före-

Förslag till lag om ändring i lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet

Härigenom föreskrivs i fråga om lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet 1

dels att 3 kap. 1 och 4 §§ och rubriken närmast 3 kap. 4 § ska upphöra att gälla,

dels att 1 kap. 2–5 och 7 §§, 2 kap. 14 §, 3 kap. 2, 2 a och 3 §§ och rubrikerna närmast före 1 kap. 2 § och 3 kap. 3 § ska ha följande lydelse.

Prop. 2017/18:95

Bilaga 1

Nuvarande lydelse

Föreslagen lydelse

1 kap.

Förhållandet till

personuppgifts- Förhållandet till annan reglering

lagen

2 §

Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204).

En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag.

Bestämmelser om behandling av personuppgifter finns i Europa- parlamentets och rådets förord- ning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning). Denna lag innehåller kompletterande bestäm- melser om sådan behandling.

3 § 2

När personuppgifter behandlas enligt denna lag eller enligt andra föreskrifter i det ämne som regle- ras i lagen gäller personuppgifts- lagens (1998:204) bestämmelser om

1 Senaste lydelse av lagens rubrik 2003:670

3 kap. 1 § 2012:845

3 kap. 4 § 2003:670.

2 Senaste lydelse 2012:845.

125

Prop. 2017/18:95

Bilaga 1

126

1. definitioner i 3 §,

skrifter som har meddelats i

2. förhållandet till offentlighets-

anslutning till den.

principen m.m. i 8 §,

3. grundläggande krav på be- handling i 9 § med undantag för vad som sägs i första stycket i och tredje stycket,

4. säkerheten vid behandling i 30–32 §§,

5. överföring av personuppgifter till tredje land i 33–35 §§,

6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§,

7. upplysningar till allmänheten om vissa behandlingar i 42 § med

den begränsning som anges i 3 kap. 2 a § i denna lag,

8. tillsynsmyndighetens befogen- heter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person- uppgifter som inte sker i databaser gäller även 22 § personuppgifts- lagen.

4 § 3

Uppgifter får

behandlas för

Uppgifter får behandlas för att

tillhandahållande

av information

tillhandahålla information som

som behövs hos Skatteverket för

behövs hos Skatteverket för

1. fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av skatter och avgifter,

2. bestämmande av pensionsgrundande inkomst,

3. fastighetstaxering,

4. revision och annan analys- eller kontrollverksamhet,

5. tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning,

6. handläggning

a) enligt lagen (2007:324) om Skatteverkets hantering av vissa borgenärsuppgifter,

b) av andra frågor om ansvar för någon annans skatter och avgifter,

c) enligt lagen (2015:912) om automatiskt utbyte av upplysningar om finansiella konton och 22 b kap. skatteförfarandelagen (2011:1244), och

d) enligt lagen (2017:182) om automatiskt utbyte av land-för-land- rapporter på skatteområdet och 33 a kap. skatteförfarandelagen.

7. fullgörande av ett åliggande som följer av ett för Sverige bindande internationellt åtagande,

3 Senaste lydelse 2017:454.

Uppgifter som behandlas enligt 4 § får även behandlas för att tillhandahålla information som behövs i författningsreglerad verk- samhet hos någon annan än Skatteverket för

8. hantering av underrättelser från arbetsgivare om anställning av

Prop. 2017/18:95

utlänningar som avses i lagen (2013:644) om rätt till lön och annan

Bilaga 1

ersättning för arbete utfört av en utlänning som inte har rätt att vistas i

Sverige,

9. hantering av uppgifter om sjuklönekostnad, och

10. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som får behandlas enligt första stycket får även behandlas för tillhandahållande av information som behövs i Skatte- verkets verksamhet enligt lagen (1997:1024) om Skatteverkets brottsbekämpande verksamhet.

5 § 4 Uppgifter får behandlas för att

tillhandahålla information som behövs i författningsreglerad verk- samhet hos någon annan än Skatteverket för

1. fastställande av underlag för samt redovisning, bestämmande, betalning och återbetalning av skatter eller avgifter,

2. utsökning, indrivning, skuldsanering och F-skuldsanering,

3. att utgöra underlag för beräkning, beslut och kontroll i fråga om förmån, bidrag och andra stöd,

4. pensionsberäkning,

5. tillsyn och kontroll samt lämplighets- och tillståndsprövning och annan liknande prövning, och

6. aktualisering och komplettering av uppgifter om fastigheter i andra myndigheters register.

Uppgifter får även behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

Uppgifter som behandlas enligt 4 § får även behandlas för att till- handahålla information som behövs i Skatteverkets brottsbe- kämpande verksamhet enligt lagen (1997:1024) om Skatteverkets brottsbekämpande verksamhet.

Uppgifter som behandlas enligt 4 § får även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning.

Uppgifter som behandlas enligt 4 § får även behandlas för andra ändamål, under förutsättning att ändamålet inte är oförenligt med

4 Senaste lydelse 2016:913.

127

Prop. 2017/18:95

Bilaga 1

128

det ändamål för vilket uppgifterna

samlades in.

7 §

Känsliga

personuppgifter

som

Sådana särskilda

kategorier av

anges i 13 § personuppgiftslagen

personuppgifter som avses i artikel

(1998:204)

och

uppgifter

om

9.1 i Europaparlamentets och rå-

lagöverträdelser m.m. som anges i

dets förordning (EU) nr 2016/679

21 § samma lag

får behandlas

( känsliga personuppgifter ) och

endast om uppgifterna har lämnats

uppgifter om lagöverträdelser som

i ett ärende eller är nödvändiga för

innefattar brott, domar i brottmål,

handläggningen av det.

straffprocessuella

tvångsmedel

eller administrativa frihetsbe-

rövanden får behandlas endast om

uppgifterna har lämnats i ett

ärende eller är nödvändiga för

handläggningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

14 § 5

Skatteverket får ta ut avgifter för att lämna ut uppgifter ur databasen

enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt

Rätten att ta ut avgifter får inte

första stycket får inte innebära

innebära en inskränkning i

inskränkning i rätten att ta del av

1. rätten att ta del av och mot

och mot fastställd avgift få kopia

fastställd avgift få kopia eller

eller utskrift av en allmän handling

utskrift av en allmän handling en-

enligt tryckfrihetsförordningen.

ligt tryckfrihetsförordningen , eller

2. en registrerads rätt

enligt

artikel 12.5 i

Europaparlamentets

och rådets

förordning

(EU)

nr 2016/679.

3 kap.

2 §

Information som skall lämnas enligt 26 § personuppgiftslagen (1998:204) behöver inte omfatta uppgift i en handling som avses i 2 kap. 4 §, om den enskilde har tagit del av handlingens innehåll. Om den enskilde begär det skall dock informationen även omfatta uppgift i en sådan handling.

Information som ska lämnas enligt artikel 15 i Europaparla- mentets och rådets förordning (EU) nr 2016/679 behöver inte omfatta uppgift i en handling som avses i 2 kap. 4 §, om den enskilde har tagit del av handlingens innehåll. Om den enskilde begär det ska dock informationen även omfatta uppgift i en sådan

5 Senaste lydelse 2003:670.

Rätten att göra invändningar enligt artikel 21.1 i Europaparla- mentets och rådets förordning (EU) nr 2016/679 gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

Invändningar mot behandling

Vid behandling av person- uppgifter på grund av samarbete enligt lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning ska artikel 13 och 15– 19 i Europaparlamentets och rå- dets förordning (EU) nr 2016/679 inte tillämpas, om sådana begräns- ningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen .

Om informationen inte inne- håller handling som avses i första stycket, skall det av informationen framgå att handlingen behandlas i databasen.

handling.

Prop. 2017/18:95

Om informationen inte inne-

Bilaga 1

håller handling som avses i första

stycket, ska det av informationen

framgå att handlingen behandlas i

databasen.

2 a § 6 Vid behandling av person-

uppgifter på grund av samarbete enligt lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning tillämpas inte 23, 25, 26, 28 och 42 §§ personuppgifts- lagen (1998:204) om sådana begränsningar är nödvändiga med hänsyn till ett intresse som anges i 8 a § f personuppgiftslagen .

Rättelse och skadestånd

3 § 7

Bestämmelserna i person- uppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller anslutande författningar, med den begräns- ning som anges i 2 a § i fråga om rättelse.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

6 Senaste lydelse 2012:845.

7 Senaste lydelse 2012:845.

129

Bestämmelser om behandling av personuppgifter finns i Europa- parlamentets och rådets förord- ning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning). Denna lag innehåller kompletterande bestäm- melser om sådan behandling.

Prop. 2017/18:95

Bilaga 1

130

Förslag till lag om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet

Härigenom föreskrivs i fråga om lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet 1

dels att 3 kap. 1 och 4 §§ och rubriken närmast före 3 kap. 4 § ska upphöra att gälla,

dels att 1 kap. 2–4 och 6 §§, 2 kap. 12 §, 3 kap. 2 och 3 §§ och rubrikerna närmast före 1 kap. 2 § och 3 kap. 3 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

Förhållandet till personuppgifts-

Förhållandet till annan reglering

lagen

1 kap.

2 §

Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204).

En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag.

3 §

När personuppgifter behandlas enligt denna lag eller enligt andra föreskrifter i det ämne som regle- ras i lagen gäller personuppgifts- lagens (1998:204) bestämmelser om

1. definitioner i 3 §,

2. förhållandet till offentlighets- principen m.m. i 8 §,

Även lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till den.

1 Senaste lydelse av lagens rubrik 2003:671 3 kap. 4 § 2003:671.

3. grundläggande krav

på be-

Prop. 2017/18:95

handling i 9 § med undantag för

Bilaga 1

vad som sägs i första stycket i och

tredje stycket,

4. säkerheten vid behandling i

30–32 §§,

5. överföring av personuppgifter

till tredje land i 33–35 §§,

6. personuppgiftsombud,

m.m. i

36 § andra stycket och 38–41 §§,

7. upplysningar

till allmänheten

om vissa behandlingar i 42 §,

8. tillsynsmyndighetens befogen-

heter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person-

uppgifter som inte sker i databaser

gäller

även

22 §

person-

uppgiftslagen.

4 § 2

Uppgifter får behandlas för att tillhandahålla information som behövs för

1. samordnad behandling, kontroll och analys av identifierings- uppgifter för fysiska personer och av andra folkbokföringsuppgifter,

2. handläggning av folkbokföringsärenden,

3. fullgörande av underrättelseskyldighet enligt lag eller förordning,

4. framställning av personbevis och andra registerutdrag,

5. aktualisering, komplettering och kontroll av personuppgifter,

6. uttag av urval av personuppgifter, och

7. tillsyn, kontroll, uppföljning och planering av folkbokförings- verksamheten.

Uppgifter får även behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

Uppgifter får även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Insamlade upp- gifter får även behandlas för andra ändamål, under förutsätt- ning att det nya ändamålet inte är oförenligt med insamlings- ändamålet.

6 § Känsliga personuppgifter som

anges i 13 § personuppgiftslagen (1998:204) och uppgifter om lagöverträdelser m.m. som anges i

Sådana särskilda kategorier av personuppgifter som avses i artikel 9.1 i Europaparlamentets och rådets förordning (EU) nr

2 Senaste lydelse 2016:778.

131

Prop. 2017/18:95

Bilaga 1

132

21 § samma lag får behandlas

2016/679 ( känsliga personuppgif-

endast om uppgifterna har lämnats

ter ) och uppgifter om lagöver-

i ett ärende eller är nödvändiga för

trädelser

som

innefattar

brott,

handläggningen av det.

domar

i

brottmål,

straff-

processuella

tvångsmedel

eller

administrativa

frihetsberövanden

får behandlas endast om upp-

gifterna har lämnats i ett ärende

eller är nödvändiga för hand-

läggningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

12 § 3

Skatteverket får ta ut avgifter för att lämna ut uppgifter ur databasen enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt

Rätten att ta ut avgifter får inte

första stycket får inte innebära

innebära en inskränkning i

inskränkning i rätten att ta del av

1. rätten att ta del av och mot

och mot fastställd avgift få kopia

fastställd avgift få kopia eller

eller utskrift av en allmän handling

utskrift av en allmän handling

enligt tryckfrihetsförordningen.

enligt

tryckfrihetsförordningen,

eller

2. en

registrerads rätt enligt

artikel 12.5 i Europaparlamentets

och rådets förordning (EU) nr

2016/679.

3 kap.

2 §

Information som skall lämnas enligt 26 § personuppgiftslagen (1998:204) behöver inte omfatta uppgift i en handling som avses i 2 kap. 5 §, om den enskilde har tagit del av handlingens innehåll. Om den enskilde begär det skall dock informationen även omfatta uppgift i en sådan handling.

Om informationen inte inne- håller handling som avses i första stycket, skall det av informationen framgå att handlingen behandlas i databasen.

Information som ska lämnas enligt artikel 15 i Europa- parlamentets och rådets förord- ning (EU) nr 2016/679 behöver inte omfatta uppgift i en handling som avses i 2 kap. 5 §, om den enskilde har tagit del av hand- lingens innehåll. Om den enskilde begär det ska dock informationen även omfatta uppgift i en sådan handling.

Om informationen inte inne- håller handling som avses i första stycket, ska det av informationen framgå att handlingen behandlas i databasen.

3 Senaste lydelse 2003:671.

Rättelse och skadestånd

Invändningar mot behandling

3 §

Bestämmelserna i person- uppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller anslutande författningar.

Rätten att göra invändningar enligt artikel 21.1 i Europa- parlamentets och rådets förord- ning (EU) nr 2016/679 gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

Prop. 2017/18:95

Bilaga 1

133

Bestämmelser om behandling av personuppgifter finns i Europa- parlamentets och rådets förord- ning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning). Denna lag innehåller kompletterande bestäm- melser om sådan behandling.

Prop. 2017/18:95

Bilaga 1

134

Förslag till lag om ändring i lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet

Härigenom föreskrivs i fråga om lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet 1

dels att 1 kap. 3 a §, 3 kap. 1 och 3 §§ ska upphöra att gälla, dels att nuvarande 3 kap. 3 a § ska betecknas 3 kap. 3 §,

dels att 1 kap. 2, 3 och 6 §§, 2 kap. 2, 3, 8, 9, 14, 15, 20, 20 a och 30 §§, 3 kap. 2 §, den nya 3 kap. 3 §, 3 kap. 4 § och rubriken före 1 kap. 2 § och 3 kap. 3 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 kap. 3 a §, och en ny rubrik närmast före den paragrafen.

Nuvarande lydelse

Föreslagen lydelse

1 kap.

Förhållandet till

andra bestäm- Förhållandet till annan reglering

melser

om

personuppgifts-

behandling

2 §

Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204 ).

En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag.

3 §

När personuppgifter behandlas

Även lagen

(2018:000)

med

enligt denna lag eller enligt andra

kompletterande

bestämmelser

till

föreskrifter i det ämne som regle-

EU:s dataskyddsförordning gäller

1 Senaste lydelse av lagens rubrik 2006:733 1 kap. 3 a § 2013:336 3 kap. 3 § 2008:213.

ras i lagen gäller personuppgifts-

vid behandling av personuppgifter

Prop. 2017/18:95

lagens

(1998:204)

bestämmelser

enligt denna

lag,

om

inte

annat

Bilaga 1

om

följer av denna lag eller före-

1. definitioner i 3 §,

skrifter som har meddelats i

2. förhållandet till offentlighets-

anslutning till den.

principen m.m. i 8 §,

3. grundläggande

krav

på

behandling i 9 § med undantag för

vad som sägs i första stycket i och

tredje stycket,

4. säkerheten vid

behandling i

30–32 §§,

5. överföring av personuppgifter

till tredje land i 33–35 §§,

6. personuppgiftsombud, m.m. i

36 § andra stycket och 38–41 §§,

7. upplysningar till allmänheten

om vissa behandlingar i 42 §,

8. tillsynsmyndighetens befogen-

heter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person-

uppgifter som inte sker i databaser

gäller

även

22 § personuppgifts-

lagen.

6 §

Känsliga

personuppgifter

som

Sådana

särskilda kategorier

av

anges i 13 § personuppgiftslagen

personuppgifter

som

avses

i

(1998:204)

och

uppgifter

om

artikel 9.1

i

Europaparlamentets

lagöverträdelser m.m. som anges i

och rådets förordning (EU) nr

21 § samma lag

får behandlas

2016/679 ( känsliga personupp-

endast om uppgifterna har lämnats

gifter ) och uppgifter om lag-

i ett mål eller ärende eller är

överträdelser som innefattar brott,

nödvändiga för handläggningen av

domar

i

brottmål,

straff-

det.

processuella

tvångsmedel

eller

administrativa

frihetsberövanden

får behandlas endast om upp-

gifterna har lämnats i ett ärende

eller är nödvändiga för hand-

läggningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast

om det särskilt anges i 2 kap.

2 kap.

2 § 2

Uppgifter

får behandlas i

data-

Uppgifter får behandlas i

data-

2 Senaste lydelse 2016:685.

135

Prop. 2017/18:95

Bilaga 1

136

basen för tillhandahållande av in-

basen för att

tillhandahålla

formation som behövs i Krono-

information som behövs i Krono-

fogdemyndighetens och Skatte-

fogdemyndighetens

och Skatte-

verkets verksamhet för

verkets verksamhet för

1. verkställighet eller annan åtgärd som särskilt åligger Kronofogde- myndigheten enligt utsökningsbalken eller annan författning,

2. indrivning av statliga fordringar m.m.,

3. avräkning vid återbetalning av skatter och avgifter,

4. ansökan om och tillsyn över näringsförbud,

5. förebyggande av överskuldsättning och information om skuld- sanering och F-skuldsanering,

6. fullgörande av ett åliggande som följer av ett för Sverige bindande internationellt åtagande, och

7. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som får behandlas

enligt första stycket får även behandlas i databasen för till- handahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F- skuldsanering.

3 § 3

Uppgifter får behandlas i data-

Uppgifter som behandlas enligt

basen för att tillhandahålla infor-

2 § får även behandlas i databasen

mation som behövs i författnings-

för att tillhandahålla information

reglerad verksamhet hos någon

som behövs i författningsreglerad

annan än Kronofogdemyndigheten

verksamhet hos någon annan än

för

Kronofogdemyndigheten för

1. avräkning vid återbetalning av skatter och avgifter,

2. kvittning vid utbetalning av bidrag,

3. planering, samordning och uppföljning av revision och annan kontrollverksamhet vid beskattning och tulltaxering,

4. utredningar vid bestämmande och betalning av skatter, tullar och avgifter,

5. ärenden om ansvar för någon annans skatter och avgifter, och

6. kontroll och tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning.

Uppgifter som behandlas enligt

2 § får även behandlas i databasen

för att tillhandahålla information

som behövs i Kronofogdemyndig-

hetens verksamhet för handlägg-

ning av ärenden om skuldsanering

och F-skuldsanering.

Uppgifter får även behandlas i

Uppgifter som behandlas enligt

3 Senaste lydelse 2016:779.

databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna upp- gifterna följer av lag eller förordning.

2 § får även behandlas i databasen

Prop. 2017/18:95

för att fullgöra uppgiftslämnande

Bilaga 1

som sker i överensstämmelse med

lag eller förordning.

Uppgifter som behandlas enligt

2 § får även behandlas för andra

ändamål, under förutsättning att

ändamålet inte är oförenligt med

det ändamål för vilket uppgifterna

samlades in.

8 § 4

Uppgifter får behandlas i data-

Uppgifter får behandlas i data-

basen för

tillhandahållande

av

basen för

att

tillhandahålla

information

som

behövs

i

information

som

behövs

i

Kronofogdemyndighetens

verk-

Kronofogdemyndighetens

verk-

samhet för

samhet för

1. handläggningen av mål om betalningsföreläggande, handräckning eller europeiskt betalningsföreläggande,

2. tillhandahållande av utslag i mål om betalningsföreläggande och handräckning samt verkställighetsförklaring i mål om europeiskt betalningsföreläggande,

3. förebyggande av överskuldsättning och information om skuld- sanering och F-skuldsanering, och

4. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som får behandlas

enligt första stycket får även behandlas i databasen för till- handahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F- skuldsanering.

9 § 5

Uppgifter får behandlas i data-

Uppgifter som behandlas enligt

basen för

att

tillhandahålla

8 § får även behandlas i databasen

information som behövs i författ-

för

att tillhandahålla information

ningsreglerad

verksamhet

hos

som behövs i

författningsreglerad

någon annan än Kronofogde-

verksamhet hos någon annan än

myndigheten

för

tillsyn

samt

Kronofogdemyndigheten för till-

lämplighets- och tillståndspröv-

syn

samt

lämplighets-

och

ning och annan liknande prövning.

tillståndsprövning

och

annan

liknande prövning.

Uppgifter som behandlas enligt

4 Senaste lydelse 2016:685.

5 Senaste lydelse 2016:685.

137

Prop. 2017/18:95

Bilaga 1

138

Uppgifter får även behandlas i databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna upp- gifterna följer av lag eller förordning.

8 § får även behandlas i databasen för att tillhandahålla information som behövs i Kronofogde- myndighetens verksamhet för handläggning av ärenden om skuldsanering och F-skuld- sanering.

Uppgifter som behandlas enligt 8 § får även behandlas i databasen för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning.

Uppgifter som behandlas enligt 8 § får även behandlas för andra ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in.

14 § 6

Uppgifter får behandlas i data-

Uppgifter får behandlas i data-

basen för tillhandahållande av in-

basen för att tillhandahålla in-

formation som behövs i Krono-

formation som behövs i Krono-

fogdemyndighetens

verksamhet

fogdemyndighetens

verksamhet

för

för

1. handläggning av ärenden om skuldsanering och F-skuldsanering,

2. förebyggande av överskuldsättning, och

3. tillsyn, kontroll, uppföljning och planering av verksamheten.

15 § 7

Uppgifter får behandlas i data-

Uppgifter som behandlas enligt

basen för att tillhandahålla infor-

14 § får även behandlas i data-

mation som behövs i författnings-

basen för att tillhandahålla infor-

reglerad

verksamhet hos

någon

mation som behövs i författnings-

annan än Kronofogdemyndigheten

reglerad verksamhet

hos

någon

för tillsyn samt lämplighets- och

annan än Kronofogdemyndigheten

tillståndsprövning

och

annan

för tillsyn samt lämplighets- och

liknande prövning.

tillståndsprövning

och

annan

liknande prövning.

Uppgifter får även behandlas i

Uppgifter som behandlas enligt

databasen

för att

tillhandahålla

14 § får även behandlas i data-

information i den utsträckning som

basen för att fullgöra uppgifts-

en skyldighet att lämna upp-

lämnande som sker i överens-

gifterna följer av lag eller

stämmelse med lag eller förord-

förordning.

ning.

6 Senaste lydelse 2016:685.

7 Senaste lydelse 2016:779.

Uppgifter som behandlas enligt 14 § får även behandlas för andra ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in.

20 § 8

Uppgifter får behandlas i data-

Uppgifter får behandlas i data-

basen för tillhandahållande av

basen för att

tillhandahålla

information som behövs i Krono-

information som behövs i Krono-

fogdemyndighetens

verksamhet

fogdemyndighetens

verksamhet

för

för

1. handläggningen av konkurstillsynsärenden och mål enligt löne- garantilagen (1992:497),

2. förebyggande av överskuldsättning och information om skuld- sanering och F-skuldsanering, och

3. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som får behandlas en-

ligt första stycket får även behandlas i databasen för till- handahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F- skuldsanering.

20 a § 9

Uppgifter får utöver det som anges i 20 § behandlas i databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

Uppgifter som behandlas enligt 20 § får även behandlas i databasen för att tillhandahålla information som behövs i Krono- fogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F-skuld- sanering.

Uppgifter som behandlas enligt 20 § får även behandlas i data- basen för att fullgöra upp- giftslämnande som sker i överensstämmelse med lag eller förordning.

Uppgifter som behandlas enligt 20 § får även behandlas för andra ändamål, under förutsättning att ändamålet inte är oförenligt med

8 Senaste lydelse 2016:685.

9 Senaste lydelse 2016:779.

Prop. 2017/18:95

Bilaga 1

139

Prop. 2017/18:95

Bilaga 1

140

det ändamål för vilket uppgifterna samlades in.

30 § 10

Kronofogdemyndigheten får ta ut avgifter för att lämna ut uppgifter ur en databas enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt

Rätten att ta ut avgifter får inte

första stycket får inte innebära

innebära en inskränkning i

inskränkning i rätten att ta del av

1. rätten att ta del av och mot

och mot fastställd avgift få kopia

fastställd avgift få kopia eller

eller utskrift av allmän handling

utskrift av en allmän handling

enligt tryckfrihetsförordningen.

enligt

tryckfrihetsförordningen ,

eller

2. en

registrerads rätt enligt

artikel 12.5 i Europaparlamentets

och rådets förordning (EU) nr

2016/679.

3 kap.

2 §

Information som skall lämnas enligt 26 § personuppgiftslagen (1998:204) behöver inte omfatta uppgift i en handling som avses i 2 kap. 24 §, om den enskilde har tagit del av handlingens innehåll. Om den enskilde begär det skall dock informationen även omfatta uppgift i en sådan handling.

Om informationen inte inne- håller handling som avses i första stycket skall det av informationen framgå att handlingen behandlas i databasen.

Information som ska lämnas enligt artikel 15 i Europa- parlamentets och rådets förord- ning (EU) nr 2016/679 behöver inte omfatta uppgift i en handling som avses i 2 kap. 24 §, om den enskilde har tagit del av handlingens innehåll. Om den en- skilde begär det ska dock infor- mationen även omfatta uppgift i en sådan handling.

Om informationen inte inne- håller handling som avses i första stycket , ska det av informationen framgå att handlingen behandlas i databasen.

Rättelse och skadestånd

Rättelse

3 § 11

Kronofogdemyndigheten ska på begäran av den registrerade snarast rätta, blockera eller utplåna sådana uppgifter som

1. inte har behandlats i enlighet med denna lag eller anslutande författningar, eller

2. är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser.

10 Senaste lydelse 2006:733.

11 Senaste lydelse av tidigare 3 a § 2008:213.

Om uppgifterna lämnats ut till tredje man, ska Kronofogde- Prop. 2017/18:95 myndigheten underrätta denne om åtgärd enligt första stycket, om den Bilaga 1 registrerade begär det eller om mera betydande skada eller olägenhet för

den registrerade kan undvikas på detta sätt. Någon underrättelse behöver dock inte lämnas, om detta skulle innebära en oproportionerligt stor arbetsinsats.

I fråga om personuppgifter finns bestämmelser om rättelse m.m. också i Europaparlamentets och rådets förordning (EU) nr 2016/679.

Invändningar mot behandling

3 a §

Rätten att göra invändningar enligt artikel 21.1 i Europa- parlamentets och rådets förord- ning (EU) nr 2016/679 gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

4 §

En myndighets beslut om rättelse och om information som skall lämnas enligt 26 § person- uppgiftslagen (1998:204) får över- klagas hos allmän förvalt- ningsdomstol. Andra beslut enligt denna lag får inte överklagas.

Bestämmelser om att vissa beslut får överklagas finns i lagen (2018:000) med kompletterande bestämmelser till EU:s data- skyddsförordning.

Utöver de beslut som får över- klagas enligt de bestämmelser som avses i första stycket får beslut om rättelse enligt 3 kap. 3 § första stycket 2 denna lag överklagas till allmän förvaltningsdomstol.

Prövningstillstånd krävs vid överklagande till kammarrätten.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

141

Bestämmelser om behandling av personuppgifter finns i Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning). Denna lag innehåller kompletterande bestäm- melser om sådan behandling.

Prop. 2017/18:95

Bilaga 1

142

Förslag till lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

Härigenom föreskrivs i fråga om lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

dels att 3 kap. 1 och 4 §§ och rubriken närmast före 3 kap. 4 § ska upphöra att gälla,

dels att 1 kap. 2–4, 5 och 7 §§, 2 kap. 11 §, 3 kap. 2 och 3 §§ och rubrikerna närmast före 1 kap. 2 § och 3 kap. 3 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1 kap.

Förhållandet till

personuppgifts- Förhållandet till annan reglering

lagen

2 §

Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204).

En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag.

3 §

När personuppgifter behandlas enligt denna lag eller enligt andra föreskrifter som meddelats med stöd av lagen gäller person- uppgiftslagens (1998:204) bestäm- melser om

1. definitioner i 3 §,

2. förhållandet till offentlighets- principen m.m. i 8 §,

3. grundläggande krav på be- handling i 9 §, med undantag för vad som sägs i första stycket i och tredje stycket,

4. säkerheten vid behandling i

Även lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller före- skrifter som har meddelats i anslutning till den.

Uppgifter som behandlas enligt 4 § får även behandlas för att tillhandahålla information som behövs i författningsreglerad verk- samhet hos någon annan än Tullverket för

30–32 §§,

Prop. 2017/18:95

5. överföring av personuppgifter

Bilaga 1

till tredje land i 33–35 §§,

6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§,

7. upplysningar till allmänheten om vissa behandlingar i 42 §,

8. tillsynsmyndighetens befogenheter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person- uppgifter som inte sker i databasen gäller även 22 § personuppgifts- lagen.

4 § 1

Uppgifter får

behandlas för

Uppgifter får behandlas för att

tillhandahållande

av information

tillhandahålla information som

som behövs hos Tullverket för

behövs hos Tullverket för

1. bestämmande, redovisning, betalning och återbetalning av tull, annan skatt och avgifter,

2. övervakning, revision och annan analys- eller kontrollverksamhet,

3. fullgörande av ett åliggande som följer av ett för Sverige bindande internationellt åtagande, och

4. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som behandlas enligt

första stycket får även behandlas för tillhandahållande av informa- tion som behövs i Tullverkets brottsbekämpande verksamhet en- ligt 2 kap. 5 § tullbrottsdatalagen (2017:447).

5 § 2 Uppgifter får behandlas för att

tillhandahålla information som behövs i författningsreglerad verk- samhet hos någon annan än Tullverket för

1. fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av skatter eller avgifter,

2. revision och annan analys- eller kontrollverksamhet,

3. tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning, och

4. utsökning och indrivning.

1 Senaste lydelse 2017:449.

2 Senaste lydelse 2016:780.

143

Prop. 2017/18:95

Bilaga 1

144

Uppgifter får även behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

Uppgifter som behandlas enligt 4 § får även behandlas för till- handahållande av information som behövs i Tullverkets brottsbe- kämpande verksamhet enligt 2 kap. 5 § tullbrottsdatalagen (2017:447).

Uppgifter som behandlas enligt 4 § får även behandlas för att full- göra uppgiftslämnande som sker i överensstämmelse med lag eller förordning.

Uppgifter som behandlas enligt 4 § får även behandlas för andra ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in.

7 §

Känsliga

personuppgifter

som

Sådana särskilda

kategorier av

anges i 13 § personuppgiftslagen

personuppgifter som avses i artikel

(1998:204)

och

uppgifter

om

9.1 i

Europaparlamentets

och

lagöverträdelser m.m. som anges i

rådets

förordning

(EU)

nr

21 § samma lag

får behandlas

2016/679 ( känsliga personupp-

endast om uppgifterna har lämnats

gifter ) och uppgifter om lagöver-

i ett ärende eller är nödvändiga för

trädelser

som

innefattar

brott,

handläggningen av det.

domar

i

brottmål,

straff-

processuella

tvångsmedel

eller

administrativa

frihetsberövanden

får behandlas endast om upp-

gifterna har lämnats i ett ärende

eller är nödvändiga för handlägg-

ningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

11 §

Tullverket får ta ut avgifter för att lämna ut uppgifter ur databasen enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt

Rätten att ta ut avgifter får inte

första stycket får inte innebära

innebära en inskränkning i

inskränkning i rätten att ta del av

1. rätten att ta del av och mot

och mot fastställd avgift få kopia

fastställd avgift få kopia eller ut-

eller utskrift av allmän handling

skrift av en allmän handling enligt

enligt tryckfrihetsförordningen.

tryckfrihetsförordningen , eller

2. en registrerads rätt enligt

artikel 12.5 i Europaparlamentets

och rådets förordning (EU) nr

2016/679.

3 kap.

2 §

Information som skall lämnas enligt 26 § personuppgiftslagen (1998:204) behöver inte omfatta uppgift i en handling som avses i 2 kap. 4 §, om den enskilde har tagit del av handlingens innehåll. Om den enskilde begär det skall dock informationen även omfatta uppgift i en sådan handling.

Om informationen inte inne- håller handling som avses i första stycket skall det av informationen framgå att handlingen behandlas i databasen.

Information som ska lämnas enligt artikel 15 i Europa- parlamentets och rådets förord- ning (EU) nr 2016/679 behöver inte omfatta uppgift i en handling som avses i 2 kap. 4 §, om den enskilde har tagit del av hand- lingens innehåll. Om den enskilde begär det ska dock informationen även omfatta uppgift i en sådan handling.

Om informationen inte inne- håller handling som avses i första stycket, ska det av informationen framgå att handlingen behandlas i databasen.

Rättelse och skadestånd

Invändningar mot behandling

3 §

Bestämmelserna i

personupp-

Rätten att göra invändningar

giftslagen (1998:204)

om rättelse

enligt artikel 21.1 i Europa-

och skadestånd gäller vid be-

parlamentets och rådets för-

handling av personuppgifter enligt

ordning (EU) nr 2016/679 gäller

denna lag eller

anslutande

inte vid sådan behandling som är

författningar.

tillåten enligt denna lag eller före-

skrifter som har meddelats i

anslutning till den.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

Prop. 2017/18:95

Bilaga 1

145

Prop. 2017/18:95

Bilaga 1

146

Förslag till lag om ändring i lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter

Härigenom föreskrivs i fråga om lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och boupptecknings- verksamheter

dels att 3 § ska upphöra att gälla,

dels att 4, 6, 7 och 10 §§ och rubrikerna närmast före 4 och 10 §§ ska

ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

Förhållandet till personuppgifts-

Förhållandet till annan reglering

lagen

4 §

Vid behandling av person- uppgifter som omfattas av denna lag gäller personuppgiftslagen (1998:204) , om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen .

Bestämmelser om behandling av personuppgifter finns i Europa- parlamentets och rådets för- ordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning). Denna lag innehåller kompletterande bestäm- melser om sådan behandling.

Även lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller före- skrifter som har meddelats i anslutning till den .

6 §

Personuppgifter får behandlas om det behövs i Skatteverkets

äktenskapsregister- och bouppteckningsverksamheter.

Personuppgifter som behandlas

Personuppgifter

som behandlas

enligt första stycket får också

enligt första stycket får också

behandlas om det behövs för att

behandlas om det behövs för att

fullgöra uppgiftslämnande som

fullgöra

uppgiftslämnande

som

sker i överensstämmelse med lag

sker i överensstämmelse med lag

eller förordning. I övrigt gäller 9 §

eller förordning.

Uppgifter som

första stycket d och andra stycket

behandlas enligt första stycket får

personuppgiftslagen (1998:204).

även

behandlas

för

andra

ändamål,

under förutsättning

att

Prop. 2017/18:95

ändamålet inte är oförenligt med

Bilaga 1

det ändamål för vilket uppgifterna

samlades in.

7 §

Känsliga personuppgifter

som

Sådana

särskilda

kategorier

av

anges i 13 § personuppgiftslagen

personuppgifter som avses i artikel

(1998:204) får behandlas i en

9.1 i

Europaparlamentets och

handling som har lämnats i ett

rådets

förordning

(EU)

nr

ärende. Sådana

uppgifter

får

2016/679 ( känsliga personupp-

behandlas även i en handling som

gifter ) får behandlas i en handling

har upprättats i ett ärende, om de

som har lämnats i ett ärende.

är nödvändiga för ärendets hand-

Sådana

uppgifter får behandlas

läggning.

även i en handling som har

upprättats i ett ärende, om de är

nödvändiga för ärendets hand-

läggning.

Rättelse och skadestånd

Invändningar mot behandling

10 §

Bestämmelserna

i

person-

Rätten

att göra

invändningar

uppgiftslagen

(1998:204)

om

enligt artikel 21.1 i Europa-

rättelse och

skadestånd

tillämpas

parlamentets och rådets förord-

också vid behandling av person-

ning (EU) nr 2016/679 gäller inte

uppgifter i strid med denna lag.

vid sådan behandling som är

tillåten enligt denna lag eller

föreskrifter som har meddelats i

anslutning till den.

Denna lag träder i kraft den 25 maj 2018.

147

Prop. 2017/18:95

Bilaga 1

148

Förslag till lag om ändring i lagen (2015:899) om identitetskort för folkbokförda i Sverige

Härigenom föreskrivs i fråga om lagen (2015:899) om identitetskort för folkbokförda i Sverige

dels att 9 § ska upphöra att gälla,

dels att 10, 12, 13, 17 och 18 §§ och rubriken närmast före 10 och 18 §§ ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

Förhållandet till

personuppgifts- Förhållandet till annan reglering

lagen

10 §

Vid behandling av person- uppgifter i databasen gäller personuppgiftslagen (1998:204) om inte annat följer av denna lag eller föreskrifter som har med- delats i anslutning till lagen .

Bestämmelser om behandling av personuppgifter finns i Europa- parlamentets och rådets förord- ning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning). Denna lag innehåller kompletterande bestäm- melser om sådan behandling.

Även lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag , om inte annat följer av denna lag eller före- skrifter som har meddelats i anslutning till den .

12 §

Personuppgifter får behandlas i databasen om det behövs i den utfärdande myndighetens verksamhet för utfärdande av identitetskort.

Personuppgifter som behandlas

Personuppgifter

som behandlas

enligt första stycket får också

enligt första stycket får också

behandlas om det behövs för att

behandlas om det behövs för att

fullgöra uppgiftsutlämnande som

fullgöra uppgiftsutlämnande

som

sker i överensstämmelse med lag

sker i överensstämmelse med lag

eller förordning. I övrigt gäller 9 §

eller

förordning.

Uppgifter

som

första stycket d och andra stycket

behandlas enligt första stycket får

personuppgiftslagen (1998:204).

även

behandlas

för

andra

ändamål, under förutsättning

att

ändamålet inte är oförenligt med

Rätten att göra invändningar enligt artikel 21.1 i Europa- parlamentets och rådets förord- ning (EU) nr 2016/679 gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till den .

Känsliga personuppgifter som avses i 13 § och uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden får inte användas som sökbegrepp.

Invändningar mot behandling

det ändamål för vilket uppgifterna

Prop. 2017/18:95

samlades in.

Bilaga 1

13 §

Känsliga personuppgifter

som

Sådana särskilda

kategorier av

anges i 13 § personuppgiftslagen

personuppgifter som avses i artikel

(1998:204) får behandlas i en

9.1 i

Europaparlamentets

och

handling som har lämnats i ett

rådets

förordning

(EU)

nr

ärende. Sådana uppgifter

får

2016/679 ( känsliga personuppgif-

behandlas även i en handling som

ter ) får behandlas i en handling

har upprättats i ett ärende, om de

som har lämnats i ett ärende.

är nödvändiga för ärendets hand-

Sådana

uppgifter

får

behandlas

läggning.

även i en handling som har upp-

rättats i ett ärende, om de är

nödvändiga för ärendets hand-

läggning.

17 §

Ansiktsbilden enligt 2 § 1 och 14 § får inte användas vid sökning med hjälp av automatiserad behandling.

Känsliga personuppgifter som avses i 13 § och uppgifter om lagöverträdelser som avses i 21 § personuppgiftslagen (1998:204) får inte användas som sökbegrepp.

Rättelse och skadestånd

18 §

Bestämmelserna i person- uppgiftslagen (1998:204) om rättelse och skadestånd tillämpas också vid behandling av person- uppgifter i strid med denna lag eller föreskrifter som har med- delats i anslutning till lagen .

Denna lag träder i kraft den 25 maj 2018.

149

Prop. 2017/18:95

Bilaga 2

150

Förteckning över remissinstanserna

Efter remiss har yttranden inkommit från Södertörns tingsrätt, Kammar- rätten i Göteborg, Förvaltningsrätten i Stockholm, Justitiekanslern, Domstolsverket, Åklagarmyndigheten, Ekobrottsmyndigheten, Polis- myndigheten, Kriminalvården, Kustbevakningen, Datainspektionen, Försäkringskassan, Tullverket, Skatteverket, Kronofogdemyndigheten, Statistiska centralbyrån, Transportstyrelsen, Riksarkivet, Svenska bankföreningen, Svenskt näringsliv, Sveriges advokatsamfund, Svensk inkasso och UC AB.

Yttranden har också inkommit från Bisnode AB, Svensk Försäkring och dataskydd.net.

Riksdagens ombudsmän, Uppsala universitet, Regelrådet och Sveriges Akademikers Centralorganisation (Saco) har avstått från att yttra sig.

Yttranden har inte kommit in från Swedish Direct Marketing Association (SWEDMA) och Tjänstemännens centralorganisation (TCO).

Lagrådsremissens lagförslag

Förslag till lag om ändring i lagen (1998:527) om det statliga personadressregistret

Härigenom föreskrivs i fråga om lagen (1998:527) om det statliga personadressregistret

dels att 9 § ska upphöra att gälla,

dels att rubriken närmast före 9 § ska utgå, dels att 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 a §, och närmast före 3 a § en ny rubrik av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

2 §

När personuppgifter behandlas i SPAR gäller personuppgiftslagen (1998:204), om inte avvikande bestämmelser meddelas i denna lag. De beteckningar som används i denna lag har samma betydelse som i 3 § personuppgiftslagen.

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Rätten att göra invändningar

3 a §

Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Bestämmelser om rätten att göra

Prop. 2017/18:95

Bilaga 3

151

Prop. 2017/18:95

Bilaga 3

152

invändningar mot behandling för direkt marknadsföring finns i artikel 21.2 i samma förordning.

Denna lag träder i kraft den 25 maj 2018.

Förslag till lag om ändring i lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet

Härigenom föreskrivs i fråga om lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet 1

dels att 3 kap. 1, 2, 3 och 4 §§ ska upphöra att gälla,

dels att rubrikerna närmast före 3 kap. 3 och 4 §§ ska utgå,

dels att 1 kap. 2–5 och 7 §§, 2 kap. 14 §, 3 kap. 2 a § och rubriken närmast före 1 kap. 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 kap. 3 §, och närmast före 3 kap. 3 § en ny rubrik av följande lydelse.

Prop. 2017/18:95

Bilaga 3

Nuvarande lydelse

Föreslagen lydelse

1 kap.

Förhållandet till

personuppgifts- Förhållandet till annan reglering

lagen

2 §

Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204).

En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag.

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

3 § 2

När

personuppgifter behandlas

Vid behandling av person-

enligt denna lag eller enligt andra

uppgifter enligt denna lag gäller

föreskrifter i det ämne som regle-

lagen

(2018:000)

med

ras i lagen gäller personuppgifts-

kompletterande bestämmelser

till

lagens

(1998:204) bestämmelser

EU:s

dataskyddsförordning

och

1 Senaste lydelse av lagens rubrik 2003:670

3 kap. 1 § 2012:845

3 kap. 3 § 2012:845

3 kap. 4 § 2003:670.

2 Senaste lydelse 2012:845.

153

Prop. 2017/18:95

Bilaga 3

154

om

1. definitioner i 3 §,

2. förhållandet till offentlighets- principen m.m. i 8 §,

3. grundläggande krav på be- handling i 9 § med undantag för vad som sägs i första stycket i och tredje stycket,

4. säkerheten vid behandling i 30–32 §§,

5. överföring av personuppgifter till tredje land i 33–35 §§,

6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§,

7. upplysningar till allmänheten om vissa behandlingar i 42 § med

den begränsning som anges i 3 kap. 2 a § i denna lag,

8. tillsynsmyndighetens befogen- heter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person- uppgifter som inte sker i databaser gäller även 22 § personuppgifts- lagen.

föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

4 § 3

Uppgifter får

behandlas för

Uppgifter får behandlas för att

tillhandahållande

av information

tillhandahålla information som

som behövs hos Skatteverket för

behövs hos Skatteverket för

1. fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av skatter och avgifter,

2. bestämmande av pensionsgrundande inkomst,

3. fastighetstaxering,

4. revision och annan analys- eller kontrollverksamhet,

5. tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning,

6. handläggning

a) enligt lagen (2007:324) om Skatteverkets hantering av vissa borgenärsuppgifter,

b) av andra frågor om ansvar för någon annans skatter och avgifter,

c) enligt lagen (2015:912) om automatiskt utbyte av upplysningar om finansiella konton och 22 b kap. skatteförfarandelagen (2011:1244), och

d) enligt lagen (2017:182) om automatiskt utbyte av land-för-land- rapporter på skatteområdet och 33 a kap. skatteförfarandelagen.

7. fullgörande av ett åliggande som följer av ett för Sverige bindande internationellt åtagande,

3 Senaste lydelse 2017:454.

8. hantering av underrättelser från arbetsgivare om anställning av

Prop. 2017/18:95

utlänningar som avses i lagen (2013:644) om rätt till lön och annan

Bilaga 3

ersättning för arbete utfört av en utlänning som inte har rätt att vistas i

Sverige,

9. hantering av uppgifter om sjuklönekostnad, och

10. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som får behandlas enligt första stycket får även behandlas för tillhandahållande av information som behövs i Skatte- verkets verksamhet enligt lagen (1997:1024) om Skatteverkets brottsbekämpande verksamhet.

5 § 4

Uppgifter får behandlas för att

Uppgifter

som behandlas enligt

tillhandahålla

information

som

4 § får även behandlas för

behövs i författningsreglerad verk-

1. att tillhandahålla

information

samhet hos någon annan än

som behövs i författningsreglerad

Skatteverket för

verksamhet hos någon annan än

Skatteverket för

1. fastställande

av

underlag för

a) fastställande

av

underlag

för

samt redovisning,

bestämmande,

samt redovisning, bestämmande,

betalning

och

återbetalning

av

betalning

och

återbetalning

av

skatter eller avgifter,

skatter eller avgifter,

2. utsökning,

indrivning,

b) utsökning,

indrivning,

skuldsanering

och

F-skuld-

skuldsanering

och

F-skuld-

sanering,

sanering,

3. att

utgöra

underlag

för

c) att

utgöra

underlag

för

beräkning, beslut och kontroll i

beräkning, beslut och kontroll i

fråga om förmån, bidrag och andra

fråga om förmån, bidrag och andra

stöd,

stöd,

4. pensionsberäkning,

d) pensionsberäkning,

5. tillsyn

och

kontroll

samt

e) tillsyn

och

kontroll samt

lämplighets-

och

tillstånds-

lämplighets-

och

tillstånds-

prövning

och

annan

liknande

prövning

och

annan liknande

prövning, och

prövning, och

6. aktualisering

och kompletter-

f) aktualisering

och

kompletter-

ing av uppgifter om fastigheter i

ing av uppgifter om fastigheter i

andra myndigheters register .

andra myndigheters register ,

2. att tillhandahålla information som behövs i Skatteverkets brotts- bekämpande verksamhet enligt lagen (1997:1024) om Skatte- verkets brottsbekämpande verksamhet,

3. att fullgöra uppgiftslämnande

4 Senaste lydelse 2016:913.

155

Prop. 2017/18:95

Bilaga 3

156

Uppgifter får även behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

som sker i överensstämmelse med lag eller förordning, och

4. andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

7 §

Känsliga

personuppgifter

som

Personuppgifter

som

avses i

anges i 13 § personuppgiftslagen

artikel

9.1

i

EU:s

(1998:204)

och

uppgifter

om

dataskyddsförordning

( känsliga

lagöverträdelser m.m. som anges i

personuppgifter ) och uppgifter om

21 § samma lag

får behandlas

lagöverträdelser

som

innefattar

endast om uppgifterna har lämnats

brott,

domar

i

brottmål,

i ett ärende eller är nödvändiga för

straffprocessuella

tvångsmedel

handläggningen av det.

eller

administrativa

frihets-

berövanden får behandlas endast

om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

14 § 5

Skatteverket får ta ut avgifter för att lämna ut uppgifter ur databasen

enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt

Rätten att ta ut avgifter får inte

första stycket får inte innebära

innebära en inskränkning i

inskränkning i rätten att ta del av

1. rätten att ta del av och mot

och mot fastställd avgift få kopia

fastställd avgift få kopia eller

eller utskrift av en allmän handling

utskrift av en allmän handling en-

enligt tryckfrihetsförordningen.

ligt tryckfrihetsförordningen , eller

2. en

registrerads

rätt

enligt

artikel 12.5 i EU:s

dataskydds-

förordning.

3 kap.

2 a § 6

Vid behandling av person-

Vid

behandling

av

person-

5 Senaste lydelse 2003:670.

6 Senaste lydelse 2012:845.

uppgifter på grund av samarbete enligt lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning tillämpas inte 23, 25, 26, 28 och 42 §§ personuppgifts- lagen (1998:204) om sådana begränsningar är nödvändiga med hänsyn till ett intresse som anges i 8 a § f personuppgiftslagen .

uppgifter på grund av samarbete

Prop. 2017/18:95

enligt

lagen

(2012:843)

om

Bilaga 3

administrativt

samarbete

inom

Europeiska unionen i fråga om

beskattning ska artikel 13 och 15–

19 i

EU:s dataskyddsförordning

inte tillämpas, om sådana begräns- ningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen .

Rätten att göra invändningar

3 §

Artikel 21.1 i EU:s dataskydds-

förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

157

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

Prop. 2017/18:95

Bilaga 3

158

Förslag till lag om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet

Härigenom föreskrivs i fråga om lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet 1

dels att 3 kap. 1–4 §§ ska upphöra att gälla,

dels att rubrikerna närmast före 3 kap. 1, 3 och 4 §§ ska utgå,

dels att 1 kap. 2–4 och 6 §§, 2 kap. 12 § och rubriken närmast före 1 kap. 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 kap. 1 §, av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

Förhållandet till personuppgifts-

Förhållandet till annan reglering

lagen

1 kap.

2 §

Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204).

En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag.

3 §

När personuppgifter behandlas enligt denna lag eller enligt andra föreskrifter i det ämne som regle- ras i lagen gäller personuppgifts- lagens (1998:204) bestämmelser om

1. definitioner i 3 §,

2. förhållandet till offentlighets- principen m.m. i 8 §,

Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i

1 Senaste lydelse av lagens rubrik 2003:671.

3. grundläggande krav

på be- anslutning till lagen.

Prop. 2017/18:95

handling i 9 § med undantag för

Bilaga 3

vad som sägs i första stycket i och

tredje stycket,

4. säkerheten vid behandling i

30–32 §§,

5. överföring av personuppgifter

till tredje land i 33–35 §§,

6. personuppgiftsombud,

m.m. i

36 § andra stycket och 38–41 §§,

7. upplysningar

till allmänheten

om vissa behandlingar i 42 §,

8. tillsynsmyndighetens befogen-

heter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person-

uppgifter som inte sker i databaser

gäller

även

22 §

person-

uppgiftslagen.

4 § 2

Uppgifter får behandlas för att tillhandahålla information som behövs för

1. samordnad behandling, kontroll och analys av identifierings- uppgifter för fysiska personer och av andra folkbokföringsuppgifter,

2. handläggning av folkbokföringsärenden,

3. fullgörande av underrättelseskyldighet enligt lag eller förordning,

4. framställning av personbevis och andra registerutdrag,

5. aktualisering, komplettering och kontroll av personuppgifter,

6. uttag av urval av personuppgifter, och

7. tillsyn, kontroll, uppföljning och planering av folkbokförings- verksamheten.

Uppgifter får även behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

Uppgifter får även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Insamlade upp- gifter får behandlas även för andra ändamål, under förutsätt- ning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

6 §

Känsliga

personuppgifter

som

Personuppgifter

som

avses i

anges i 13 § personuppgiftslagen

artikel

9.1

i

EU:s

(1998:204)

och uppgifter

om

dataskyddsförordning

( känsliga

2 Senaste lydelse 2016:778.

159

Prop. 2017/18:95

Bilaga 3

lagöverträdelser m.m. som anges i

personuppgifter ) och uppgifter om

21 § samma lag får behandlas

lagöverträdelser

som

innefattar

endast om uppgifterna har lämnats

brott,

domar

i

brottmål,

i ett ärende eller är nödvändiga för

straffprocessuella

tvångsmedel

handläggningen av det.

eller

administrativa

frihets-

berövanden får behandlas endast

om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

12 § 3

Skatteverket får ta ut avgifter för att lämna ut uppgifter ur databasen enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt

Rätten att ta ut avgifter får inte

första stycket får inte innebära

innebära en inskränkning i

inskränkning i rätten att ta del av

1. rätten att ta del av och mot

och mot fastställd avgift få kopia

fastställd avgift få kopia eller

eller utskrift av en allmän handling

utskrift av en allmän handling

enligt tryckfrihetsförordningen.

enligt

tryckfrihetsförordningen ,

eller

2. en

registrerads rätt enligt

artikel 12.5 i EU:s dataskydds-

förordning.

3 kap.

1 §

Artikel 21.1 i EU:s dataskydds-

förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

3 Senaste lydelse 2003:671.

160

Förslag till lag om ändring i lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet

Härigenom föreskrivs i fråga om lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet 1

dels att 1 kap. 3 a §, 3 kap. 1, 2 och 3 §§ ska upphöra att gälla, dels att rubrikerna närmast före 3 kap. 1 och 3 §§ ska utgå,

dels att 1 kap. 2, 3 och 6 §§, 2 kap. 2, 3, 8, 9, 14, 15, 20, 20 a och 30 §§, 3 kap. 3 a och 4 §§ och rubriken närmast före 1 kap. 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 kap. 3 §, och närmast före 3 kap. 3 och 3 a §§ nya rubriker av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1 kap.

Förhållandet till

andra bestäm-

Förhållandet till annan reglering

melser

om

personuppgifts-

behandling

Prop. 2017/18:95

Bilaga 3

2 §

Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204 ).

En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag.

3 §

När personuppgifter behandlas enligt denna lag eller enligt andra föreskrifter i det ämne som regle- ras i lagen gäller personuppgifts-

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till

1 Senaste lydelse av lagens rubrik 2006:733 1 kap. 3 a § 2013:336

3 kap. 3 § 2008:213.

161

Prop. 2017/18:95

Bilaga 3

162

lagens (1998:204) bestämmelser om

1. definitioner i 3 §,

2. förhållandet till offentlighets- principen m.m. i 8 §,

3. grundläggande krav på behandling i 9 § med undantag för vad som sägs i första stycket i och tredje stycket,

4. säkerheten vid behandling i 30–32 §§,

5. överföring av personuppgifter till tredje land i 33–35 §§,

6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§,

7. upplysningar till allmänheten om vissa behandlingar i 42 §,

8. tillsynsmyndighetens befogen- heter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person- uppgifter som inte sker i databaser gäller även 22 § personuppgifts- lagen.

EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

6 §

Känsliga

personuppgifter

som

Personuppgifter

som avses i

anges i 13 § personuppgiftslagen

artikel 9.1

i

EU:s

dataskydds-

(1998:204)

och

uppgifter

om

förordning ( känsliga personupp-

lagöverträdelser m.m. som anges i

gifter )

och

uppgifter

om

21 § samma lag

får behandlas

lagöverträdelser

som

innefattar

endast om uppgifterna har lämnats

brott, domar i brottmål, straff-

i ett mål eller ärende eller är

processuella

tvångsmedel

eller

nödvändiga för handläggningen av

administrativa

frihetsberövanden

det.

får behandlas endast om upp-

gifterna har lämnats i ett ärende

eller är nödvändiga för hand-

läggningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast

om det särskilt anges i 2 kap.

2 kap.

2 § 2

Uppgifter får behandlas i data-

Uppgifter får behandlas i data-

basen för tillhandahållande av in-

basen för att

tillhandahålla

formation som behövs i Krono-

information som behövs i Krono-

fogdemyndighetens och Skatte-

fogdemyndighetens

och Skatte-

2 Senaste lydelse 2016:685.

verkets verksamhet för

verkets verksamhet för

Prop. 2017/18:95

1. verkställighet eller annan åtgärd som särskilt åligger Kronofogde-

Bilaga 3

myndigheten enligt utsökningsbalken eller annan författning,

2. indrivning av statliga fordringar m.m.,

3. avräkning vid återbetalning av skatter och avgifter,

4. ansökan om och tillsyn över näringsförbud,

5. förebyggande av överskuldsättning och information om skuld- sanering och F-skuldsanering,

6. fullgörande av ett åliggande som följer av ett för Sverige bindande internationellt åtagande, och

7. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som får behandlas

enligt första stycket får även behandlas i databasen för till- handahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F- skuldsanering.

3 § 3

Uppgifter får behandlas i data-

Uppgifter som behandlas enligt

basen för att tillhandahålla infor-

2 § får även behandlas i databasen

mation som behövs i författnings-

för

reglerad

verksamhet hos

någon

1. att tillhandahålla information

annan än Kronofogdemyndigheten

som behövs i författningsreglerad

för

verksamhet hos någon annan än

Kronofogdemyndigheten för

1. avräkning vid återbetalning av

a) avräkning

vid

återbetalning

skatter och avgifter,

av skatter och avgifter,

2. kvittning

vid

utbetalning av

b) kvittning

vid utbetalning

av

bidrag,

bidrag,

3. planering,

samordning

och

c) planering,

samordning

och

uppföljning av revision och annan

uppföljning av revision och annan

kontrollverksamhet

vid

beskatt-

kontrollverksamhet

vid

beskatt-

ning och tulltaxering,

ning och tulltaxering,

4. utredningar vid bestämmande

d) utredningar vid bestämmande

och betalning av skatter, tullar och

och betalning av skatter, tullar och

avgifter,

avgifter,

5. ärenden om ansvar för någon

e) ärenden om ansvar för någon

annans skatter och avgifter, och

annans skatter och avgifter, och

6. kontroll

och

tillsyn

samt

f) kontroll

och

tillsyn samt

lämplighets-

och

tillstånds-

lämplighets-

och

tillstånds-

prövning

och annan

liknande

prövning och annan

liknande

prövning .

prövning ,

2. att tillhandahålla information

som behövs i Kronofogdemyndig-

3 Senaste lydelse 2016:779.

163

Prop. 2017/18:95

Bilaga 3

164

Uppgifter får även behandlas i databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna upp- gifterna följer av lag eller förordning.

hetens verksamhet för handläggning av ärenden om skuldsanering och F-skuld- sanering,

3. att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, och

4. andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

8 § 4

Uppgifter får behandlas i data-

Uppgifter får behandlas i data-

basen för

tillhandahållande

av

basen för

att

tillhandahålla

information

som

behövs

i

information

som

behövs

i

Kronofogdemyndighetens

verk-

Kronofogdemyndighetens

verk-

samhet för

samhet för

1. handläggningen av mål om betalningsföreläggande, handräckning eller europeiskt betalningsföreläggande,

2. tillhandahållande av utslag i mål om betalningsföreläggande och handräckning samt verkställighetsförklaring i mål om europeiskt betalningsföreläggande,

3. förebyggande av överskuldsättning och information om skuld- sanering och F-skuldsanering, och

4. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som får behandlas

enligt första stycket får även behandlas i databasen för till- handahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F- skuldsanering.

9 § 5

Uppgifter

får behandlas

i data-

Uppgifter som behandlas enligt

basen för

att tillhandahålla

8 § får även behandlas i databasen

information

som behövs i

författ-

för

4 Senaste lydelse 2016:685.

5 Senaste lydelse 2016:779.

ningsreglerad

verksamhet

hos

1. att tillhandahålla information

Prop. 2017/18:95

någon annan än Kronofogde-

som behövs i författningsreglerad

Bilaga 3

myndigheten

för tillsyn

samt

verksamhet hos någon annan än

lämplighets- och tillståndspröv-

Kronofogdemyndigheten för till-

ning och annan liknande prövning.

syn

samt

lämplighets-

och

tillståndsprövning

och

annan

liknande prövning ,

2. att tillhandahålla information som behövs i Kronofogde- myndighetens verksamhet för handläggning av ärenden om skuldsanering och F-skuld- sanering,

3. att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, och

4. andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

Uppgifter får även behandlas i databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna upp- gifterna följer av lag eller förordning.

14 § 6

Uppgifter får behandlas i data-

Uppgifter får behandlas i data-

basen för tillhandahållande av in-

basen för att tillhandahålla in-

formation som behövs i Krono-

formation som behövs i Krono-

fogdemyndighetens

verksamhet

fogdemyndighetens

verksamhet

för

för

1. handläggning av ärenden om skuldsanering och F-skuldsanering,

2. förebyggande av överskuldsättning, och

3. tillsyn, kontroll, uppföljning och planering av verksamheten.

15 § 7

Uppgifter får behandlas i data-

Uppgifter

som behandlas enligt

basen för att tillhandahålla infor-

14 §

får

även behandlas

i

mation som behövs i författnings-

databasen för

reglerad verksamhet

hos

någon

1. att

tillhandahålla information

annan än Kronofogdemyndigheten

som behövs i författningsreglerad

för tillsyn samt lämplighets- och

verksamhet hos någon annan än

tillståndsprövning

och

annan

Kronofogdemyndigheten

för

6 Senaste lydelse 2016:685.

7 Senaste lydelse 2016:779.

165

Uppgifter som behandlas enligt 20 § får även behandlas i databasen för

1. att tillhandahålla information som behövs i Kronofogdemyndig- hetens verksamhet för handlägg- ning av ärenden om skuldsanering

Prop. 2017/18:95

Bilaga 3

166

liknande prövning.

Uppgifter får även behandlas i databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna upp- gifterna följer av lag eller förordning.

tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning ,

2. att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, och

3. andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

20 § 8

Uppgifter får behandlas i data-

Uppgifter får behandlas i data-

basen för tillhandahållande av

basen för att

tillhandahålla

information som behövs i Krono-

information som behövs i Krono-

fogdemyndighetens

verksamhet

fogdemyndighetens

verksamhet

för

för

1. handläggningen av konkurstillsynsärenden och mål enligt löne- garantilagen (1992:497),

2. förebyggande av överskuldsättning och information om skuld- sanering och F-skuldsanering, och

3. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som får behandlas en-

ligt första stycket får även behandlas i databasen för till- handahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F- skuldsanering.

20 a § 9

Uppgifter får utöver det som anges i 20 § behandlas i databasen för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

8 Senaste lydelse 2016:685.

9 Senaste lydelse 2016:779.

och F-skuldsanering,

Prop. 2017/18:95

2. att fullgöra uppgiftslämnande

Bilaga 3

som sker i överensstämmelse med

lag eller förordning, och

3. andra

ändamål,

under

förutsättning

att uppgifterna inte

behandlas på ett sätt som är

oförenligt med det ändamål för

vilket uppgifterna samlades in.

30 § 10

Kronofogdemyndigheten får ta ut avgifter för att lämna ut uppgifter ur

en databas enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt

Rätten att ta ut avgifter får inte

första stycket får inte innebära

innebära en inskränkning i

inskränkning i rätten att ta del av

1. rätten att ta del av och mot

och mot fastställd avgift få kopia

fastställd avgift få kopia eller

eller utskrift av allmän handling

utskrift av en allmän handling

enligt tryckfrihetsförordningen.

enligt

tryckfrihetsförordningen ,

eller

2. en

registrerads rätt

enligt

artikel 12.5 i EU:s dataskydds-

förordning.

3 kap.

Rätten att göra invändningar

3 §

Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Rättelse

3 a § 11

Kronofogdemyndigheten ska på begäran av den registrerade snarast rätta, blockera eller utplåna sådana uppgifter som

1. inte har behandlats i enlighet med denna lag eller anslutande författningar, eller

2. är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser.

10 Senaste lydelse 2006:733.

11 Senaste lydelse 2008:213.

167

Prop. 2017/18:95

Bilaga 3

Om uppgifterna lämnats ut till tredje man, ska Kronofogde- myndigheten underrätta denne om åtgärd enligt första stycket, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade kan undvikas på detta sätt. Någon underrättelse behöver dock inte lämnas, om detta skulle innebära en oproportionerligt stor arbetsinsats.

I fråga om personuppgifter finns bestämmelser om rättelse m.m. också i EU:s dataskydds- förordning.

4 §

En

myndighets

beslut

om

Beslut

om rättelse enligt

3 a §

rättelse och om

information

första

stycket får överklagas

till

som skall lämnas enligt 26 §

allmän förvaltningsdomstol .

personuppgiftslagen

(1998:204) får överklagas

hos

allmän

förvaltningsdomstol.

Andra beslut enligt denna lag får inte överklagas.

Prövningstillstånd krävs vid överklagande till kammarrätten.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

168

Förslag till lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

Härigenom föreskrivs i fråga om lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

dels att 3 kap. 1–4 §§ ska upphöra att gälla,

dels att rubrikerna närmast före 3 kap. 1, 3 och 4 §§ ska utgå,

dels att 1 kap. 2–5 och 7 §§, 2 kap. 11 § och rubriken närmast före 1 kap. 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 3 kap. 1 §, av följande lydelse.

Prop. 2017/18:95

Bilaga 3

Nuvarande lydelse

Föreslagen lydelse

1 kap.

Förhållandet till

personuppgifts- Förhållandet till annan reglering

lagen

2 §

Om inte annat anges i 3 § eller 3 kap. gäller denna lag i stället för personuppgiftslagen (1998:204).

En registrerad har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag.

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

3 § 1

När personuppgifter behandlas

Vid behandling av person-

enligt denna lag eller enligt andra

uppgifter enligt denna lag gäller

föreskrifter som

meddelats

med

lagen

(2018:000)

med

stöd av lagen gäller person-

kompletterande bestämmelser

till

uppgiftslagens (1998:204) bestäm-

EU:s

dataskyddsförordning

och

melser om

föreskrifter som har meddelats i

1. definitioner i 3 §,

anslutning till den lagen, om inte

2. förhållandet

till

offentlighets-

annat följer av denna lag eller

principen m.m. i 8 §,

föreskrifter som har meddelats i

3. grundläggande

krav på

be-

anslutning till lagen.

handling i 9 §, med undantag för

1 Senaste lydelse 2005:790.

169

Uppgifter som behandlas enligt 4 § får även behandlas för

1. att tillhandahålla information som behövs i författningsreglerad verksamhet hos någon annan än Tullverket för

a) fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av

Prop. 2017/18:95

Bilaga 3

vad som sägs i första stycket i och tredje stycket,

4. säkerheten vid behandling i 30–32 §§,

5. överföring av personuppgifter till tredje land i 33–35 §§,

6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§,

7. upplysningar till allmänheten om vissa behandlingar i 42 §,

8. tillsynsmyndighetens befogenheter i 43 och 47 §§, och

9. straff i 49 §.

Vid behandling av person- uppgifter som inte sker i databasen gäller även 22 § personuppgifts- lagen.

4 § 2

Uppgifter får

behandlas för

Uppgifter får behandlas för att

tillhandahållande

av information

tillhandahålla information som

som behövs hos Tullverket för

behövs hos Tullverket för

1. bestämmande, redovisning, betalning och återbetalning av tull, annan skatt och avgifter,

2. övervakning, revision och annan analys- eller kontrollverksamhet,

3. fullgörande av ett åliggande som följer av ett för Sverige bindande internationellt åtagande, och

4. tillsyn, kontroll, uppföljning och planering av verksamheten.

Uppgifter som behandlas enligt

första stycket får även behandlas för tillhandahållande av informa- tion som behövs i Tullverkets brottsbekämpande verksamhet en- ligt 2 kap. 5 § tullbrottsdatalagen (2017:447).

5 § 3 Uppgifter får behandlas för att

tillhandahålla information som behövs i författningsreglerad verk- samhet hos någon annan än Tullverket för

1. fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av

2 Senaste lydelse 2017:449.

3 Senaste lydelse 2016:780.

170

Uppgifter får även behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning.

7 §

Känsliga personuppgifter som Personuppgifter som avses i anges i 13 § personuppgiftslagen artikel 9.1 i EU:s (1998:204) och uppgifter om dataskyddsförordning ( känsliga lagöverträdelser m.m. som anges i personuppgifter ) och uppgifter om 21 § samma lag får behandlas lagöverträdelser som innefattar endast om uppgifterna har lämnats brott, domar i brottmål, i ett ärende eller är nödvändiga för straffprocessuella tvångsmedel handläggningen av det. eller administrativa frihets-

berövanden får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det.

Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

11 §

Tullverket får ta ut avgifter för att lämna ut uppgifter ur databasen enligt de närmare föreskrifter som meddelas av regeringen.

Rätten att ta ut avgifter enligt Rätten att ta ut avgifter får inte första stycket får inte innebära innebära en inskränkning i inskränkning i rätten att ta del av 1. rätten att ta del av och mot och mot fastställd avgift få kopia fastställd avgift få kopia eller eller utskrift av allmän handling utskrift av en allmän handling

skatter eller avgifter,

2. revision och annan analys- eller kontrollverksamhet,

3. tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning, och

4. utsökning och indrivning.

skatter eller avgifter,

b) revision och annan analys- eller kontrollverksamhet,

c) tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning, och

d) utsökning och indrivning ,

2. att tillhandahålla information som behövs i Tullverkets brottsbe- kämpande verksamhet enligt 2 kap. 5 § tullbrottsdatalagen (2017:447),

3. att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning, och

4. andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

Prop. 2017/18:95

Bilaga 3

171

Prop. 2017/18:95

Bilaga 3

172

enligt tryckfrihetsförordningen.

enligt

tryckfrihetsförordningen ,

eller

2. en

registrerads rätt enligt

artikel 12.5 i EU:s dataskydds- förordning.

3 kap.

1 §

Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

Förslag till lag om ändring i lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter

Härigenom föreskrivs i fråga om lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och boupptecknings- verksamheter

dels att 3 och 10 §§ ska upphöra att gälla, dels att rubriken närmast före 10 § ska utgå,

dels att 4, 6 och 7 §§ och rubriken närmast före 4 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 10 §, och närmast före 10 § en ny rubrik av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

Förhållandet till personuppgifts-

Förhållandet till annan reglering

lagen

4 §

Vid behandling av person- uppgifter som omfattas av denna lag gäller personuppgiftslagen (1998:204) , om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen , om inte annat följer av denna lag eller före- skrifter som har meddelats i anslutning till lagen.

6 §

Personuppgifter får behandlas om det behövs i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter.

Personuppgifter som behandlas

Personuppgifter som behandlas

enligt första stycket får också

enligt första stycket får också

behandlas om det behövs för att

behandlas om det behövs för att

fullgöra uppgiftslämnande som

fullgöra uppgiftslämnande som

Prop. 2017/18:95

Bilaga 3

173

Rätten att göra invändningar

10 §

Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Personuppgifter som avses i artikel 9.1 i EU:s dataskydds- förordning ( känsliga person- uppgifter ) får behandlas i en handling som har lämnats i ett ärende. Sådana uppgifter får behandlas även i en handling som har upprättats i ett ärende, om de är nödvändiga för ärendets handläggning.

Prop. 2017/18:95

Bilaga 3

174

sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).

sker i överensstämmelse med lag eller förordning. Sådana uppgifter får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

7 § Känsliga personuppgifter som

anges i 13 § personuppgiftslagen (1998:204) får behandlas i en handling som har lämnats i ett ärende. Sådana uppgifter får behandlas även i en handling som har upprättats i ett ärende, om de är nödvändiga för ärendets hand- läggning.

Denna lag träder i kraft den 25 maj 2018.

Förslag till lag om ändring i lagen (2015:899) om identitetskort för folkbokförda i Sverige

Härigenom föreskrivs i fråga om lagen (2015:899) om identitetskort för folkbokförda i Sverige

dels att 9 och 18 §§ ska upphöra att gälla, dels att rubriken närmast före 18 § ska utgå,

dels att 10, 12, 13 och 17 §§ och rubriken närmast före 10 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 18 §, och närmast före 18 § en ny rubrik av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

Förhållandet till

personuppgifts- Förhållandet till annan reglering

lagen

10 §

Vid behandling av person- uppgifter i databasen gäller personuppgiftslagen (1998:204) om inte annat följer av denna lag eller föreskrifter som har med- delats i anslutning till lagen.

Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandling av person- uppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen , om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

12 §

Personuppgifter får behandlas i databasen om det behövs i den utfärdande myndighetens verksamhet för utfärdande av identitetskort.

Personuppgifter som behandlas

Personuppgifter som behandlas

enligt första stycket får också

enligt första stycket får också

behandlas om det behövs för att

behandlas om det behövs för att

fullgöra uppgiftsutlämnande som

fullgöra uppgiftsutlämnande som

sker i överensstämmelse med lag

sker i överensstämmelse med lag

eller förordning. I övrigt gäller 9 §

eller förordning. Sådana uppgifter

Prop. 2017/18:95

Bilaga 3

175

13 §

Känsliga personuppgifter som Personuppgifter som avses i anges i 13 § personuppgiftslagen artikel 9.1 i EU:s dataskydds- (1998:204) får behandlas i en förordning ( känsliga person- handling som har lämnats i ett uppgifter ) får behandlas i en ärende. Sådana uppgifter får handling som har lämnats i ett behandlas även i en handling som ärende. Sådana uppgifter får har upprättats i ett ärende, om de behandlas även i en handling som är nödvändiga för ärendets hand- har upprättats i ett ärende, om de läggning. är nödvändiga för ärendets

handläggning.

17 §

Ansiktsbilden enligt 2 § 1 och 14 § får inte användas vid sökning med hjälp av automatiserad behandling.

Känsliga personuppgifter som Känsliga personuppgifter som avses i 13 § och uppgifter om avses i 13 § och uppgifter om lagöverträdelser som avses i 21 § lagöverträdelser som innefattar personuppgiftslagen (1998:204) brott, domar i brottmål, straff- får inte användas som sökbegrepp. processuella tvångsmedel eller

administrativa frihetsberövanden får inte användas som sökbegrepp.

Rätten att göra invändningar

18 §

Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Denna lag träder i kraft den 25 maj 2018.

får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

första stycket d och andra stycket personuppgiftslagen (1998:204).

Prop. 2017/18:95

Bilaga 3

176

Lagrådets yttrande

Prop. 2017/18:95

Bilaga 4

Utdrag ur protokoll vid sammanträde 2018-01-26

Närvarande: F.d. justitieråden Gustaf Sandström och Lena Moore samt

justitierådet Anders Eka

Anpassningar av vissa författningar inom skatt, tull och

exekution till EU:s dataskyddsförordning

Enligt en lagrådsremiss den 11 januari 2018 har regeringen

(Finansdepartementet) beslutat inhämta Lagrådets yttrande över förslag

till

1. lag om ändring i lagen (1998:527) om det statliga personadress- registret,

2. lag om ändring i lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet,

3. lag om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet,

4. lag om ändring i lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet,

5. lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet,

6. lag om ändring i lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter,

7. lag om ändring i lagen (2015:899) om identitetskort för folkbokförda i Sverige.

Förslagen har inför Lagrådet föredragits av kanslirådet

Leena Mildenberger och departementssekreteraren Alf Engsbråten.

Lagrådet lämnar förslagen utan erinran.

177

Prop. 2017/18:95

178

Finansdepartementet

Utdrag ur protokoll vid regeringssammanträde den 22 februari 2018

Närvarande: statsminister Löfven, ordförande, och statsråden Lövin, Wallström, Y Johansson, Baylan, Bucht, Hultqvist, Regnér, Andersson, Hellmark Knutsson, Bolund, Bah Kuhnke, Strandhäll, Shekarabi, Fridolin, Eriksson, Linde, Skog, Ekström, Eneroth

Föredragande: statsrådet Andersson

Regeringen beslutar proposition Anpassningar av vissa författningar inom skatt, tull och exekution till EU:s dataskyddsförordning