EU:s dataskyddsförordning: Anpassade regler om personuppgiftsbehandling inom skatt, tull och exekution

Finansdepartementet

Skatte- och tullavdelningen /S3

EU:s dataskyddsförordning: Anpassade regler om personuppgiftsbehandling inom skatt, tull och exekution

Sammanfattning

Promemorian är resultatet av en översyn av författningarna på området för skatt, tull och exekution som har gjorts med anledning av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), dataskyddsförordningen. I promemorian föreslås författningsändringar som har bedömts behövliga med anledning av dataskyddsförordningen. Vidare redovisas vissa överväganden som har gjorts, där det har bedömts att dataskyddsförordningen inte kräver några ändringar och som därför inte har lett till författningsförslag. Det föreslås också vissa mindre justeringar, som inte direkt föranleds av dataskyddsförordningen. De flesta förslagen i promemorian är rena följder av eller anpassningar till dataskyddsförordningen och till att personuppgiftslagen (1998:204) kommer att upphävas. Det gäller t.ex. slopade hänvisningar till personuppgiftslagen eller slopade bestämmelser avseende sådant som regleras direkt i dataskyddsförordningen eller i den föreslagna lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (Betänkandet Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsförordning, SOU 2017:39), och att hänvisningar görs till dataskyddsförordningens definition av känsliga personuppgifter i stället för till personuppgiftslagens. Andra förslag medför inte någon ändring i förhållande till dagens reglering, t.ex. justerade bestämmelser om att rätten att göra invändningar mot behandling inte ska gälla. I promemorian görs bl.a. bedömningen att flertalet av sådana särskilda bestämmelser om myndigheternas behandling av personuppgifter som t.ex. finns i registerförfattningar kan behållas.

1 Författningsförslag

1.1 Förslag till lag om ändring i lagen (1998:527) om det statliga personadressregistret

Härigenom föreskrivs i fråga om lagen (1998:527) om det statliga personadressregistret dels att 9 § och rubriken före 9 § ska upphöra att gälla, dels att 2 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 3 a §, och närmast före 3 a § en ny rubrik av följande lydelse.

2 §

behandling av personuppgifter för direkt marknadsföring finns i artikel 21.2 i samma förordning.

Denna lag träder i kraft den 25 maj 2018.

1.2 Förslag till lag om ändring i lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet

Härigenom föreskrivs i fråga om lagen (2001:181) om behandling av 1 uppgifter i Skatteverkets beskattningsverksamhet dels att 3 kap. 1 och 4 §§ och rubriken närmast 3 kap. 4 § ska upphöra att gälla, dels att 1 kap. 2–5 och 7 §§, 2 kap. 14 §, 3 kap. 2, 2 a och 3 §§ och rubrikerna närmast före 1 kap. 2 § och 3 kap. 3 § ska ha följande lydelse.

1 kap.

2 §

3 §

Senaste lydelse av lagens rubrik 2003:670 3 kap. 1 § 2012:845 3 kap. 4 § 2003:670. Senaste lydelse 2012:845.

1. definitioner i 3 §, föreskrifter som har meddelats i 2. förhållandet till offentlighets- anslutning till den. principen m.m. i 8 §, 3. grundläggande krav på behandling i 9 § med undantag för vad som sägs i första stycket i och tredje stycket, 4. säkerheten vid behandling i 30–32 §§, 5. överföring av personuppgifter till tredje land i 33–35 §§, 6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§, 7. upplysningar till allmänheten om vissa behandlingar i 42 § med den begränsning som anges i 3 kap. 2 a § i denna lag, 8. tillsynsmyndighetens befogenheter i 43 och 47 §§, och 9. straff i 49 §. Vid behandling av personuppgifter som inte sker i databaser gäller även 22 § personuppgiftslagen.

4 § Uppgifter får behandlas för Uppgifter får behandlas för att tillhandahållande av information tillhandahålla information som som behövs hos Skatteverket för behövs hos Skatteverket för 1. fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av skatter och avgifter, 2. bestämmande av pensionsgrundande inkomst, 3. fastighetstaxering, 4. revision och annan analys- eller kontrollverksamhet, 5. tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning, 6. handläggning a) enligt lagen (2007:324) om Skatteverkets hantering av vissa borgenärsuppgifter, b) av andra frågor om ansvar för någon annans skatter och avgifter, c) enligt lagen (2015:912) om automatiskt utbyte av upplysningar om finansiella konton och 22 b kap. skatteförfarandelagen (2011:1244), och d) enligt lagen (2017:182) om automatiskt utbyte av land-för-landrapporter på skatteområdet och 33 a kap. skatteförfarandelagen. 7. fullgörande av ett åliggande som följer av ett för Sverige bindande internationellt åtagande,

Senaste lydelse 2017:454. 9

8. hantering av underrättelser från arbetsgivare om anställning av utlänningar som avses i lagen (2013:644) om rätt till lön och annan ersättning för arbete utfört av en utlänning som inte har rätt att vistas i Sverige, 9. hantering av uppgifter om sjuklönekostnad, och 10. tillsyn, kontroll, uppföljning och planering av verksamheten. Uppgifter som får behandlas enligt första stycket får även behandlas för tillhandahållande av information som behövs i Skatteverkets verksamhet enligt lagen (1997:1024) om Skatteverkets brottsbekämpande verksamhet.

5 § Uppgifter får behandlas för att Uppgifter som behandlas enligt tillhandahålla information som 4 § får även behandlas för att behövs i författningsreglerad tillhandahålla information som verksamhet hos någon annan än behövs i författningsreglerad Skatteverket för verksamhet hos någon annan än Skatteverket för 1. fastställande av underlag för samt redovisning, bestämmande, betalning och återbetalning av skatter eller avgifter, 2. utsökning, indrivning, skuldsanering och F-skuldsanering, 3. att utgöra underlag för beräkning, beslut och kontroll i fråga om förmån, bidrag och andra stöd, 4. pensionsberäkning, 5. tillsyn och kontroll samt lämplighets- och tillståndsprövning och annan liknande prövning, och 6. aktualisering och komplettering av uppgifter om fastigheter i andra myndigheters register. Uppgifter som behandlas enligt 4 § får även behandlas för att tillhandahålla information som behövs i Skatteverkets brottsbekämpande verksamhet enligt lagen (1997:1024) om Skatteverkets brottsbekämpande verksamhet. Uppgifter får även behandlas för Uppgifter som behandlas enligt att tillhandahålla information i den 4 § får även behandlas för att utsträckning som en skyldighet att fullgöra uppgiftslämnande som lämna uppgifterna följer av lag sker i överensstämmelse med lag eller förordning. eller förordning. Uppgifter som behandlas enligt 4 § får även behandlas för andra

Senaste lydelse 2016:913. 10

ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in.

7 § Känsliga personuppgifter som Sådana särskilda kategorier av anges i 13 § personuppgiftslagen personuppgifter som avses i artikel (1998:204) och uppgifter om 9.1 i Europaparlamentets och lagöverträdelser m.m. som anges i rådets förordning (EU) nr 21 § samma lag får behandlas 2016/679 ( känsliga personendast om uppgifterna har lämnats uppgifter ) och uppgifter om lagi ett ärende eller är nödvändiga för överträdelser som innefattar brott, handläggningen av det. domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

14 § Skatteverket får ta ut avgifter för att lämna ut uppgifter ur databasen enligt de närmare föreskrifter som meddelas av regeringen. Rätten att ta ut avgifter enligt Rätten att ta ut avgifter får inte första stycket får inte innebära innebära en inskränkning i inskränkning i rätten att ta del av 1. rätten att ta del av och mot och mot fastställd avgift få kopia fastställd avgift få kopia eller eller utskrift av en allmän handling utskrift av en allmän handling enligt tryckfrihetsförordningen . enligt tryckfrihetsförordningen , eller 2. en registrerads rätt enligt artikel 12.5 i Europaparlamentets och rådets förordning (EU) nr 2016/679.

3 kap.

2 § Information som skall lämnas Information som ska lämnas enligt 26 § personuppgiftslagen enligt artikel 15 i Europa- (1998:204) behöver inte omfatta parlamentets och rådets uppgift i en handling som avses i förordning (EU) nr 2016/679 2 kap. 4 §, om den enskilde har behöver inte omfatta uppgift i en tagit del av handlingens innehåll. handling som avses i 2 kap. 4 §,

Senaste lydelse 2003:670. 11

Om den enskilde begär det skall om den enskilde har tagit del av dock informationen även omfatta handlingens innehåll. Om den uppgift i en sådan handling. enskilde begär det ska dock informationen även omfatta uppgift i en sådan handling. Om informationen inte inne- Om informationen inte innehåller handling som avses i första håller handling som avses i första stycket, skall det av informationen stycket, ska det av informationen framgå att handlingen behandlas i framgå att handlingen behandlas i databasen. databasen.

6 2 a § Vid behandling av person- Vid behandling av personuppgifter på grund av samarbete uppgifter på grund av samarbete enligt lagen (2012:843) om enligt lagen (2012:843) om administrativt samarbete inom administrativt samarbete inom Europeiska unionen i fråga om Europeiska unionen i fråga om beskattning tillämpas inte 23, 25, beskattning ska artikel 13 och 15– 26, 28 och 42 §§ personuppgifts- 19 i Europaparlamentets och lagen (1998:204) om sådana rådets förordning (EU) nr begränsningar är nödvändiga med 2016/679 inte tillämpas , om hänsyn till ett intresse som anges i sådana begränsningar är nöd- 8 a § f personuppgiftslagen . vändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen.

Rättelse och skadestånd Invändningar mot behandling

3 § Bestämmelserna i person- Rätten att göra invändningar uppgiftslagen (1998:204) om enligt artikel 21.1 i Europarättelse och skadestånd gäller vid parlamentets och rådets behandling av personuppgifter förordning (EU) nr 2016/679 enligt denna lag eller anslutande gäller inte vid sådan behandling författningar, med den som är tillåten enligt denna lag begränsning som anges i 2 a § i eller föreskrifter som har fråga om rättelse. meddelats i anslutning till den.

1. Denna lag träder i kraft den 25 maj 2018. 2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

6 Senaste lydelse 2012:845. Senaste lydelse 2012:845. 12

1.3 Förslag till lag om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet

Härigenom föreskrivs i fråga om lagen (2001:182) om behandling av 1 personuppgifter i Skatteverkets folkbokföringsverksamhet dels att 3 kap. 1 och 4 §§ och rubriken närmast före 3 kap. 4 § ska upphöra att gälla, dels att 1 kap. 2–4 och 6 §§, 2 kap. 12 §, 3 kap. 2 och 3 §§ och rubrikerna närmast före 1 kap. 2 § och 3 kap. 3 § ska ha följande lydelse.

1 kap.

2 §

3 §

Senaste lydelse av lagens rubrik 2003:671 3 kap. 4 § 2003:671.

offentlighetsprincipen m.m. i 8 §, 3. grundläggande krav på behandling i 9 § med undantag för vad som sägs i första stycket i och tredje stycket, 4. säkerheten vid behandling i 30–32 §§, 5. överföring av personuppgifter till tredje land i 33–35 §§, 6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§, 7. upplysningar till allmänheten om vissa behandlingar i 42 §, 8. tillsynsmyndighetens befogenheter i 43 och 47 §§, och 9. straff i 49 §. Vid behandling av personuppgifter som inte sker i databaser gäller även 22 § personuppgiftslagen.

2 4 § Uppgifter får behandlas för att tillhandahålla information som behövs för 1. samordnad behandling, kontroll och analys av identifieringsuppgifter för fysiska personer och av andra folkbokföringsuppgifter, 2. handläggning av folkbokföringsärenden, 3. fullgörande av underrättelseskyldighet enligt lag eller förordning, 4. framställning av personbevis och andra registerutdrag, 5. aktualisering, komplettering och kontroll av personuppgifter, 6. uttag av urval av personuppgifter, och 7. tillsyn, kontroll, uppföljning och planering av folkbokföringsverksamheten. Uppgifter får även behandlas för Uppgifter får även behandlas för att tillhandahålla information i den att fullgöra uppgiftslämnande som utsträckning som en skyldighet att sker i överensstämmelse med lag lämna uppgifterna följer av lag eller förordning. Insamlade eller förordning. uppgifter får även behandlas för andra ändamål, under förutsättning att det nya ändamålet inte är oförenligt med insamlingsändamålet.

6 § Känsliga personuppgifter som Sådana särskilda kategorier av anges i 13 § personuppgiftslagen personuppgifter som avses i artikel (1998:204) och uppgifter om 9.1 i Europaparlamentets och

2 Senaste lydelse 2016:778.

lagöverträdelser m.m. som anges i rådets förordning (EU) nr 21 § samma lag får behandlas 2016/679 ( känsliga personendast om uppgifterna har lämnats uppgifter ) och uppgifter om i ett ärende eller är nödvändiga för lagöverträdelser som innefattar handläggningen av det. brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

3 12 § Skatteverket får ta ut avgifter för att lämna ut uppgifter ur databasen enligt de närmare föreskrifter som meddelas av regeringen. Rätten att ta ut avgifter enligt Rätten att ta ut avgifter får inte första stycket får inte innebära innebära en inskränkning i inskränkning i rätten att ta del av 1. rätten att ta del av och mot och mot fastställd avgift få kopia fastställd avgift få kopia eller eller utskrift av en allmän handling utskrift av en allmän handling enligt tryckfrihetsförordningen . enligt tryckfrihetsförordningen , eller 2. en registrerads rätt enligt artikel 12.5 i Europaparlamentets och rådets förordning (EU) nr 2016/679.

3 kap.

2 § Information som skall lämnas Information som ska lämnas enligt 26 § personuppgiftslagen enligt artikel 15 i Europa- (1998:204) behöver inte omfatta parlamentets och rådets förorduppgift i en handling som avses i ning (EU) nr 2016/679 behöver 2 kap. 5 §, om den enskilde har inte omfatta uppgift i en handling tagit del av handlingens innehåll. som avses i 2 kap. 5 §, om den Om den enskilde begär det skall enskilde har tagit del av dock informationen även omfatta handlingens innehåll. Om den uppgift i en sådan handling. enskilde begär det ska dock informationen även omfatta uppgift i en sådan handling. Om informationen inte inne- Om informationen inte innehåller handling som avses i första håller handling som avses i första stycket, skall det av informationen stycket, ska det av informationen framgå att handlingen behandlas i framgå att handlingen behandlas i

3 Senaste lydelse 2003:671. 15

databasen. databasen.

Rättelse och skadestånd Invändningar mot behandling

3 § Bestämmelserna i person- Rätten att göra invändningar uppgiftslagen (1998:204) om enligt artikel 21.1 i Europarättelse och skadestånd gäller vid parlamentets och rådets förordbehandling av personuppgifter ning (EU) nr 2016/679 gäller inte enligt denna lag eller anslutande vid sådan behandling som är författningar. tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

1. Denna lag träder i kraft den 25 maj 2018. 2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

1.4 Förslag till lag om ändring i lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet

Härigenom föreskrivs i fråga om lagen (2001:184) om behandling av 1 uppgifter i Kronofogdemyndighetens verksamhet dels att 1 kap. 3 a §, 3 kap. 1 och 3 §§ ska upphöra att gälla, dels att nuvarande 3 kap. 3 a § ska betecknas 3 kap. 3 §, dels att 1 kap. 2, 3 och 6 §§, 2 kap. 2, 3, 8, 9, 14, 15, 20, 20 a och 30 §§, 3 kap. 2 §, den nya 3 kap. 3 §, 3 kap. 4 § och rubriken före 1 kap. 2 § och 3 kap. 3 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 3 kap. 3 a §, och en ny rubrik närmast före den paragrafen.

1 kap.

2 §

3 §

Senaste lydelse av lagens rubrik 2006:733 1 kap. 3 a § 2013:336 3 kap. 3 § 2008:213.

regleras i lagen gäller person- vid behandling av personuppgifter uppgiftslagens (1998:204) bestäm- enligt denna lag, om inte annat melser om följer av denna lag eller före- 1. definitioner i 3 §, skrifter som har meddelats i 2. förhållandet till offentlighets- anslutning till den. principen m.m. i 8 §, 3. grundläggande krav på behandling i 9 § med undantag för vad som sägs i första stycket i och tredje stycket, 4. säkerheten vid behandling i 30–32 §§, 5. överföring av personuppgifter till tredje land i 33–35 §§, 6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§, 7. upplysningar till allmänheten om vissa behandlingar i 42 §, 8. tillsynsmyndighetens befogenheter i 43 och 47 §§, och 9. straff i 49 §. Vid behandling av personuppgifter som inte sker i databaser gäller även 22 § personuppgiftslagen.

6 § Känsliga personuppgifter som Sådana särskilda kategorier av anges i 13 § personuppgiftslagen personuppgifter som avses i artikel (1998:204) och uppgifter om 9.1 i Europaparlamentets och lagöverträdelser m.m. som anges i rådets förordning (EU) nr 21 § samma lag får behandlas 2016/679 ( känsliga personendast om uppgifterna har lämnats uppgifter ) och uppgifter om i ett mål eller ärende eller är lagöverträdelser som innefattar nödvändiga för handläggningen av brott, domar i brottmål, straffdet. processuella tvångsmedel eller administrativa frihetsberövanden får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

2 2 § Uppgifter får behandlas i data- Uppgifter får behandlas i data-

2 Senaste lydelse 2016:685. 18

basen för tillhandahållande av basen för att tillhandahålla information som behövs i information som behövs i Kronofogdemyndighetens och Kronofogdemyndighetens och Skatteverkets verksamhet för Skatteverkets verksamhet för 1. verkställighet eller annan åtgärd som särskilt åligger Kronofogdemyndigheten enligt utsökningsbalken eller annan författning, 2. indrivning av statliga fordringar m.m., 3. avräkning vid återbetalning av skatter och avgifter, 4. ansökan om och tillsyn över näringsförbud, 5. förebyggande av överskuldsättning och information om skuldsanering och F-skuldsanering, 6. fullgörande av ett åliggande som följer av ett för Sverige bindande internationellt åtagande, och 7. tillsyn, kontroll, uppföljning och planering av verksamheten. Uppgifter som får behandlas enligt första stycket får även behandlas i databasen för tillhandahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och Fskuldsanering.

3 3 § Uppgifter får behandlas i Uppgifter som behandlas enligt databasen för att tillhandahålla 2 § får även behandlas i databasen information som behövs i för att tillhandahålla information författningsreglerad verksamhet som behövs i författningsreglerad hos någon annan än Kronofogde- verksamhet hos någon annan än myndigheten för Kronofogdemyndigheten för 1. avräkning vid återbetalning av skatter och avgifter, 2. kvittning vid utbetalning av bidrag, 3. planering, samordning och uppföljning av revision och annan kontrollverksamhet vid beskattning och tulltaxering, 4. utredningar vid bestämmande och betalning av skatter, tullar och avgifter, 5. ärenden om ansvar för någon annans skatter och avgifter, och 6. kontroll och tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning. Uppgifter som behandlas enligt 2 § får även behandlas i databasen för att tillhandahålla information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F-skuldsanering.

3 Senaste lydelse 2016:779. 19

Uppgifter får även behandlas i Uppgifter som behandlas enligt databasen för att tillhandahålla 2 § får även behandlas i databasen information i den utsträckning som för att fullgöra uppgiftslämnande en skyldighet att lämna upp- som sker i överensstämmelse med gifterna följer av lag eller lag eller förordning. förordning. Uppgifter som behandlas enligt 2 § får även behandlas för andra ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in.

4 8 § Uppgifter får behandlas i Uppgifter får behandlas i databasen för tillhandahållande av databasen för att tillhandahålla information som behövs i information som behövs i Kronofogdemyndighetens verk- Kronofogdemyndighetens verksamhet för samhet för 1. handläggningen av mål om betalningsföreläggande, handräckning eller europeiskt betalningsföreläggande, 2. tillhandahållande av utslag i mål om betalningsföreläggande och handräckning samt verkställighetsförklaring i mål om europeiskt betalningsföreläggande, 3. förebyggande av överskuldsättning och information om skuldsanering och F-skuldsanering, och 4. tillsyn, kontroll, uppföljning och planering av verksamheten. Uppgifter som får behandlas enligt första stycket får även behandlas i databasen för tillhandahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och Fskuldsanering.

5 9 § Uppgifter får behandlas i data- Uppgifter som behandlas enligt basen för att tillhandahålla 8 § får även behandlas i databasen information som behövs i för att tillhandahålla information författningsreglerad verksamhet som behövs i författningsreglerad hos någon annan än Kronofogde- verksamhet hos någon annan än myndigheten för tillsyn samt Kronofogdemyndigheten för lämplighets- och tillstånds- tillsyn samt lämplighets- och prövning och annan liknande tillståndsprövning och annan prövning. liknande prövning.

4 Senaste lydelse 2016:685. 5 Senaste lydelse 2016:685. 20

Uppgifter som behandlas enligt 8 § får även behandlas i databasen för att tillhandahålla information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F-skuldsanering. Uppgifter får även behandlas i Uppgifter som behandlas enligt databasen för att tillhandahålla 8 § får även behandlas i databasen information i den utsträckning som för att fullgöra uppgiftslämnande en skyldighet att lämna upp- som sker i överensstämmelse med gifterna följer av lag eller lag eller förordning. förordning. Uppgifter som behandlas enligt 8 § får även behandlas för andra ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in.

6 14 § Uppgifter får behandlas i Uppgifter får behandlas i databasen för tillhandahållande av databasen för att tillhandahålla information som behövs i Krono- information som behövs i Kronofogdemyndighetens verksamhet fogdemyndighetens verksamhet för för 1. handläggning av ärenden om skuldsanering och F-skuldsanering, 2. förebyggande av överskuldsättning, och 3. tillsyn, kontroll, uppföljning och planering av verksamheten.

7 15 § Uppgifter får behandlas i Uppgifter som behandlas enligt databasen för att tillhandahålla 14 § får även behandlas i information som behövs i databasen för att tillhandahålla författningsreglerad verksamhet information som behövs i hos någon annan än Kronofogde- författningsreglerad verksamhet myndigheten för tillsyn samt hos någon annan än Kronofogdelämplighets- och tillståndspröv- myndigheten för tillsyn samt ning och annan liknande prövning. lämplighets- och tillståndsprövning och annan liknande prövning. Uppgifter får även behandlas i Uppgifter som behandlas enligt databasen för att tillhandahålla 14 § får även behandlas i information i den utsträckning som databasen för att fullgöra en skyldighet att lämna uppgiftslämnande som sker i uppgifterna följer av lag eller överensstämmelse med lag eller

6 Senaste lydelse 2016:685. 7 Senaste lydelse 2016:779. 21

förordning. förordning. Uppgifter som behandlas enligt 14 § får även behandlas för andra ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in.

8 20 § Uppgifter får behandlas i Uppgifter får behandlas i databasen för tillhandahållande av databasen för att tillhandahålla information som behövs i Krono- information som behövs i Kronofogdemyndighetens verksamhet fogdemyndighetens verksamhet för för 1. handläggningen av konkurstillsynsärenden och mål enligt lönegarantilagen (1992:497), 2. förebyggande av överskuldsättning och information om skuldsanering och F-skuldsanering, och 3. tillsyn, kontroll, uppföljning och planering av verksamheten. Uppgifter som får behandlas enligt första stycket får även behandlas i databasen för tillhandahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och Fskuldsanering.

9 20 a § Uppgifter som behandlas enligt 20 § får även behandlas i databasen för att tillhandahålla information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F-skuldsanering. Uppgifter får utöver det som Uppgifter som behandlas enligt anges i 20 § behandlas i databasen 20 § får även behandlas i för att tillhandahålla information i databasen för att fullgöra uppgiftsden utsträckning som en skyldighet lämnande som sker i att lämna uppgifterna följer av lag överensstämmelse med lag eller eller förordning. förordning. Uppgifter som behandlas enligt 20 § får även behandlas för andra ändamål, under förutsättning att

8 Senaste lydelse 2016:685. 9 Senaste lydelse 2016:779. 22

ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in.

10 30 § Kronofogdemyndigheten får ta ut avgifter för att lämna ut uppgifter ur en databas enligt de närmare föreskrifter som meddelas av regeringen. Rätten att ta ut avgifter enligt Rätten att ta ut avgifter får inte första stycket får inte innebära innebära en inskränkning i inskränkning i rätten att ta del av 1. rätten att ta del av och mot och mot fastställd avgift få kopia fastställd avgift få kopia eller eller utskrift av allmän handling utskrift av en allmän handling enligt tryckfrihetsförordningen . enligt tryckfrihetsförordningen , eller 2. en registrerads rätt enligt artikel 12.5 i Europaparlamentets och rådets förordning (EU) nr 2016/679 .

3 kap.

2 § Information som skall lämnas Information som ska lämnas enligt 26 § personuppgiftslagen enligt artikel 15 i Europa- (1998:204) behöver inte omfatta parlamentets och rådets förorduppgift i en handling som avses i ning (EU) nr 2016/679 behöver 2 kap. 24 §, om den enskilde har inte omfatta uppgift i en handling tagit del av handlingens innehåll. som avses i 2 kap. 24 §, om den Om den enskilde begär det skall enskilde har tagit del av dock informationen även omfatta handlingens innehåll. Om den uppgift i en sådan handling. enskilde begär det ska dock informationen även omfatta uppgift i en sådan handling. Om informationen inte Om informationen inte inneinnehåller handling som avses i håller handling som avses i första första stycket skall det av stycket , ska det av informationen informationen framgå att framgå att handlingen behandlas i handlingen behandlas i databasen. databasen.

Rättelse och skadestånd Rättelse

11 3 § Kronofogdemyndigheten ska på begäran av den registrerade snarast rätta, blockera eller utplåna sådana uppgifter som 1. inte har behandlats i enlighet med denna lag eller anslutande författningar, eller

10 Senaste lydelse 2006:733. 11 Senaste lydelse av tidigare 3 a § 2008:213. 23

2. är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser. Om uppgifterna lämnats ut till tredje man, ska Kronofogdemyndigheten underrätta denne om åtgärd enligt första stycket, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade kan undvikas på detta sätt. Någon underrättelse behöver dock inte lämnas, om detta skulle innebära en oproportionerligt stor arbetsinsats. I fråga om personuppgifter finns bestämmelser om rättelse m.m. också i Europaparlamentets och rådets förordning (EU) nr 2016/679.

Invändningar mot behandling

3 a § Rätten att göra invändningar enligt artikel 21.1 i Europaparlamentets och rådets förordning (EU) nr 2016/679 gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

4 § En myndighets beslut om Bestämmelser om att vissa rättelse och om information som beslut får överklagas finns i lagen skall lämnas enligt 26 § person- (2018:xx) med kompletterande uppgiftslagen (1998:204) får bestämmelser till EU:s överklagas hos allmän förvalt- dataskyddsförordning. ningsdomstol. Andra beslut enligt denna lag får inte överklagas. Utöver de beslut som får överklagas enligt de bestämmelser som avses i första stycket får beslut om rättelse enligt 3 kap. 3 § första stycket 2 denna lag överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten.

1. Denna lag träder i kraft den 25 maj 2018. 2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

1.5 Förslag till lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

Härigenom föreskrivs i fråga om lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet dels att 3 kap. 1 och 4 §§ och rubriken närmast före 3 kap. 4 § ska upphöra att gälla, dels att 1 kap. 2–4, 5 och 7 §§, 2 kap. 11 §, 3 kap. 2 och 3 §§ och rubrikerna närmast före 1 kap. 2 § och 3 kap. 3 § ska ha följande lydelse.

1 kap.

2 §

3 §

och tredje stycket, 4. säkerheten vid behandling i 30–32 §§, 5. överföring av personuppgifter till tredje land i 33–35 §§, 6. personuppgiftsombud, m.m. i 36 § andra stycket och 38–41 §§, 7. upplysningar till allmänheten om vissa behandlingar i 42 §, 8. tillsynsmyndighetens befogenheter i 43 och 47 §§, och 9. straff i 49 §. Vid behandling av personuppgifter som inte sker i databasen gäller även 22 § personuppgiftslagen.

1 4 § Uppgifter får behandlas för Uppgifter får behandlas för att tillhandahållande av information tillhandahålla information som som behövs hos Tullverket för behövs hos Tullverket för 1. bestämmande, redovisning, betalning och återbetalning av tull, annan skatt och avgifter, 2. övervakning, revision och annan analys- eller kontrollverksamhet, 3. fullgörande av ett åliggande som följer av ett för Sverige bindande internationellt åtagande, och 4. tillsyn, kontroll, uppföljning och planering av verksamheten. Uppgifter som behandlas enligt första stycket får även behandlas för tillhandahållande av information som behövs i Tullverkets brottsbekämpande verksamhet enligt 2 kap. 5 § tullbrottsdatalagen (2017:447).

2 5 § Uppgifter får behandlas för att Uppgifter som behandlas enligt tillhandahålla information som 4 § får även behandlas för att behövs i författningsreglerad verk- tillhandahålla information som samhet hos någon annan än behövs i författningsreglerad verk- Tullverket för samhet hos någon annan än Tullverket för 1. fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av skatter eller avgifter, 2. revision och annan analys- eller kontrollverksamhet,

1 Senaste lydelse 2017:449. 2 Senaste lydelse 2016:780. 26

3. tillsyn samt lämplighets- och tillståndsprövning och annan liknande prövning, och 4. utsökning och indrivning. Uppgifter som behandlas enligt 4 § får även behandlas för tillhandahållande av information som behövs i Tullverkets brottsbekämpande verksamhet enligt 2 kap. 5 § tullbrottsdatalagen (2017:447). Uppgifter får även behandlas för Uppgifter som behandlas enligt att tillhandahålla information i den 4 § får även behandlas för att fullutsträckning som en skyldighet att göra uppgiftslämnande som sker i lämna uppgifterna följer av lag överensstämmelse med lag eller eller förordning. förordning. Uppgifter som behandlas enligt 4 § får även behandlas för andra ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in.

7 § Känsliga personuppgifter som Sådana särskilda kategorier av anges i 13 § personuppgiftslagen personuppgifter som avses i artikel (1998:204) och uppgifter om 9.1 i Europaparlamentets och lagöverträdelser m.m. som anges i rådets förordning (EU) nr 21 § samma lag får behandlas 2016/679 ( känsliga personuppendast om uppgifterna har lämnats gifter ) och uppgifter om lagöveri ett ärende eller är nödvändiga för trädelser som innefattar brott, handläggningen av det. domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Uppgifter som avses i första stycket får i annat fall behandlas endast om det särskilt anges i 2 kap.

2 kap.

11 § Tullverket får ta ut avgifter för att lämna ut uppgifter ur databasen enligt de närmare föreskrifter som meddelas av regeringen. Rätten att ta ut avgifter enligt Rätten att ta ut avgifter får inte första stycket får inte innebära innebära en inskränkning i inskränkning i rätten att ta del av 1. rätten att ta del av och mot och mot fastställd avgift få kopia fastställd avgift få kopia eller eller utskrift av allmän handling utskrift av en allmän handling enligt tryckfrihetsförordningen . enligt tryckfrihetsförordningen , eller 27

2. en registrerads rätt enligt artikel 12.5 i Europaparlamentets och rådets förordning (EU) nr 2016/679.

3 kap.

2 § Information som skall lämnas Information som ska lämnas enligt 26 § personuppgiftslagen enligt artikel 15 i Europa- (1998:204) behöver inte omfatta parlamentets och rådets förorduppgift i en handling som avses i ning (EU) nr 2016/679 behöver 2 kap. 4 §, om den enskilde har inte omfatta uppgift i en handling tagit del av handlingens innehåll. som avses i 2 kap. 4 §, om den Om den enskilde begär det skall enskilde har tagit del av dock informationen även omfatta handlingens innehåll. Om den uppgift i en sådan handling. enskilde begär det ska dock informationen även omfatta uppgift i en sådan handling. Om informationen inte Om informationen inte inneinnehåller handling som avses i håller handling som avses i första första stycket skall det av informa- stycket , ska det av informationen tionen framgå att handlingen framgå att handlingen behandlas i behandlas i databasen. databasen.

Rättelse och skadestånd Invändningar mot behandling

3 § Bestämmelserna i person- Rätten att göra invändningar uppgiftslagen (1998:204) om enligt artikel 21.1 i Europarättelse och skadestånd gäller vid parlamentets och rådets behandling av personuppgifter förordning (EU) nr 2016/679 enligt denna lag eller anslutande gäller inte vid sådan behandling författningar. som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

1. Denna lag träder i kraft den 25 maj 2018. 2. Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet.

1.6 Förslag till lag om ändring i lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter

Härigenom föreskrivs i fråga om lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter dels att 3 § ska upphöra att gälla, dels att 4, 6, 7 och 10 §§ och rubrikerna närmast före 4 och 10 §§ ska ha följande lydelse.

4 §

6 §

Personuppgifter får behandlas om det behövs i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter. Personuppgifter som behandlas Personuppgifter som behandlas enligt första stycket får också enligt första stycket får också behandlas om det behövs för att behandlas om det behövs för att fullgöra uppgiftslämnande som fullgöra uppgiftslämnande som sker i överensstämmelse med lag sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § eller förordning. Uppgifter som första stycket d och andra stycket behandlas enligt första stycket får 29

personuppgiftslagen (1998:204). även behandlas för andra ändamål, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in.

7 § Känsliga personuppgifter som Sådana särskilda kategorier av anges i 13 § personuppgiftslagen personuppgifter som avses i artikel (1998:204) får behandlas i en 9.1 i Europaparlamentets och handling som har lämnats i ett rådets förordning (EU) nr ärende. Sådana uppgifter får 2016/679 ( känsliga personbehandlas även i en handling som uppgifter ) får behandlas i en har upprättats i ett ärende, om de handling som har lämnats i ett är nödvändiga för ärendets hand- ärende. Sådana uppgifter får läggning. behandlas även i en handling som har upprättats i ett ärende, om de är nödvändiga för ärendets handläggning.

Rättelse och skadestånd Invändningar mot behandling

10 § Bestämmelserna i person- Rätten att göra invändningar uppgiftslagen (1998:204) om enligt artikel 21.1 i Europarättelse och skadestånd tillämpas parlamentets och rådets förordockså vid behandling av ning (EU) nr 2016/679 gäller inte personuppgifter i strid med denna vid sådan behandling som är lag. tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till den.

Denna lag träder i kraft den 25 maj 2018.

1.7 Förslag till lag om ändring i lagen (2015:899) om identitetskort för folkbokförda i Sverige

Härigenom föreskrivs i fråga om lagen (2015:899) om identitetskort för folkbokförda i Sverige dels att 9 § ska upphöra att gälla, dels att 10, 12, 13, 17 och 18 §§ och rubriken närmast före 10 och 18 §§ ska ha följande lydelse.

10 §

12 §

Personuppgifter får behandlas i databasen om det behövs i den utfärdande myndighetens verksamhet för utfärdande av identitetskort. Personuppgifter som behandlas Personuppgifter som behandlas enligt första stycket får också enligt första stycket får också behandlas om det behövs för att behandlas om det behövs för att fullgöra uppgiftsutlämnande som fullgöra uppgiftsutlämnande som sker i överensstämmelse med lag sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § eller förordning. Uppgifter som första stycket d och andra stycket behandlas enligt första stycket får personuppgiftslagen (1998:204). även behandlas för andra ändamål, under förutsättning att ändamålet inte är oförenligt med 31

det ändamål för vilket uppgifterna samlades in.

13 § Känsliga personuppgifter som Sådana särskilda kategorier av anges i 13 § personuppgiftslagen personuppgifter som avses i artikel (1998:204) får behandlas i en 9.1 i Europaparlamentets och handling som har lämnats i ett rådets förordning (EU) nr ärende. Sådana uppgifter får 2016/679 ( känsliga personbehandlas även i en handling som uppgifter ) får behandlas i en har upprättats i ett ärende, om de handling som har lämnats i ett är nödvändiga för ärendets hand- ärende. Sådana uppgifter får läggning. behandlas även i en handling som har upprättats i ett ärende, om de är nödvändiga för ärendets handläggning.

17 § Ansiktsbilden enligt 2 § 1 och 14 § får inte användas vid sökning med hjälp av automatiserad behandling. Känsliga personuppgifter som Känsliga personuppgifter som avses i 13 § och uppgifter om avses i 13 § och uppgifter om lagöverträdelser som avses i 21 § lagöverträdelser som innefattar personuppgiftslagen (1998:204) brott, domar i brottmål, strafffår inte användas som sökbegrepp. processuella tvångsmedel eller administrativa frihetsberövanden får inte användas som sökbegrepp.

Rättelse och skadestånd Invändningar mot behandling

18 § Bestämmelserna i person- Rätten att göra invändningar uppgiftslagen (1998:204) om enligt artikel 21.1 i Europarättelse och skadestånd tillämpas parlamentets och rådets förordockså vid behandling av person- ning (EU) nr 2016/679 gäller inte uppgifter i strid med denna lag vid sådan behandling som är eller föreskrifter som har tillåten enligt denna lag eller meddelats i anslutning till lagen. föreskrifter som har meddelats i anslutning till den.

Denna lag träder i kraft den 25 maj 2018.

1.8 Förslag till förordning om ändring i förordningen (1990:320) om ömsesidig handräckning i skatteärenden Härigenom föreskrivs att 2 § förordningen (1990:320) om ömsesidig handräckning i skatteärenden ska ha följande lydelse.

2 §

Denna förordning träder i kraft den 25 maj 2018.

1 Senaste lydelse 2016:1235. 33

1.9 Förslag till förordning om ändring i förordningen (2000:1222) om internationellt tullsamarbete Härigenom föreskrivs att 3 § förordningen (2000:1222) om internationellt tullsamarbete ska ha följande lydelse.

3 §

upphävande av rådets rambeslut 2008/977/RIF, gäller särskilda bestämmelser i brottsdatalagen (2018:000).

Denna förordning träder i kraft den 25 maj 2018.

1.10 Förslag till förordning om ändring i förordningen (2001:588) om behandling av uppgifter i Skatteverkets beskattningsverksamhet

Härigenom föreskrivs att 14 och 15 §§ förordningen (2001:588) om 1 behandling av uppgifter i Skatteverkets beskattningsverksamhet ska upphöra att gälla.

Denna förordning träder i kraft den 25 maj 2018.

1 Senaste lydelse av förordningens rubrik 2003:1023 14 § 2011:1551 15 § 2012:327. 36

1.11 Förslag till förordning om ändring i skatteförfarandeförordningen (2011:1261)

Härigenom föreskrivs att 10 kap. 6 § skatteförfarandeförordningen (2011:1261) ska upphöra att gälla.

Denna förordning träder i kraft den 25 maj 2018.

1.12 Förslag till förordning om ändring i förordningen (2016:904) om tullinformationssystemet Härigenom föreskrivs att 12 § förordningen (2016:904) om tullinformationssystemet ska ha följande lydelse.

12 §

Denna förordning träder i kraft den 25 maj 2018.

2 Bakgrund

2.1.1 EU:s dataskyddsreform

Den allmänna regleringen om behandling av personuppgifter inom EU finns i dag i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Dataskyddsdirektivet gäller inte för behandling av personuppgifter på områden som faller utanför gemenskapsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Dataskyddsdirektivet har genomförts i svensk rätt genom personuppgiftslagen (1998:204), som är generellt tillämplig vid behandling av personuppgifter. Därtill finns ett antal sektorspecifika författningar som reglerar behandling av personuppgifter hos framför allt myndigheter, s.k. registerförfattningar. År 2012 lade kommissionen fram sitt förslag till en reformerad dataskyddsreglering i EU. Förslaget avsåg dels en förordning med allmänna EU-regler om skydd av personuppgifter som skulle ersätta dataskyddsdirektivet, dels ett direktiv med regler om skydd av personuppgifter som behandlas i samband med förebyggande, utredning, avslöjande eller lagföring av brott och därmed förbunden rättslig verksamhet. Den 27 april 2016 antogs Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). Dataskyddsförordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta det nuvarande dataskyddsdirektivet när den börjar tillämpas den 25 maj 2018. Enligt artikel 288 andra stycket i Fördraget om Europeiska unionens funktionssätt ska en EU-förordning ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat. Till skillnad från EU-direktiv ska alltså förordningar inte implementeras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av enskilda, myndigheter och domstolar precis som om de vore nationella författningsbestämmelser. Detta innebär att dataskyddsförordningen är direkt tillämplig. Även om dataskyddsförordningen är direkt tillämplig, till skillnad från dataskyddsdirektivet, innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Samtidigt med dataskyddsförordningen antogs ett nytt dataskyddsdirektiv med bestämmelser om behandling av personuppgifter inom den brottsbekämpande sektorn, Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att 39

förebygga, förhindra, utreda, avslöja eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF. Sådan behandling som omfattas av det nya dataskyddsdirektivet är undantaget från dataskyddsförordningens tillämpningsområde.

2.1.2 Författningsarbete med anledning av dataskyddsreformen

En utredning har tillsatts för att föreslå de anpassningar och kompletterande författningsändringar på generell nivå som dataskyddsförordningen ger anledning till. Dataskyddsutredningen lämnade den 12 maj 2017 sitt betänkande Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). I betänkandet föreslås bl.a. att personuppgiftslagen ska upphävas och att det ska införas en lag med kompletterande bestämmelser till EU:s dataskyddsförordning. Dataskyddsutredningens arbete och betänkande omfattar inte en översyn eller förslag till förändringar av sådan sektorsspecifik reglering om behandling av personuppgifter som finns bl.a. i de särskilda registerförfattningarna för myndigheter eller i andra författningar som rör sektorspecifik behandling av personuppgifter. Arbetet med att anpassa sådan reglering till den nya förordningen utförs i stället på olika håll. Ett antal utredningar har tillsatts för att se över behovet av författningsändringar med avseende på specifika vissa sektorer. På vissa områden har utredningsarbetet bedrivits inom Regeringskansliet. En utredning har även tillsatts för att genomföra det nya dataskyddsdirektivet (Utredningen om 2016 års dataskyddsdirektiv, Ju 2016:06). Utredningen lämnade sitt delbetänkande den 5 april 2017 och ska lämna sitt slutbetänkande senast den 30 september 2017. Det kan också nämnas att även Utredningen om tillsynen över den personliga integriteten lämnar förslag på anpassningar med anledning av dataskyddsreformen (Ett samlat ansvar för tillsyn över den personliga integriteten, SOU 2016:65). Det föreslås bl.a. att Datainspektionen ska utses till svensk nationell tillsynsmyndighet enligt dataskyddsförordningen och det nya dataskyddsdirektivet.

2.1.3 Den översyn som redovisas i denna promemoria

På skatte- och tullavdelningen vid Finansdepartementet har utförts ett arbete för se över vilka ändringar i avdelningens författningar som föranleds av dataskyddsförordningen. I författningarna finns ett flertal bestämmelser som innebär att uppgifter får eller måste behandlas på ett sådant sätt att dataskyddsförordningens bestämmelser blir tillämpliga eller som på annat sätt handlar om sådant som regleras i dataskydds– förordningen. De författningar som berörs av översynen rör i huvudsak behandling av personuppgifter hos Skatteverket, Tullverket och Kronofogdemyndigheten, dock inte personuppgiftsbehandling vid dessa myndigheters brottsbekämpande verksamhet. I denna promemoria lämnas förslag till behövliga författningsändringar. Vissa överväganden 40

som har gjorts, men som inte har lett till författningsförslag, redovisas också. Det kan nämnas att även det nya dataskyddsdirektivet innebär att författningar på skatte- och tullavdelningen behöver ses över. Utredningen om 2016 års dataskyddsdirektiv har i uppdrag att föreslå de ändringar som behövs för att anpassa vissa centrala författningar om rättsväsendets personuppgiftsbehandling till direktivets förpliktelser. Skattebrottsdatalagen (2017:452) och tullbrottsdatalagen (2017:447) är exempel på sådana författningar. Eftersom vissa andra författningar på tullområdet berör både sådan behandling som omfattas av dataskyddsförordningen och det nya dataskyddsdirektivet behandlas vissa frågor som har koppling till direktivet i denna promemoria.

3 Gällande rätt

3.1 Dataskyddsdirektivet och personuppgiftslagen

I Dataskyddsutredningens betänkande Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsförordning finns en redogörelse av internationell och svensk rätt på dataskyddsområdet (SOU 2017:39, avsnitt 3). I det följande redogörs kort för den centrala nu gällande EUrättsakt som den nya förordningen, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ersätter, nämligen Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet), samt för personuppgiftslagen (1998:204) som tillsammans med registerförfattningar har genomfört dataskyddsdirektivet. Dataskyddsdirektivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers frioch rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Enligt dataskyddsdirektivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligt angivna vid tiden för insamling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen. Dataskyddsdirektivet gäller inte för behandling av personuppgifter på områden som faller utanför gemenskapsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen. Bestämmelserna i personuppgiftslagen har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter och följer i princip dataskydds- 41

direktivets struktur och innehåller liksom direktivet bestämmelser om personuppgiftsansvar, grundläggande krav för behandling av personuppgifter, information till den registrerade, skadestånd och straff. Personuppgiftslagen är tillämplig även utanför EU-rättens område och gäller både för myndigheter och enskilda som behandlar personuppgifter. Personuppgiftslagen är samtidigt subsidiär, vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Som nämnts ovan finns en stor mängd sådana bestämmelser i sektorsspecifika författningar som främst reglerar hur olika myndigheter får behandla personuppgifter. Personuppgiftslagen kompletteras också av bestämmelser i personuppgiftsförordningen (1998:1191) som bl.a. pekar ut Datainspektionen som tillsynsmyndighet.

3.2 Registerförfattningar på skatte- och tullavdelningens område

Skatte- och tullavdelningen vid Finansdepartementet ansvarar för myndigheterna Skatteverket, Tullverket och Kronofogdemyndigheten. För varje myndighet finns författningar som reglerar myndighetens behandling av personuppgifter, s.k. registerförfattningar. Registerförfattningar är egentligen inte ett helt rättvisande begrepp, då de allra flesta författningarna inte reglerar några regelrätta register. Som alternativ finns t.ex. att använda benämningen dataskyddsförfattningar, informationshanteringsförfattningar eller det längre uttrycket författningar om behandling av personuppgifter. Då begreppet registerförfattningar är det som oftast använts för att beskriva dessa författningar används dock detta i det följande. Inom Skatteverket, Tullverket och Kronofogdemyndigheten förekommer också personuppgiftsbehandling som inte omfattas av de särskilda registerförfattningarna. Sådan behandling sker med stöd av den generella regleringen i personuppgiftslagen. Efter den 25 maj 2018 kommer dataskyddsförordningen och, om Dataskyddsutredningens förslag leder till lagstiftning, lagen med kompletterande bestämmelser till EU:s dataskyddsförorordning (härefter kallad dataskyddslagen) att gälla för sådan behandling. Även Bokföringsnämnden, som ger ut regler och informationsmaterial om bokföringslagen (1999:1078) och årsredovisningslagen (1995:1554), ligger under skatte- och tullavdelningen. Denna myndighet har ingen registerförfattning eller annan särreglering om behandling av personuppgifter. Detsamma gäller Skatterättsnämnden, som meddelar bindande förhandsbesked i skattefrågor, och Forskarskattenämnden, som beslutar i det enskilda fallet om skattelättnader för utländska experter, forskare eller andra nyckelpersoner som arbetar tillfälligt i Sverige. I dag gäller alltså personuppgiftslagen för dessa verksamheter. För dessa myndigheter kommer framöver dataskyddsförordningen och dataskyddslagen i tillämpliga delar att gälla. För Skatteverkets behandling av personuppgifter gäller ett antal olika registerförfattningar. Lagen (2001:181) om behandling av uppgifter i 42

Skatteverkets beskattningsverksamhet och tillhörande förordning (2001:588) tillämpas vid behandling av personuppgifter i Skatteverkets beskattningsverksamhet och i verkets handläggning enligt lagen (2007:324) om Skatteverkets hantering av vissa borgenärsuppgifter, lagen (2013:948) om stöd vid korttidsarbete och lagen (1991:1047) om sjuklön, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (1 kap. 1 §). När det gäller Skatteverkets folkbokföringsverksamhet gäller lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet och tillhörande förordning (2001:589). Skatteverket har också verksamhet som avser det statliga personadressregistret, SPAR, varvid lagen (1998:527) om det statliga personadressregistret och tillhörande förordning (1998:1234) gäller. I Skatteverkets verksamheter med äktenskapsregister och bouppteckning gäller lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister - och bouppteckningsverksamheter och tillhörande förordning (2015:905). I lagen (2015:899) om identitetskort för folkbokförda i Sverige och tillhörande förordning (2015:904) finns bestämmelser om en databas som innehåller personuppgifter och som ska föras i verksamheten med utfärdande av identitetskort för folkbokförda i Sverige. Dessa författningar reglerar inte endast personuppgiftsbehandlingen i databasen utan även verksamheten med utfärdande av id-kort. I Skatteverkets brottsbekämpande verksamhet gäller från och med den 1 juli 2017 skattebrottsdatalagen (2017:452), före dess lagen (1999:90) om behandling av personuppgifter vid Skatteverkets medverkan i brottsutredningar. Skattebrottsdatalagen omfattas av det nya dataskyddsdirektivet, Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, och som nämnts ovan därför inte av översynen i denna promemoria. När det gäller Tullverkets personuppgiftsbehandling gäller lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet och tillhörande förordning (2001:646). Lagen tillämpas vid behandling av personuppgifter i Tullverkets verksamhet, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Tullverkets verksamhet som inte är brottsbekämpande har benämnts på olika sätt, ibland för fiskal verksamhet, ibland för tullverksamhet och ibland för Effektiv handel. I det följande, om inte skäl finns för något annat, används uttrycket verksamheten under Effektiv handel. När det gäller Tullverkets brottsbekämpande verksamhet gäller från och med den 1 juli 2017 tullbrottsdatalagen (2017:447), före dess lagen (2005:787) om behandling av uppgifter i Tullverkets brottsbekämpande verksamhet. I likhet med vad som sägs om Skatteverket omfattas 43

tullbrottsdatalagen av det nya dataskyddsdirektivet och därför inte av denna översyn. Ytterligare en författning på tullområdet som innehåller bestämmelser som kan innefatta behandling av personuppgifter är förordningen (2016:904) om tullinformationssystemet. I förordningen finns bestämmelser som kompletterar rådets förordning (EG) nr 515/97 av den 13 mars 1997 om ömsesidigt bistånd mellan medlemsstaternas administrativa myndigheter och om samarbete mellan dessa och kommissionen för att säkerställa en korrekt tillämpning av tull- och jordbrukslagstiftningen. Förordningen genomför också rådets beslut 2009/917/RIF av den 30 november 2009 om användning av informationsteknik för tulländamål. Förordningen reglerar svenska myndigheters införande och användande av uppgifter i EU:s informationssystem tullinformationssystemet (TIS). När det gäller Kronofogdemyndighetens behandling av personuppgifter gäller lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet och tillhörande förordning (2001:590). Lagen tillämpas vid behandling av personuppgifter i Kronofogdemyndighetens verksamhet med utsökning och indrivning, skuldsanering, F-skuldsanering, betalningsföreläggande och handräckning, europeiskt betalningsföreläggande, tillsyn i konkurs samt i annan verksamhet som särskilt åligger Kronofogdemyndigheten, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. De flesta av de nämnda författningarna är uppbyggda så att de gäller i stället för personuppgiftslagen eller att personuppgiftslagen gäller om det inte finns avvikande bestämmelser i registerförfattningen. De författningar som gäller i stället för personuppgiftslagen pekar ut bestämmelser i personuppgiftslagen som gäller när personuppgifter behandlas enligt författningen. Några av författningarna gäller delvis även vid behandling av uppgifter om juridiska personer och uppgifter om avlidna. De flesta författningarna innehåller regler om behandling av uppgifter i särskilda databaser.

3.3 Andra författningar på skatte- och tullavdelningens område med bestämmelser om personuppgiftsbehandling

Inte bara registerförfattningar innehåller bestämmelser om behandling av personuppgifter. På skatte- och tullavdelningens område finns även andra författningar som innehåller bestämmelser om behandling av personuppgifter och som kan beröras av den nya dataskyddsförordningen. Det är t.ex. författningar om internationellt samarbete och författningar som reglerar beskattnings- eller tullverksamheten eller verksamheten med utsökning och indrivning. Som exempel kan nämnas lagen (2000:1219) om internationellt tullsamarbete, lagen (2015:912) om automatiskt utbyte av upplysningar om finansiella konton, lagen (2011:1537) om bistånd med indrivning av skatter och avgifter inom Europeiska unionen, 44

skatteförfarandelagen (2011:1244), tullagen (2016:253) och lagen (2004:629) om trängselskatt. De innehåller t.ex. bestämmelser om uppgiftsskyldighet mellan myndigheter eller från myndigheter till andra länder och om möjligheter att lämna uppgifter till andra, dvs. frivilligt uppgiftslämnande. Det kan också vara fråga om gallring av uppgifter, automatiserade beslut eller behandling av uppgift om personnummer.

4 Allmänna utgångspunkter

4.1 Utgångspunkter för överväganden och förslag

Promemorians bedömning: Det behövs inga stora förändringar i sak av författningarna. Författningarna bör dock anpassas till dataskyddsförordningen och den föreslagna svenska generella regleringen.

Skälen för promemorians bedömning: Den nya dataskyddsförordningen, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och nu gällande dataskyddsdirektiv, Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter, uppvisar stora likheter med varandra. Detta innebär som en generell utgångspunkt att den nya regleringen inte föranleder stora förändringar i sak. Det finns dock skillnader, dels i sak, dels i form. Som exempel på skillnader i sak kan nämnas att den registrerades rättigheter har förstärkts i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Den information som ska tillhandahållas den registrerade har preciserats och utvidgats och den personuppgiftsansvarige ska tillhandahålla informationen i en begriplig och lättillgänglig form. Det införs krav på konsekvensanalyser om en viss behandling sannolikt kommer att leda till hög risk för enskildas rättigheter eller friheter. Den allmänna anmälningsskyldigheten till tillsynsmyndigheten tas däremot bort. Vidare blir det tydligare regler för kommunikation och ansvar hos dem som behandlar personuppgifter. Ett krav på inbyggt dataskydd och dataskydd som standard införs. Genom förordningen införs också ett nytt gemensamt system med administrativa sanktionsavgifter som ska tas ut vid vissa typer av överträdelser av förordningen. I Dataskyddsutredningens betänkande Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39) avsnitt 4.2.3, finns en närmare redogörelse av de sakliga förändringarna. När det gäller skillnaden i form innebär det faktum att dataskyddsförordningen till skillnad från dataskyddsdirektivet är direkt tillämplig bl.a. att personuppgiftslagen (1998:204) behöver upphävas. 45

Befintlig reglering om personuppgiftsbehandling som omfattas av denna översyn behöver anpassas efter dessa förändringar. Det betyder bl.a. att regleringen naturligtvis måste vara i överensstämmelse med dataskyddsförordningen, men också att befintliga hänvisningar till personuppgiftslagen behöver tas bort. Även om dataskyddsförordningen är direkt tillämplig innehåller den som nämnts ovan bestämmelser som både möjliggör och förutsätter nationell särreglering. Det kan vara fråga om undantag från eller närmare preciseringar av bestämmelserna. Översynen som presenteras i denna promemoria har således handlat både om att klarlägga om befintliga bestämmelser är förenliga med dataskyddsförordningen och om det finns behov av justeringar av bestämmelserna. Dataskyddsutredningen föreslår i sitt betänkande dels att personuppgiftslagen och tillhörande förordning ska upphävas, dels en ny lag som på ett generellt plan kompletterar och gör undantag från dataskyddsförordningen, lag med kompletterande bestämmelser till EU:s dataskyddsförordning (härefter kallad dataskyddslagen). Betänkandet är föremål för remissbehandling och har således ännu inte lett till lagstiftning. En utgångspunkt i denna promemoria är att den svenska generella dataskyddsregleringen kommer att få i allt väsentligt den utformning som utredningen föreslår. Vid översynen har därför också förslaget till dataskyddslag beaktats och överväganden och förslag i denna promemoria är anpassade efter betänkandets överväganden och förslag. Förändringar i det fortsatta lagstiftningsarbetet avseende betänkandet kan därför föranleda förändringar av de överväganden och förslag som presenterats i denna promemoria. Det kan nämnas att Utredningen om tillsynen över den personliga integriteten föreslår att Datainspektionen ska utses till svensk nationell tillsynsmyndighet enligt dataskyddsförordningen och det nya dataskyddsdirektivet, Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (se betänkandet Ett samlat ansvar för tillsyn över den personliga integriteten, SOU 2016:65 s. 142). Vid översynen har också behov av vissa justeringar i författningarna uppmärksammats som inte har direkt samband med dataskyddsförordningen. I promemorian behandlas också sådana förslag till ändringar.

4.2 Dataskyddsförordningens tillämplighet

Promemorians bedömning: En stor del av författningarna omfattas av dataskyddsförordningens tillämpningsområde.

Skälen för promemorians bedömning

Helt eller delvis automatisk behandling Dataskyddsförordningen är direkt tillämplig, dock att den även förutsätter och möjliggör kompletterande nationella bestämmelser. Att den är direkt tillämplig innebär att förordningens tillämpningsområde direkt avgör huruvida en viss behandling av personuppgifter behöver följa reglerna i förordningen eller inte. Artikel 2 reglerar dataskyddsförordningens materiella tillämpningsområde. Enligt artikel 2.1 ska förordningen tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Detta motsvarar vad som gäller enligt dataskyddsdirektivet (SOU 2017:39 s. 73). Den personuppgiftsbehandling som Skatteverket, Tullverket och Kronofogdemyndigheten utför i sina verksamheter äger till stor del rum på det sätt som anges i artikel 2.1. Som framgår av de i avsnitt 3.2 redovisade registerförfattningarna för myndigheterna gäller de nämligen om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Verksamhet som inte omfattas av unionsrätten Enligt artikel 2.2 ska förordningen inte tillämpas på behandling av personuppgifter som a) utgör ett led i en verksamhet som inte omfattas av unionsrätten, b) medlemsstaterna utför när de bedriver verksamhet som omfattas av avdelning V kapitel 2 i EU-fördraget, c) en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll, d) behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Artikel 2.2 a innebär alltså att förordningen inte ska tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. Dataskyddsutredningen behandlar i sitt betänkande denna fråga. Exakt vilka verksamheter som faller utanför unionsrättens tillämpningsområde och därmed inte omfattas av förordningens bestämmelser om behandling av personuppgifter är enligt utredningen oklart, förutom när det gäller sådan verksamhet rörande nationell säkerhet som uttryckligen nämns i skälen. Det är dock enligt utredningens bedömning rimligt att anta att det inom den offentliga sektorn också finns annan verksamhet som på samma sätt som nationell säkerhet kan betraktas som en strikt nationell angelägenhet och därför faller utanför unionsrättens tillämpningsområde även vid en restriktiv tolkning av undantaget från förordningens tillämpningsområde (SOU 2017:39 s. 91). Det är inte otänkbart att viss behandling som omfattas av denna översyn skulle kunna anses vara utanför förordningens tillämpningsområde på den grunden. Skatteverket behandlar personuppgifter i sin beskattningsverksamhet, och skatteområdet innefattar bl.a. direkt skatt 47

(inkomstskatt), där unionen som utgångspunkt saknar befogenheter och som medlemsstaterna har självständig beslutanderätt på. Dataskyddsutredningen föreslår dock i sitt förslag till dataskyddslag att bestämmelserna i dataskyddsförordningen, i den ursprungliga lydelsen, och i dataskyddslagen i tillämpliga delar ska gälla även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten (1 kap. 2 § förslaget till dataskyddslag). Detta kan delvis liknas vid att personuppgiftslagen har gjorts generellt tillämplig, se avsnitt 3.1. Dataskyddslagen föreslås bli subsidiär då den anger att om en annan lag eller en förordning innehåller någon bestämmelse som rör behandling av personuppgifter och som avviker från denna lag tillämpas den bestämmelsen (1 kap. 3 § förslaget till dataskyddslag). Såvida inte någon från 1 kap. 2 § avvikande reglering föreslås på området för denna översyn, kommer därför även personuppgiftsbehandling i verksamhet utanför unionsrättens område att omfattas av förordningens tillämpningsområde. När det gäller ”i tillämpliga delar” anges i författningskommentaren till utredningens förslag bl.a. att det inte är möjligt att genom nationell rätt ålägga tillsynsmyndigheter i andra länder att samarbeta med den svenska tillsynsmyndigheten och att de bestämmelser i förordningen som avser tillsynsmyndigheternas skyldighet att samarbeta med varandra därför inte är tillämpliga. Kapitel VII och kapitel X i dataskyddsförordningen utgör inte ”tillämpliga delar” (s. 354). Som nämnts ovan är en utgångspunkt att betänkandets förslag i allt väsentligt kommer att leda till lagstiftning.

Förebygga, förhindra, utreda, avslöja eller lagföra brott Artikel 2.2 d i dataskyddsförordningen som undantar den behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder innebär att den allra största delen av den personuppgiftsbehandling som Skatteverket och Tullverket utför i sin brottsbekämpande verksamhet inte omfattas av dataskyddsförordningens tillämpningsområde. Här gäller i stället det nya dataskyddsdirektivet. Utredningen om 2016 års dataskyddsdirektiv har i uppdrag att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt. Den utredningen behandlar i delbetänkandet Brottsdatalag gränsdragningsfrågor avseende det nya dataskyddsdirektivet och dataskyddsförordningen (SOU 2017:29, avsnitt 8). Såväl Skatteverkets som Tullverkets personuppgiftsbehandling berörs där. I slutbetänkandet kommer utredningen att behandla författningsändringar som krävs i de brottsbekämpande myndigheternas registerförfattningar. De författningar som reglerar myndigheternas personuppgiftsbehandling vid sådan verksamhet, skattebrottsdatalagen (2017:452) och tullbrottsdatalagen (2017:447), omfattas därför inte av översynen i denna promemoria (se också avsnitt 2). Det bör i detta sammanhang nämnas att vissa av författningarna som omfattas av översynen i denna promemoria även kan omfattas av det nya dataskyddsdirektivets tillämpningsområde. Detta gäller t.ex. lagen (2000:1219) om internationellt tullsamarbete. Lagen tillämpas på internationellt tullsamarbete som 1. följer av en internationell överens- 48

kommelse med en annan stat eller mellanfolklig organisation som Sverige har tillträtt eller annars är förpliktat att följa och 2. har till syfte att förhindra, upptäcka, utreda eller beivra överträdelser av tullbestämmelser (1 kap. 1 §). Dessa överträdelser kan avse såväl sådana som är straffbelagda som rent administrativa överträdelser. Även när det gäller förordningen (2016:904) om tullinformationssystemet kan båda EUrättsakterna vara tillämpliga, se mer i avsnitt 7.14.

Redan ingångna internationella avtal En annan relevant bestämmelse för dataskyddsförordningens påverkan på befintlig reglering vid denna översyn återfinns i artikel 96, som reglerar förhållandet till tidigare ingångna avtal. De internationella avtal som rör överföring av personuppgifter till tredjeländer eller internationella organisationer som ingicks av medlemsstaterna före den 24 maj 2016 och som är förenliga med unionsrätten i dess lydelse innan detta datum, ska enligt artikeln fortsätta att gälla tills de ändras, ersätts eller återkallas. På området som omfattas av denna översyn finns ett stort antal författningar som avser avtal mellan Sverige och andra stater. Det gäller främst skatteavtal, dvs. avtal för undvikande av dubbelbeskattning, och informationsutbytesavtal, dvs. avtal om utbyte av upplysningar i skatteärenden. Lagarna innebär att de ingångna avtalen gäller som lag i Sverige. Informationsutbytesavtalen innehåller som benämningen antyder bestämmelser om skyldigheter för avtalsparterna att biträda varandra bl.a. genom utbyte av upplysningar. De flesta skatteavtal innehåller också någon eller några bestämmelser om utbyte av upplysningar. Som exempel på författningar av detta slag kan nämnas lagen (2016:928) om skatteavtal mellan Sverige och Azerbajdzjan och lagen (2015:219) om avtal mellan Sverige och Marshallöarna om utbyte av upplysningar i skatteärenden. När Sverige ingår avtal får unionsrätten, i den mån den är tillämplig, förutsättas iakttas. Detta innebär att internationella avtal som har ingåtts före den 24 maj 2016 ska fortsätta att gälla tills de ändras, ersätts eller återkallas.

Sammanfattande bedömning Ovanstående redogörelse innebär enligt promemorians bedömning att registerförfattningarna och andra författningar om personuppgiftsbehandling som omfattas av denna översyn till stor del omfattas av dataskyddsförordningens tillämpningsområde. Detta innebär att dataskyddsförordningen är tillämplig vid sådan personuppgiftsbehandling. Författningar som inte omfattas är främst de som gäller brottsbekämpning och författningar som inkorporerar internationella avtal.

4.3 Dataskyddslagens tillämplighet

Promemorians bedömning: Om ingen särreglering införs, kommer en stor del av författningarna att omfattas av dataskyddslagens tillämpningsområde. 49

Skälen för promemorians bedömning: Som nämnts ovan föreslår Dataskyddsutredningen i sitt betänkande (SOU 2017:39) en lag med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen. Kompletteringarna gäller på ett generellt plan. Lagen föreslås dock bli subsidiär. Om ingen särreglering i förhållande till dataskyddslagen införs eller behålls som avser behandling av personuppgifter i de registerförfattningar eller andra författningar som omfattas av denna översyn, kommer således dataskyddslagen att vara tillämplig. Som framgår i senare avsnitt avses de befintliga registerförfattningarna för de myndigheter som omfattas av denna översyn att behållas, likaså de övriga författningarna. Flera av författningarna kommer att innehålla bestämmelser som avviker från dataskyddslagens bestämmelser, och som därmed kommer att tillämpas i stället. Dessa frågor behandlas i senare avsnitt.

5 Överväganden kring vissa grundläggande krav på behandling

5.1 Rättslig grund för behandling av personuppgifter

Promemorians bedömning: Den behandling av personuppgifter som får utföras enligt bestämmelser i de berörda författningarna eller som måste utföras med anledning av bestämmelser i dem är tillåten enligt artikel 6.1 och 6.3 i dataskyddsförordningen.

Skälen för promemorians bedömning

Dataskyddsförordningens bestämmelser om rättslig grund Den europeiska dataskyddsregleringen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. Behandling av personuppgifter får därför bara ske under de omständigheter som särskilt anges i regleringen. I dataskyddsförordningen, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), räknas dessa rättsliga grunder upp i artikel 6.1. Behandling är enligt denna bestämmelse endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. b) Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.

c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d) Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. f) Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Artikel 6.1 i dataskyddsförordningen motsvarar i de flesta avseenden artikel 7 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet), som har genomförts i svensk rätt genom 10 § personuppgiftslagen (1998:204), PUL. För myndigheters verksamhet är grunderna i artikel 6.1 c och 6.1 e i dataskyddsförordningen av särskilt intresse. Bestämmelserna motsvaras av artikel 7 c och 7 e i dataskyddsdirektivet. Artikel 6.1 c i dataskyddsförordningen är i sak likalydande med artikel 7 c i dataskyddsdirektivet – personuppgifter får behandlas om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Enligt promemorians bedömning bör begreppet rättslig förpliktelse i de båda rättsakterna tolkas och tillämpas på samma sätt. Dataskyddsutredningen gör samma bedömning, se betänkandet Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsförordning, SOU 2017:39 s. 113. Artikel 6.1 e i dataskyddsförordningen är i stora delar likalydande med artikel 7 e i dataskyddsdirektivet. Av båda bestämmelserna framgår att personuppgifter får behandlas om behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. I dataskyddsdirektivets bestämmelse anges vidare att uppgifter får behandlas även om behandlingen är ett led i myndighetsutövning som utförs av tredje man till vilken uppgifterna har lämnats ut. Dataskyddsutredningen bedömer att mycket talar för att begreppet uppgift av allmänt intresse måste anses ha fått en vidare unionsrättslig betydelse genom dataskyddsförordningen än det hittills har haft. Bedömningen görs bl.a. eftersom det enligt dataskyddsförordningen, till skillnad från dataskyddsdirektivet, inte är tillåtet för myndigheter att behandla personuppgifter med stöd av den rättsliga grund som utgår från en avvägning mellan den ansvariges berättigade intressen och den registrerades rättigheter och intressen när de utför sina uppgifter (SOU 2017:39 s. 123 f.). Uppräkningen i artikel 6.1 är uttömmande. Om inget av dessa villkor är uppfyllda är behandlingen inte laglig och får därmed inte utföras. De olika villkoren är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. 51

Medlemsstaterna får enligt artikel 6.2 fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling för att efterleva punkterna 6.1 c och e. Den grund för behandling som avses i artikel 6.1 c och e ska enligt artikel 6.3 fastställas i enlighet med unionsrätten eller den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Något motsvarande krav på att grunden ska vara fastställd finns inte i dataskyddsdirektivet eller personuppgiftslagen. Det är därför möjligt att med stöd av 10 § d PUL utföra behandling av personuppgifter som är nödvändig för att utföra en arbetsuppgift av allmänt intresse, även om den rättsliga grunden inte är fastställd i författning eller liknande. Dataskyddsförordningen innebär däremot att bl.a. förpliktelser och uppgifter av allmänt intresse inte kan åberopas som rättsliga grunder för behandling av personuppgifter om den rättsliga grunden inte är fastställd i unionsrätten eller medlemsstatens nationella rätt. Vid behandling som omfattas av artikel 6.1 c och e ska enligt artikel 6.3 också syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkten 6.1 e, vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Av artikel 6.3 framgår vidare att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bl.a. de allmänna villkor som ska gälla, vilken typ av uppgifter som ska behandlas, ändamålsbegränsningar och lagringstid. Bestämmelsen behandlas också i avsnitt 6 i denna promemoria. Artikel 6.3 ställer också krav på att, i fråga om grunden för personuppgiftsbehandling, unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Detta krav på proportionalitet, som gäller även för sektorsspecifika dataskyddsbestämmelser, torde enligt Dataskyddsutredningen innebära att lagstiftaren måste göra en avvägning mellan å ena sidan behovet av att en uppgift kan utföras på ett effektivt och rättssäkert sätt och, å andra sidan, den enskildes intresse av skydd för sina personuppgifter (SOU 2017:39 s. 134).

Dataskyddsutredningens förslag Dataskyddsutredningen har haft i uppdrag att bl.a. analysera vad kravet på att den rättsliga grunden i vissa fall ska vara fastställd i unionsrätt eller nationell rätt innebär i fråga om nationell författningsreglering. Enligt Dataskyddsutredningens bedömning avses med ”den grund för behandlingen som avses i punkt 1 c och e”, den rättsliga förpliktelsen respektive uppgiften av allmänt intresse eller rätten att utöva myndighet. Däremot behöver inte själva behandlingen i sig vara fastställd (SOU 2017:39 s. 109). Den rättsliga förpliktelsen, uppgiften av allmänt intresse eller myndighetsutövningen måste således vara rättsligt förankrad i unionsrätten eller nationell rätt för att kunna åberopas som rättslig grund för personuppgiftsbehandling. Att den rättsliga grunden ska vara fastställd i den nationella rätten innebär enligt Dataskyddsutredningen inte att grunden nödvändigtvis måste fastställas i eller i enlighet med en av riksdagen beslutad lag. 52

Däremot måste grunden vara fastställd i laga ordning, på ett konstitutionellt korrekt sätt (s.112). Dataskyddsutredningen konstaterar att det följer av bestämmelserna i 8 kap. regeringsformen att rättsliga förpliktelser som åligger enskilda alltid ska ha sin grund i lag eller i kollektivavtal. Förpliktelser kan regleras direkt i lag eller i föreskrifter som har meddelats med stöd av lag. Förpliktelser kan också anges i domar eller myndighetsbeslut som meddelats med stöd av lag eller med stöd av föreskrifter som i sin tur meddelats med stöd av lag. Även domstolar och statliga myndigheter kan, vid sidan av sina uppgifter och uppdrag, sägas ha rättsliga förpliktelser. En myndighets uppdrag enligt myndighetsinstruktion eller regleringsbrev kan enligt utredningen i vissa fall utgöra en i enlighet med nationellt rätt fastställd rättslig förpliktelse, t.ex. om myndigheten ges i uppdrag att föra ett visst personuppgiftsregister. Utredningen bedömer dock att myndighetens uppdrag i normalfallet i första hand torde utgöra en rättslig grund för behandling av personuppgifter med stöd av artikel 6.1 e i dataskyddsförordningen, dvs. på grundval av att uppdraget avser en uppgift av allmänt intresse. Utredningen bedömer sammanfattningsvis att de rättsliga förpliktelser som kräver personuppgiftsbehandling, utan att någon annan rättslig grund är tillämplig, redan framgår av eller meddelas med stöd av gällande rätt (s. 116 f.). Dataskyddsutredningen, som föreskriver att det ska införas en ny lag, lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (härefter kallad dataskyddslagen), föreslår en bestämmelse som tydliggör att personuppgifter får behandlas med stöd av artikel 6.1 c i dataskyddsförordningen om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som gäller enligt lag eller annan författning, som följer av kollektivavtal eller som följer av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 3 § förslaget till dataskyddslag). Utredningen noterar att det i artikel 6.3 andra stycket första meningen i dataskyddsförordningen anges att syftet med behandlingen i dessa fall ska fastställas i den rättsliga grunden. Enligt utredningen torde kravet innebära att en förpliktelse inte kan läggas till grund för behandling av personuppgifter om syftet med behandlingen inte framgår av den författning som förpliktelsen grundas på, och inte heller i förekommande fall kan utläsas av det beslut som anger förpliktelsen. Utredningen anser att det i nuläget är oklart hur bestämmelsen ska tolkas och tillämpas i praktiken och anser att den närmare innebörden bör utvecklas i rättspraxis (s. 118 f.). Utredningen anför dock även att kravet i sig inte är någon nyhet, även om det inte framgår uttryckligen av dataskyddsdirektivet (s. 115). Även i fråga om den rättsliga grund som tar sikte på myndighetsutövning konstaterar Dataskyddsutredningen att myndighetsutövning inte kan ske utan stöd i gällande rätt (s. 122). Vad sedan gäller behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse gör utredningen, som redan nämnts, bedömningen att mycket talar för att begreppet uppgift av allmänt intresse måste anses ha fått en vidare unionsrättslig betydelse genom dataskyddsförordningen än det hittills haft (s. 123). Utredningen gör bedömningen att statliga och kommunala myndigheters verksamhet i allt väsentligt är av allmänt intresse och konstaterar att myndigheternas uppdrag och åligganden framgår av bl.a. 53

författningar och regeringsbeslut antagna i enlighet med grundlagens bestämmelser om normgivningskompetens. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller utföra dessa åligganden har därmed i sig legal grund, som har offentliggjorts genom tydliga, precisa och förutsägbara regler. Nödvändig behandling kan därför enligt utredningen ske med stöd av artikel 6.1 e i dataskyddsförordningen (s. 128 f.). Utredningen föreslår dock även i detta avseende en bestämmelse som tydliggör att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning (2 kap. 4 § förslaget till dataskyddslag).

Behandlingen är tillåten enligt artikel 6.1 och 6.3 I de författningar som är aktuella för denna översyn finns ett flertal bestämmelser som innebär att uppgifter får eller måste behandlas på ett sådant sätt att dataskyddsförordningens bestämmelser blir tillämpliga. Det rör sig både om bestämmelser i de särskilda registerförfattningarna och om bestämmelser i andra författningar. I huvudsak är det fråga om behandling som utförs av myndigheter, framför allt Skatteverket, Tullverket och Kronofogdemyndigheten. Det finns dock även bestämmelser som kan innebära att enskilda behöver behandla personuppgifter på ett visst sätt, t.ex. vid fullgörande av skyldigheter att lämna uppgifter till de berörda myndigheterna. Sådan behandling som avses i de aktuella författningarna sker regelmässigt för att utföra en uppgift av allmänt intresse. I vissa fall, särskilt i fråga om behandling som utförs av enskilda, är det fråga om att fullgöra rättsliga förpliktelser. För myndigheternas del innefattar uppgifterna dessutom ofta myndighetsutövning. Behandlingen täcks alltså av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen. Som framgår ovan har de nyss angivna grunderna i artikel 6.1 dessutom sina motsvarigheter i dataskyddsdirektivet. Promemorians bedömning är att dataskyddsförordningen i de nu aktuella fallen inte innebär att utrymmet för tillåten behandling har blivit mindre. Den behandling som omfattas av översynen i promemorian har således rättslig grund enligt artikel 6.1 i dataskyddsförordningen. Som även framgår ovan är det en nyhet i dataskyddsförordningen att den rättsliga grund som avses i artikel 6.1 c och e ska vara fastställd i unionsrätten eller nationell rätt. De uppgifter som åligger de berörda myndigheterna är fastställda i författningar, såsom i myndighetsinstruktioner och författningar som närmare reglerar viss verksamhet, eller i beslut som har meddelats med stöd av författning. För Skatteverket, Tullverket och Kronofogdemyndigheten finns t.ex. bestämmelser om myndighetens uppgifter i de förordningar som utgör myndigheternas instruktioner, men även i författningar som på ofta detaljerad nivå reglerar myndigheternas uppgifter i olika avseenden. Centrala bestämmelser för myndigheternas verksamhet finns t.ex. i skatteförfarandelagen 54

(2011:1244), tullagen (2016:253), folkbokföringslagen (1991:481) och utsökningsbalken. När det gäller sådan personuppgiftsbehandling som omfattas av denna översyn och som sker i en viss verksamhet hos en myndighet, finns i de flesta fall dessutom i registerförfattningarna särskilda bestämmelser som anger att personuppgifter får behandlas för vissa ändamål i verksamheten. Sådan behandling av enskilda aktörer som kan sägas vara ett utfall av bestämmelser i de berörda författningarna sker för att uppfylla specifika förpliktelser som har ålagts enskilda. Förpliktelserna framgår ofta direkt av bestämmelser i lag. Det får förutsättas att de bestämmelser som utgör grund för behandling av personuppgifter har bedömts vara proportionerliga i förhållande till behovet av skydd för den enskildes personliga integritet och att det finns mål av allmänt intresse. Det får också anses att syftet med sådan behandling som är nödvändig för att fullgöra rättsliga förpliktelser regelmässigt framgår i de författningar eller beslut som ger stöd för förpliktelsen. Slutsatsen är att den rättsliga grunden för den personuppgiftsbehandling som får utföras enligt bestämmelser i de berörda författningarna eller som måste utföras med anledning av bestämmelser i dem är fastställd i den nationella rätten på ett sådant sätt som krävs enligt dataskyddsförordningen. Behandlingen är således tillåten enligt artikel 6.1 och 6.3 i dataskyddsförordningen. Det kan i detta sammanhang framhållas att även de övriga kraven i dataskyddsförordningen, t.ex. de allmänna kraven i artikel 5, självklart måste vara uppfyllda när personuppgifter behandlas. Den personuppgiftsansvarige ansvarar alltid för att bl.a. kraven i artikel 5 efterlevs.

5.2 Finalitetsprincipen

Promemorians bedömning: Befintliga bestämmelser som innebär att personuppgifter behandlas för andra ändamål än det ändamål för vilket uppgifterna samlats in är förenliga med dataskyddsförordningen.

Skälen för promemorians bedömning: En av utgångspunkterna i dataskyddsregleringen är att uppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in, den s.k. finalitetsprincipen. Principen kommer till uttryck i 9 § första stycket d PUL som genomför artikel 6.1 b i dataskyddsdirektivet. Av artikel 13 i dataskyddsdirektivet följer att det är möjligt att göra undantag från finalitetsprincipen i nationell rätt i vissa fall. Ett sådant undantag får enligt den artikeln införas om det är en nödvändig åtgärd med hänsyn till bl.a. ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive bl.a. skattefrågor. Finalitetsprincipen finns uttryckt i artikel 5.1 b i dataskyddsförordningen. Där framgår bl.a. att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, samt att ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i 55

enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. Även enligt dataskyddsförordningen är det tillåtet med bestämmelser som medger att insamlade personuppgifter vidarebehandlas även om det nya ändamålet är oförenligt med insamlingsändamålet. Detta kan utläsas av skäl 50. Där anges att om behandlingen grundar sig på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa i synnerhet viktiga mål av allmänt intresse, bör den personuppgiftsansvarige tillåtas att behandla personuppgifter ytterligare, oavsett om detta är förenligt med ändamålen eller inte. Slutsatsen får också stöd av en motsatstolkning av artikel 6.4. Där finns en särskild bestämmelse för det fall då en behandling för andra ändamål än det ändamål för vilket uppgifterna samlades in inte grundar sig på den registrerades samtycke eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda vissa mål avsedda i artikel 23.1. I artikeln ges exempel på vissa omständigheter som ska beaktas vid prövningen av om behandlingen är förenlig med det ursprungliga ändamålet. Bland de mål som anges i artikel 23.1 nämns säkerställandet av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse. Det är tydligt att artikel 6.4, liksom skäl 50, utgår från att en sådan nödvändig och proportionell ytterligare behandling som anges under alla omständigheter skulle vara tillåten. Promemorians slutsats av det som anförs ovan är att dataskyddsförordningen i vart fall inte ger ett mindre utrymme för att föreskriva i nationell rätt att ytterligare behandling av personuppgifter får ske, även om den ytterligare behandlingen inte är förenlig med det ändamål för vilket uppgifterna samlades in. Bestämmelser som innebär att uppgifter som har samlats in för ett ändamål får eller ska behandlas för ett annat ändamål kan utgöra en tillämpning av finalitetsprincipen, dvs. riksdagen eller regeringen har gjort bedömningen att behandlingen är förenlig med den principen. Även befintliga bestämmelser som kan anses utgöra undantag från finalitetsprincipen, vilka måste förutsättas vara förenliga med dataskyddsdirektivet, är dock i enlighet med ovanstående resonemang förenliga med dataskyddsförordningen. Någon närmare bedömning av förenligheten med artikel 5.1 b i dataskyddsförordningen behöver därför inte göras. Befintliga bestämmelser om behandling av personuppgifter för andra ändamål än det ändamål för vilket uppgifterna samlats in får förutsättas vara förenliga med dataskyddsförordningen. Det kan nämnas att vissa författningsändringsändringar som rör finalitetsprincipen föreslås i avsnitt 7.5.

6 Nationell reglering som begränsar myndigheters möjlighet till behandling och utökar deras skyldigheter är tillåten

Promemorians bedömning: Det är tillåtet att i nationell rätt införa mer specifika bestämmelser samt att i vissa fall begränsa myndigheters möjligheter till behandling av personuppgifter och utöka deras skyldigheter i förhållande till dataskyddsförordningen.

Skälen för promemorians bedömning: I avsnitt 5.1 har redogjorts för bestämmelserna i artikel 6.1–6.3 i dataskyddsförordningen, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). I artikel 6.2 anges att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. I artikel 6.3 anges också att den rättsliga grund för behandling som avses i punkt 1 c och e ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. I artikel 6.3 ges också exempel på vilken typ av bestämmelser som den rättsliga grunden kan innehålla för att anpassa bestämmelserna i förordningen. De exempel som anges avser de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid, samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX. Regleringen innebär enligt promemorians bedömning att det finns utrymme för att såväl begränsa möjligheter som utöka skyldigheter för myndigheter som behandlar personuppgifter, utan att det står i strid med dataskyddsförordningen. Det finns alltså även fortsättningsvis utrymme att i nationell rätt uttömmande föreskriva när en myndighet ska få utföra viss behandling av personuppgifter. De registerförfattningar som reglerar aktuella myndigheters personuppgiftsbehandling innehåller en mängd regler om under vilka förutsättningar personuppgiftsbehandling får ske. Det finns t.ex. bestämmelser om för vilka ändamål personuppgifter får behandlas, vilka slag av uppgifter som får behandlas, behandling i särskilda databaser, regler om när utlämnande får ske elektroniskt och regler om när uppgifter ska gallras. Reglerna har sin grund i de särskilda behov som respektive myndighet har att behandla personuppgifter för sin myndighet. Som exempel kan nämnas Skatteverkets behandling av personuppgifter för att rätt beskattningsbeslut ska kunna fattas. Avvägningar har gjorts mot andra intressen, huvudsakligen behovet av skydd för den enskildes 57

personliga integritet. Bestämmelserna kan komma att förändras och moderniseras bl.a. om det framkommer nya behov av att behandla personuppgifter eller då lagstiftaren gör en annan bedömning av vilken behandling av personuppgifter som bör vara tillåten. En utgångspunkt för översynen av registerförfattningarna, och andra författningar som inte är rena registerförfattningar med sådana bestämmelser, är att bestämmelserna även fortsättningsvis får finnas.

7 Överväganden och förslag som rör bestämmelser i registerförfattningar

7.1 Inledning

I avsnitt 3.2 redogörs för de registerförfattningar som omfattas av denna översyn. Det är främst fråga om författningar som reglerar Skatteverkets, Kronofogdemyndighetens och Tullverkets behandling av personuppgifter i olika verksamheter vid myndigheterna. Vad gäller relationen till personuppgiftslagen (1998:204), PUL, gäller författningarna i stället för personuppgiftslagen eller så gäller personuppgiftslagen om det inte finns avvikande bestämmelser i författningen. De författningar som gäller i stället för personuppgiftslagen pekar ut bestämmelser i personuppgiftslagen som gäller när personuppgifter behandlas enligt författningen. De författningar som gäller i stället för personuppgiftslagen är lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet och tillhörande förordning (2001:588), lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet och tillhörande förordning (2001:589), lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet och tillhörande förordning (2001:590) samt lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet och tillhörande förordning (2001:646). Dessa författningar är uppbyggda på väsentligen samma sätt och tillkom i samma process, se propositionen Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33). Tillämpningsområdet för respektive författning är angivet så att lagen tillämpas vid behandling av personuppgifter i en utpekad verksamhet i aktuell myndighet, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Några av bestämmelserna i respektive lag gäller även vid behandling av uppgifter om juridiska personer eller uppgifter om avlidna personer. Grundläggande bestämmelser är angivandet av särskilda ändamål för vilka uppgifter får behandlas, dels s.k. primära ändamålsbestämmelser som tar sikte på den egna verksamheten, dels s.k. sekundära ändamål som tar sikte på lämnande av information för andras behov. Vidare finns bestämmelser om personuppgiftsansvar som anger att myndigheten är 58

personuppgiftsansvarig för behandling av personuppgifter. Det regleras också under vilka förutsättningar känsliga personuppgifter och uppgifter om lagöverträdelser får behandlas och när uppgifter ska gallras. Ett eller flera kapitel i respektive författning reglerar behandling av uppgifter i särskilda databaser. Där anges för vilka ändamål uppgifter får behandlas men också vilka uppgifter som får behandlas i databasen. Det finns också bestämmelser om vilka myndigheter som får medges direktåtkomst till uppgifter i databasen och bestämmelser om utlämnande av uppgifter på medium för automatiserad behandling. Det finns vidare bestämmelser om vilka sökbegrepp som i vissa fall får användas. Särskilda gallringsregler finns för databasen och det finns också bestämmelser om möjligheten för myndigheten att ta ut avgifter för utlämnande av uppgifter. I separata kapitel finns bestämmelser om enskildas rättigheter, nämligen om information till den registrerade, rättelse och skadestånd samt överklagande. Bestämmelserna hänvisar till särskilda bestämmelser i personuppgiftslagen som gäller, dock med vissa begränsningar. De förordningar som hör till respektive registerförfattning uppvisar färre likheter med varandra, då de innehåller regler särskilt utformade efter respektive verksamhet. Registerförfattningarna där personuppgiftslagen gäller om inte avvikande bestämmelser finns har mer varierande utformning. Lagen (1998:527) om det statliga personadressregistret har bestämmelser om för vilka ändamål det i lagen reglerade registret SPAR ska föras och vilka registret får användas av. Vidare finns bestämmelser om vad registret får innehålla, hur enskilds begäran om uppgifter ska hanteras och till vilka som uppgifter får lämnas i elektronisk form. Det finns också bestämmelser om sökbegrepp och om rättelse och skadestånd. Tillhörande förordning (1998:1234) innehåller bestämmelser om vem som är personuppgiftsansvarig och ytterligare bestämmelser om utlämnande i elektronisk form samt en bestämmelse om informationsskyldighet. Här finns också bestämmelser om sökbegrepp, möjligheten till statistiska bearbetningar, tillvägagångssätt vid misstanke om att det finns oriktiga uppgifter samt om gallring. Lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter innehåller bestämmelser om lagens syfte, tillämpningsområde, vem som är personuppgiftsansvarig, för vilka ändamål uppgifter får behandlas, när känsliga personuppgifter får behandlas, vilka sökbegrepp som får användas, utlämnande av uppgifter på medium för automatiserad behandling, rättelse och skadestånd samt om avgifter för utlämnande av uppgifter. Tillhörande förordning (2015:905) innehåller främst bemyndiganden för Skatteverket och Riksarkivet att meddela föreskrifter på olika områden. Lagen (2015:899) om identitetskort för folkbokförda i Sverige reglerar inte endast personuppgiftsbehandling utan även själva verksamheten med utfärdande av id-kort. Bestämmelserna om personuppgiftsbehandling består av regler om att det ska föras en databas med en samling uppgifter om identitetskort för folkbokförda i Sverige, att behandling av uppgifter enligt lagen är tillåten även om den registrerade motsätter sig behandlingen, vem som är personuppgiftsansvarig, för vilka ändamål personuppgifter får behandlas i databasen, under vilka förutsättningar känsliga 59

personuppgifter får behandlas och vad som får behandlas i databasen. Det finns också bestämmelser om utlämnande genom direktåtkomst, sökbegränsningar och rättelse och skadestånd. Tillhörande förordning (2015:904) innehåller närmare bestämmelser om vilka uppgifter databasen ska innehålla och gallringsbestämmelser. Det finns också bestämmelser om direktåtkomst, uppgiftsskyldighet och åtkomstbegränsning. Slutligen finns en författning som varken gäller utöver eller i stället för personuppgiftslagen: Förordningen (2016:904) om tullinformationssystemet som innehåller kompletterande regler till EU-rättsakter om EU:s tullinformationssystem har bestämmelser om vem som får föra in uppgifter i systemet, vilka myndigheter som får använda uppgifter i systemet och vilka som får ha direktåtkomst till särskilda delar av systemet. Det anges också vem som är personuppgiftsansvarig och ansvarig för bevarande och gallring samt att Datainspektionen är svensk tillsynsmyndighet. Då författningarna är uppbyggda på varierande sätt och innehåller olika detaljerade bestämmelser om personuppgiftsbehandling, har vid översynen varje författning analyserats närmare. Detta kapitel behandlar de överväganden som skett för registerförfattningarna på aktuellt område. I vissa fall görs samtidigt överväganden för författningar som inte är registerförfattningar, vilket då anges särskilt.

7.2 Förhållandet till dataskyddsförordningen och dataskyddslagen

Promemorians förslag: Bestämmelser som reglerar förhållandet till personuppgiftslagen och vilka bestämmelser i personuppgiftslagen som gäller ska tas bort. Det ska i stället införas bestämmelser som upplyser om att det finns bestämmelser om behandling av personuppgifter i dataskyddsförordningen och att lagarna innehåller bestämmelser som kompletterar dataskyddsförordningen. Det ska även införas bestämmelser om att även dataskyddslagen gäller vid behandling enligt lagarna, om inte annat följer av respektive lag eller föreskrifter som har meddelats i anslutning till den. Hänvisningar till dataskyddsförordningen ska vara dynamiska, dvs. avse förordningen i den vid varje tidpunkt gällande lydelsen.

Skälen för promemorians förslag

Registerförfattningarnas förhållande till dataskyddsförordningen och dataskyddslagen ska klargöras Dataskyddsförordningen, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), innebär att personuppgiftslagen kommer att upphävas. De allra flesta registerförfattningar som omfattas av denna översyn har hänvisningar till personuppgiftslagen, se avsnitt 7.1. I vissa av författningarna anges att lagen gäller i stället för personuppgiftslagen, 60

och avseende vissa gäller personuppgiftslagen om det inte finns avvikande bestämmelser i författningen. Eftersom personuppgiftslagen kommer att upphävas kan dessa bestämmelser inte finnas kvar utan de måste tas bort. När det gäller de registerförfattningar som gäller i stället för personuppgiftslagen räknas i en inledande paragraf dessutom upp de bestämmelser i personuppgiftslagen som gäller när personuppgifter behandlas enligt lagen (se t.ex. 1 kap. 3 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet). Det finns även på andra platser i författningarna bestämmelser som anger att personuppgiftslagen gäller. Det anges t.ex. i nästan alla registerförfattningar att bestämmelserna i personuppgiftslagen om rättelse och skadestånd gäller vid behandling av personuppgifter enligt lagen (se t.ex. 9 § lagen om det statliga personadressregistret). Lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet har en sådan hänvisning endast till bestämmelserna om skadestånd (3 kap. 3 §). Det finns också bestämmelser som anger att personuppgiftslagens bestämmer om information till den registrerade gäller (se t.ex. 3 kap. 1 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet). Sådana slag av hänvisningar som nu nämns måste av samma skäl som ovan tas bort. I vissa fall bör justeringar göras av bestämmelserna. Förutom vad som behandlas i detta avsnitt, presenteras sådana ändringsförslag i senare avsnitt. I avsnitt 4.2 och 4.3 behandlas vissa allmänna utgångspunkter. Av avsnitten framgår att en stor del av författningarna som ingår i denna översyn bedöms omfattas av dataskyddsförordningens tillämpningsområde och att om ingen särreglering finns, kommer en stor del av författningarna att omfattas av lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (härefter kallad dataskyddslagen). Dataskyddsförordningen och dataskyddslagen har således stor relevans för nu aktuella registerförfattningar. Eftersom dataskyddsregleringen på området inte bara kommer att bestå av respektive registerförfattning utan även av dataskyddsförordningen och dataskyddslagen, bör enligt promemorians bedömning registerförfattningarnas förhållande till dessa regleringar klargöras. Detta bör ske i respektive författning. Det föreslås därför att det i stället för regleringen om förhållandet till personuppgiftslagen införs en bestämmelse som upplyser om att bestämmelser om behandling av personuppgifter finns i dataskyddsförordningen och att registerförfattningen innehåller kompletterande bestämmelser om sådan behandling. Vidare bör införas en bestämmelse som anger att även dataskyddslagen gäller vid behandling av personuppgifter enligt lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till den. Som framgår av tidigare redovisningar gäller flertalet registerförfattningar som omfattas av översynen i dag i stället för personuppgiftslagen, medan andra författningar, även nyare, gäller utöver personuppgiftslagen. Förslagen i denna del innebär att det inte längre kommer att finnas en i ”stället för”-reglering på området som omfattas av denna översyn. Dataskyddsförordningen gäller direkt och kan inte anges som subsidiär. Vad gäller dataskyddslagen är det dock möjligt att peka ut vilka bestämmelser i lagen som ska gälla. Då huvudregleringen, dvs. dataskyddsförordningen, ändå är direkt tillämplig och då en stor del av den 61

kompletterande regleringens, dvs. dataskyddslagens, bestämmelser bedöms bli relevanta för aktuella verksamheter är en sådan lösning som nu föreslås enligt promemorians bedömning den mest lämpliga. Promemorians förslag innebär också att samtliga registerförfattningar som omfattas av översynen kommer att ha samma systematik, vilket bedöms som en fördel ur rättstillämpningssynpunkt. Vidare kan nämnas att liknande systematik kan förväntas föreslås av Utredningen om 2016 års dataskyddsdirektiv. I sitt delbetänkande Brottsdatalag (SOU 2017:29) föreslår utredningen nämligen en brottsdatalag, som förväntas komplettera de registerförfattningar som finns på det brottsbekämpande området, däribland för Skatteverkets och Tullverkets brottsbekämpande verksamhet. Förslag avseende registerförfattningarna kommer att lämnas i slutbetänkandet, som avses lämnas senast den 30 september 2017. Förordningen om tullinformationssystemet är en författning som reglerar behandling av personuppgifter men som inte är en regelrätt registerförfattning, då behandlingen av personuppgifter huvudsakligen sker enligt antingen lagen om behandling av uppgifter i Tullverkets verksamhet eller av tullbrottsdatalagen (2017:447). Författningen saknar bestämmelser om förhållandet till personuppgiftslagen och det saknas skäl att införa bestämmelser om förhållandet till de nya regleringarna i den förordningen. Andra justeringar föreslås dock i den författningen, se avsnitt 7.14 om tillsynsmyndighetens befogenheter. Något kan nämnas om innebörden av att dataskyddslagen gäller om inte annat följer av registerförfattningen eller föreskrifter som har meddelats i anslutning till registerförfattningen. För det första gäller att för det fall några avvikande bestämmelser inte finns i registerförfattningen, är det dataskyddslagens bestämmelser som gäller (naturligtvis utöver vad som direkt framgår av dataskyddsförordningen). Det kan finnas skäl att särskilt lyfta den särskilda bestämmelsen 1 kap. 2 § förslaget till dataskyddslag, genom vilken bestämmelserna i dataskyddsförordningen i tillämpliga delar ska gälla även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. I promemorian föreslås inga bestämmelser i registerförfattningarna som avviker från detta. För personuppgiftsbehandling enligt registerförfattningarna kommer härigenom dataskyddsförordningen, i tillämpliga delar, att ha ett större tillämpningsområde än vad själva förordningen föreskriver. Se mer om detta i avsnitt 4.2. I flera avseenden kommer registerförfattningarna att ha bestämmelser som avviker från dataskyddslagen, vilket behandlas under varje relevant avsnitt. Det kan också nämnas att även om dataskyddslagen gäller, och det inte finns avvikande bestämmelser i registerförfattningarna, kan vissa bestämmelser i dataskyddslagen vara irrelevanta för aktuell myndighets behandling. Sådana bestämmelser blir därmed inte aktuella att tillämpa. Samma förhållande kan gälla i dag för de registerförfattningar där personuppgiftslagen gäller. Förslagen genomförs främst genom ändringar i 2 § lagen om det statliga personadressregistret, 1 kap. 2 och 3 §§ lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 2 och 3 §§ lagen om behandling av personuppgifter i Skatteverkets folkbokförings- 62 verksamhet, 1 kap. 2 och 3 §§ lagen om behandling av uppgifter i

Kronofogdemyndighetens verksamhet, 1 kap. 2 och 3 §§ lagen om behandling av uppgifter i Tullverkets verksamhet, 4 § lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter och 10 § lagen om identitetskort för folkbokförda i Sverige samt i rubriker före dessa bestämmelser. Utöver detta slopas vissa bestämmelser helt, samt ändras vissa bestämmelser som innehåller hänvisningar till personuppgiftslagen.

Dynamiska hänvisningar ska användas Föreslagna bestämmelser i detta och i flera andra avsnitt i denna promemoria innehåller hänvisningar till dataskyddsförordningen. Hänvisningar till EU-rättsakter kan göras antingen statiska eller dynamiska. En statisk hänvisning innebär att hänvisningen avser EUrättsakten i en viss angiven lydelse. En följd av att ha en statisk hänvisning blir att om EU-bestämmelsen ändras behöver lagstiftaren överväga om någon ändring bör göras i den nationella lagstiftningen. En dynamisk hänvisning innebär att hänvisningen avser EU-rättsakten i den vid varje tidpunkt gällande lydelsen. Dataskyddsförordningen är direkt tillämplig och är den huvudsakliga rättsakten på området för dataskydd. De föreslagna hänvisningar till dataskyddsförordningen som behandlas i denna promemoria avser klargöranden av förhållandet mellan registerförfattningarna och förordningen (se detta avsnitt), bestämmelser av upplysningskaraktär (se t.ex. avsnitt 7.5), hänvisningar till definitioner i dataskyddsförordningen (se avsnitt 7.6.1), undantag från dataskyddsförordningen (se t.ex. avsnitt 7.11.4) och klargöranden av vad som gäller enligt dataskyddsförordningen (se t.ex. avsnitt 8). Hänvisningarna i denna promemoria föreslås, i likhet med vad som med ett undantag föreslås i den nya dataskyddslagen (Betänkandet Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsförordning, SOU 2017:39 s. 80–82), vara dynamiska. Detta motsvarar också den hänvisningsteknik som har använts i lagstiftning på senare tid (se t.ex. prop. 2015/16:156 s. 20 f. och 33 f., prop. 2015/16:160 s. 36 f. och 45 och 2016/17:22 s. 96 f.). Valet av dynamisk hänvisning innebär som framgår ovan att hänvisningen kommer att omfatta eventuella ändringar i förordningen efter dess ikraftträdande. Detta hindrar dock inte att den nationella lagstiftningen kan komma att behöva ändras om förordningens innehåll förändras.

7.3 Registerförfattningarnas tillämpningsområde

Promemorians bedömning: Bestämmelser i registerförfattningar om i vilken verksamhet, vid vilka former av behandling och för vilka uppgifter en författning ska tillämpas påverkas inte i sig av dataskyddsförordningen. Befintliga bestämmelser kan behållas.

Skälen för promemorians bedömning

Nuvarande reglering De registerförfattningar som omfattas av denna översyn som gäller i stället för personuppgiftslagen har en bestämmelse om författningens tillämpningsområde enligt följande modell: Lagen tillämpas vid behandling av personuppgifter i Tullverkets verksamhet, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelserna i 4–6 och 8 §§ samt 2 kap. gäller även vid behandling av uppgifter om juridiska personer (exemplet är från 1 kap. 1 § första och andra stycket lagen om behandling av uppgifter i Tullverkets verksamhet). I paragrafens tredje stycke finns en bestämmelse som inte har liknande motsvarigheter i andra författningar. Enligt denna gäller bestämmelserna i lagen inte behandling av uppgifter i den brottsbekämpande verksamhet som Tullverket bedriver. För sådan behandling finns det särskilda bestämmelser i tullbrottsdatalagen. Det anges alltså vilken form av behandling som lagen är tillämplig på (automatiserad osv.), vilken verksamhet (Tullverkets verksamhet) samt vilka bestämmelser som också är tillämpliga vid behandling av andra uppgifter än personuppgifter (juridiska personer). Vad gäller t.ex. Kronofogdemyndighetens registerförfattning gäller några bestämmelser även vid behandling av uppgifter om avlidna, och i någon annan registerförfattning saknas det särreglering för juridiska personer medan det finns för avlidna. Även lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter har en liknande bestämmelse, även om personuppgiftslagen gäller vid behandling enligt lagen. Övriga registerförfattningar där personuppgiftslagen gäller har ingen sådan bestämmelse om lagens tillämpningsområde. När det gäller personuppgiftslagen är den lagens tillämpningsområde angivet så att lagen gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad. Lagen gäller även för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). Tillämpningsområdet vad gäller formen för behandling är således identisk med registerförfattningarna.

Dataskyddsförordningen Av artikel 2.1 i dataskyddsförordningen framgår att förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Ett register är enligt definitionen i artikel 4.6 en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Med personuppgifter avses enligt artikel 4.1 i dataskyddsförordningen 64 varje upplysning som avser en identifierad eller identifierbar fysisk

person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Dataskyddsförordningen omfattar inte behandling av personuppgifter rörande juridiska personer, se skäl 14. Av skäl 27 framgår att förordningen inte heller gäller behandling av personuppgifter rörande avlidna personer, men att medlemsstaterna får fastställa bestämmelser för behandlingen av personuppgifter rörande avlidna personer.

Bestämmelserna om tillämpningsområdet behöver inte justeras Tillämpningsområdet vad gäller formen för behandling anges i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet), som genomförts bl.a. genom personuppgiftslagen, i relevanta delar på samma sätt som i dataskyddsförordningen. Uttryckssätten är dock något olika. I 5 § PUL används inte begreppet register, utan en något annorlunda formulering av dataskyddsdirektivets definition av ett register, nämligen en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Enligt 3 § PUL avses med personuppgifter all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Formuleringarna i personuppgiftslagen är avsedda att ha samma innebörd som enligt dataskyddsdirektivet (se propositionen Personuppgiftslag 1997/98:44 s. 117–118). Enligt promemorians bedömning utgör det något annorlunda uttryckssättet i artikel 2.1 i dataskyddsförordningen inte någon skillnad i sak mot det uttryckssätt som används i nu gällande reglering (se också SOU 2017:39 s. 73). Registerförfattningarnas tillämpningsområde med avseende på formen för behandling (automatiserad osv.) överensstämmer därmed med dataskyddsförordningens tillämpningsområde. Det finns inget i dataskyddsförordningen som hindrar att medlemsstaterna fritt bestämmer tillämpningsområdet för nationell lagstiftning som innehåller bestämmelser som kompletterar dataskyddsförordningen. Det är således möjligt att reglera frågor som ligger utanför dataskyddsförordningens tillämpningsområde i en sådan författning. En registerförfattning kan alltså ha både ett vidare eller snävare tillämpningsområde än dataskyddsförordningen och därmed t.ex. omfatta behandling av uppgifter om avlidna personer. Att medlemsstaterna får fastställa bestämmelser för behandlingen av personuppgifter avseende avlidna personer framgår som nämnts ovan uttryckligen av skäl 27 i dataskyddsförordningen. De bestämmelser i registerförfattningar som i dag gäller för uppgifter om avlidna personer eller juridiska personer kan alltså även fortsättningsvis tillämpas på sådana uppgifter. Det skulle kunna övervägas att stryka utpekandet avseende formen för behandling (automatiserad osv.) i registerförfattningarna då förordningen har en sådan reglering. Promemorians bedömning är att tillämpnings- 65

området för den nationella regleringen, som dessutom innehåller regler på områden som ligger utanför förordningens tillämpningsområde såsom uppgifter om juridiska personer, bör anges fullständigt. Inga ändringar föreslås därför avseende registerförfattningarnas tillämpningsområde. Att registerförfattningarna har ett något större tillämpningsområde än förordningen kan ge upphov till frågan om även dataskyddsförordningen och dataskyddslagen kan bli tillämpliga för den utökade kretsen. Hela registerförfattningen är dock inte tillämplig på den utökade kretsen personer, utan tillämpningsområdet är så utformat att det anges vilka bestämmelser i lagen som gäller även vid behandling av uppgifter om juridiska och/eller avlidna personer. Detta innebär att när det gäller juridiska och/eller avlidna personer blir varken dataskyddsförordningen eller dataskyddslagen tillämplig. Att varken dataskyddsförordningen eller dataskyddslagen är tillämplig innebär t.ex. att en felaktig hantering av uppgifter gällande en avliden person inte kan leda till sanktionsavgift enligt förordningen. Sammanfattningsvis föranleder inte dataskyddsförordningen några ändringar i bestämmelser om registerförfattningarna tillämpningsområde. Bestämmelserna kan behållas.

7.4 Personuppgiftsansvar, personuppgiftsbiträde och dataskyddsombud

Promemorians bedömning: Bestämmelser i registerförfattningar och andra författningar om vem som är personuppgiftsansvarig och personuppgiftsbiträde kan behållas. Dataskyddsförordningens bestämmelser om personuppgiftsbiträde och dataskyddsombud föranleder inga författningsändringar.

Skälen för promemorians bedömning

Nuvarande reglering I artikel 2 d i det nu gällande dataskyddsdirektivet anges att när ändamålen och medlen för behandlingen bestäms av nationella lagar och andra författningar eller gemenskapsrätten kan den registeransvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller gemenskapsrätten. I samtliga registerförfattningar som omfattas av denna översyn finns bestämmelser som pekar ut vem som är personuppgiftsansvarig, antingen direkt i lagen eller i tillhörande förordning. Det är Skatteverket, Tullverket och Kronofogdemyndigheten som pekas ut i respektive berörd författning. Det finns inga hänvisningar till personuppgiftslagen i dessa bestämmelser. Det förekommer också att en myndighet pekas ut som personuppgiftsansvarig i annan författning än registerförfattning. I förordningen (1997:1140) om vägavgift för vissa tunga fordon anges Skatteverket som personuppgiftsansvarigt för behandling av personuppgifter som vissa juridiska personer gör, när betalning av vägavgift av Skatteverket har bestämt ska göras till den juridiska personen (12 §, se 66 också 16 §).

När det gäller personuppgiftsbiträden finns inga bestämmelser i registerförfattningarna, men vissa bestämmelser om personuppgiftsbiträden finns i 30–31 §§ PUL. 30–32 §§ PUL är tillämpliga vid behandling enligt samtliga berörda registerförfattningar. 30 § PUL anger bl.a. att ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige och att det ska finnas ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. Enligt 31 § PUL ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, de särskilda risker som finns med behandlingen av personuppgifterna, och hur pass känsliga de behandlade personuppgifterna är. När den personuppgiftsansvarige anlitar ett personuppgiftsbiträde, ska den personuppgiftsansvarige förvissa sig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att personuppgiftsbiträdet verkligen vidtar åtgärderna. I 32 § regleras frågor om tillsynsmyndighetens möjlighet att besluta om säkerhetsåtgärder. I ovan nämnda 12 och 16 §§ förordningen om vägavgift för vissa tunga fordon pekas den juridiska person som avses i bestämmelserna ut som personuppgiftsbiträde i paragraferna angivna situationer. Registerförfattningarna som gäller i stället för personuppgiftslagen hänvisar också till personuppgiftslagens bestämmelser om personuppgiftsombud m.m. i 36 § andra stycket och 38–41 §§ PUL. 36 § andra stycket PUL anger att om den personuppgiftsansvarige utser ett personuppgiftsombud ska detta anmälas till tillsynsmyndigheten. Det finns således ingen skyldighet att utse ett sådant ombud. 38–40 §§ PUL reglerar sedan vilka uppgifter ett personuppgiftsombud har. Ombudet ska t.ex. självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt, anmäla vissa förhållanden till tillsynsmyndigheten, föra en förteckning över behandlingar som genomförs och hjälpa registrerade att få rättelse i vissa fall.

Dataskyddsförordningens krav Liksom i dataskyddsdirektivet förutsätts i dataskyddsförordningen att det finns en personuppgiftsansvarig (tidigare registeransvarig) för all personuppgiftsbehandling. I artikel 4.7 i dataskyddsförordningen definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Med uppgiften som personuppgiftsansvarig följer vissa skyldigheter enligt dataskyddsförordningen. Dessa skyldigheter är i grunden desamma 67

som i dataskyddsdirektivet. Även dataskyddsförordningen kräver t.ex. att den personuppgiftsansvarige ser till att behandlingen av personuppgifter sker på ett korrekt och säkert sätt (artikel 5.2 jfrt med 5.1 a), att oriktiga uppgifter rättas (artikel 16) och att den registrerade ersätts för skada som en rättstridig behandling av personuppgifter har medfört (artikel 82). Enligt skäl 45 bör behandlingens syfte fastställas i unionsrätten eller medlemsstaternas nationella rätt och genom denna grund är det möjligt att bl.a. precisera kraven för att fastställa vem den personuppgiftsansvarige är. Enligt samma skäl bör unionsrätten och medlemsstaternas nationella rätt också reglera frågan huruvida en personuppgiftsansvarig som utför en uppgift av bl.a. allmänt intresse ska vara en offentlig myndighet. En nyhet är att den personuppgiftsansvarige (och personuppgiftsbiträdet, se nedan) i större utsträckning än tidigare är skyldig att utse ett dataskyddsombud (tidigare uppgiftsskyddsombud). Det blir obligatoriskt för i princip samtliga myndigheter att ha ett sådant ombud (artikel 37). Dataskyddsförordningen medför något större förändringar för personuppgiftsbiträdena (tidigare registerförare). Definitionen av personuppgiftsbiträde är densamma som för dataskyddsdirektivets registerförare, nämligen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning (artikel 4.8 i dataskyddsförordningen). Mer långtgående skyldigheter för personuppgiftsbiträdet införs emellertid genom dataskyddsförordningen. Biträdet får t.ex. inte anlita underbiträden utan tillstånd från den personuppgiftsansvarige (artikel 28.2). Av artikel 28.3 framgår att när uppgifter behandlas av ett personuppgiftsbiträde ska hanteringen regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet, enligt i artikeln närmare angivna förutsättningar. I artikel 37 finns en bestämmelse om utnämning av dataskyddsombud, som riktar sig till både den personuppgiftsansvarige och personuppgiftsbiträdet. När det gäller dataskyddsombud får, om den personuppgiftsansvarige eller personuppgiftsbiträdet är en myndighet eller ett offentligt organ, ett enda dataskyddsombud utnämnas för flera sådana myndigheter eller organ, med hänsyn till deras organisationsstruktur och storlek (artikel 37.3). I artikel 38 beskrivs dataskyddsombudets ställning. Enligt artikel 39 har dataskyddsombud bl.a. till uppgift att övervaka efterlevnaden av dataskyddsförordningen, av andra av unionens eller medlemsstaternas dataskyddsbestämmelser och av den personuppgiftsansvariges eller personuppgiftsbiträdets strategi för skydd av personuppgifter, inbegripet ansvarstilldelning, information till och utbildning av personal som deltar i behandling och tillhörande granskning (artikel 39.1 b).

Dataskyddsutredningen Dataskyddsutredningen har inga förslag som avser utseende av personuppgiftsansvariga eller personuppgiftsbiträden. Dataskyddsutredningen föreslår en bestämmelse om dataskyddsombud som avser tystnadsplikt, som har stöd i artikel 38.5 (1 kap. 6 § förslaget till dataskyddslag). I övrigt föreslås inga bestämmelser om dataskyddsombud. 68

Det behövs inga justeringar i registerförfattningarna eller andra författningar Som framgår av avsnitt 7.2 föreslås hänvisningarna i registerförfattningarna till personuppgiftslagen tas bort, varför hänvisningarna till 30– 32 §§ PUL om säkerheten vid behandling kommer att försvinna. I registerförfattningarna finns vidare bestämmelser som pekar ut respektive myndighet som personuppgiftsansvarig. Som framgår ovan tillåter dataskyddsförordningen en sådan ordning. Det bidrar till att tydliggöra för de registrerade vem de ska hålla ansvariga för behandlingen av personuppgifter enligt lagen. Bestämmelserna om utpekande av vem som är personuppgiftsansvarig är därmed förenliga med dataskyddsförordningen. Det har inte framkommit några andra skäl att göra några förändringar av dessa bestämmelser, varför de bör behållas. Dataskyddsförordningen hindrar inte heller att det i författning pekas ut vem som är personuppgiftsbiträde. Även bestämmelserna i 12 och 16 §§ förordningen om vägavgift för vissa tunga fordon är därmed förenliga med dataskyddsförordningen. Som framgår av artikel 28.3 i dataskyddsförordningen ska när uppgifter behandlas av ett personuppgiftsbiträde hanteringen regleras genom ett avtal eller en annan rättsakt på i artikeln närmare angivna villkor. Sådant kan således regleras på annat sätt än i författning. Det finns därmed inte heller avseende personuppgiftsbiträden behov av att göra någon ändring i vare sig registerförfattningarna eller i annan författning. Bestämmelserna i dataskyddsförordningen om dataskyddsombud gäller direkt och därmed innebär de nya reglerna en förändring i fråga om skyldigheten att ha dataskyddsombud, nämligen att en sådan inträder för nästan alla myndigheter. Förutom att hänvisningarna till personuppgiftslagen i registerförfattningarna som gäller i stället för personuppgiftslagen ska tas bort, behövs enligt promemorians bedömning inga lagstiftningsåtgärder i frågan om dataskyddsombud. Att personuppgiftslagens bestämmelser om personuppgiftsombudet tas bort och ersätts av dataskyddsförordningens bestämmelser om dataskyddsombud kan innebära en ändring avseende vilka uppgifter ett ombud har. Då detta inte har någon påverkan på de författningar som omfattas av denna översyn, berörs den frågan dock inte närmare i denna promemoria. Det föreslås således inga författningsändringar när det gäller personuppgiftsansvar, personuppgiftsbiträden eller dataskyddsombud.

7.5 Ändamålsbestämmelser

Promemorians bedömning: Ändamålsbestämmelser som anger att behandling av personuppgifter är tillåten och som drar upp gränser för vilken behandling som är tillåten kan behållas. Promemorians förslag: Hänvisningar till finalitetprincipen i 9 § första stycket d och andra stycket personuppgiftslagen i sekundära ändamålsbestämmelser ska ersättas med bestämmelser som innebär att uppgifter som behandlas enligt de primära ändamålen får behandlas även för andra ändamål, under förutsättning att det nya ändamålet inte 69

är oförenligt med det ändamål för vilket uppgifterna samlades in. Sådana bestämmelser ska införas även i vissa författningar som i dag saknar en hänvisning till finalitetsprincipen i ändamålsbestämmelserna. Bestämmelser om att uppgifter får behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning ska ersättas med bestämmelser som anger att uppgifter får behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I vissa sekundära ändamålsbestämmelser ska förtydligas att de uppgifter som får behandlas för de sekundära ändamålen är sådana uppgifter som redan behandlas för de tillåtna primära ändamålen. De sekundära ändamålsbestämmelserna samlas också i en och samma paragraf i varje författning. Det ska även göras vissa redaktionella ändringar.

Skälen för promemorians bedömning och förslag

Nuvarande reglering De registerförfattningar som berörs av översynen innehåller bestämmelser om för vilka ändamål uppgifter får behandlas. Bestämmelserna utgör ramar för vilken personuppgiftsbehandling som är tillåten. Bestämmelserna delas ofta in i s.k. primära och sekundära ändamålsbestämmelser. De primära ändamålen avser att tillgodose de behov som finns att behandla personuppgifter i den verksamhet hos den egna myndigheten som författningen, eller del av författningen, gäller för. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter, som myndigheten har samlat in för ett primärt ändamål, får behandlas för att lämnas ut till annan verksamhet inom den egna myndigheten, till enskilda eller till andra myndigheter i syfte att tillgodose deras behov. Utlämnande av uppgifter kan i vissa fall också omfattas av de primära ändamålen. Ändamålsbestämmelser finns i 1 kap. 4 och 5 §§ lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 4 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 1 kap. 4 §, 2 kap. 2, 3, 8, 9, 14, 15, 20 och 20 a §§ lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet, 1 kap. 4 och 5 §§ lagen om behandling av uppgifter i Tullverkets verksamhet, 12 § lagen om identitetskort för folkbokförda i Sverige, 6 § lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter och 3 § lagen om det statliga personadressregistret. Ändamålsbestämmelserna som gäller för folkbokföringsverksamheten och SPAR skiljer sig från bestämmelserna i andra författningar genom att de inte är uppdelade på primära och sekundära ändamål. En primär ändamålsbestämmelse kan t.ex. se ut på så sätt att den anger att uppgifter får behandlas för tillhandahållande av information som behövs hos Skatteverket för fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av skatter och avgifter (1 kap. 4 § lagen om behandling av uppgifter i Skatteverkets beskattnings- 70

verksamhet). För Kronofogdemyndighetens del anges ändamål för var och en av de databaser som regleras i lagen (se t.ex. 2 kap. 2 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet). I de primära ändamålsbestämmelserna anges ändamål i myndighetens egen verksamhet eller del av verksamhet för vilka uppgifter får behandlas. Sekundära ändamål har reglerats i lag i vissa fall, då det går att förutse att information regelmässigt kommer att användas av andra myndigheter eller i annan författningsreglerad verksamhet. Det har dock bedömts att en uppräkning av sekundära ändamål som inte avser utlämnande med hjälp av direktåtkomst inte kan bli uttömmande (prop. 2000/01:33 s. 100). I de sekundära ändamålsbestämmelserna ges ofta en uppräkning över vissa vanligt förekommande ändamål för utlämnande. Därutöver anges ofta att uppgifter får behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning (se t.ex. 1 kap. 5 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet), eller att uppgifter får behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning (se t.ex. 12 § andra stycket lagen om identitetskort för folkbokförda i Sverige). I några författningar hänvisas i anslutning till de sekundära ändamålsbestämmelserna till bestämmelsen om den s.k. finalitetsprincipen i 9 § första stycket d och andra stycket PUL (se t.ex. 12 § lagen om identitetskort för folkbokförda i Sverige). Finalitetsprincipen innebär att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Bestämmelser om att uppgifter får behandlas för att fullgöra föreskrivet uppgiftslämnande och hänvisningar till finalitetsprincipen i ändamålsbestämmelser har införts i förtydligande syfte (se t.ex. propositionen Vissa frågor om behandling av personuppgifter och regleringen av id-kortsverksamheten hos Skatteverket, 2015/16:28 s. 38 och propositionen Informationsutbyte vid samverkan mot organiserad brottslighet, 2015/16:167 s. 44). Utlämnande som är förenligt med finalitetsprincipen är tillåtet även i de fall särskilda bestämmelser om finalitetsprincipen saknas i ändamålsbestämmelserna. Detta följer av att regleringen av de sekundära ändamålen i de berörda författningarna inte är uttömmande. Att finalitetsprincipen ska tillämpas vid behandlingen följer också av att det hänvisas till relevanta delar av 9 § PUL i de paragrafer som anger vilka bestämmelser i personuppgiftslagen som ska tillämpas.

Dataskyddsförordningens bestämmelser De bestämmelser i dataskyddsförordningen som har betydelse för registerförfattningarnas ändamålsbestämmelser finns i artikel 5 och 6 i dataskyddsförordningen. Artikel 6 har behandlats i avsnitt 5 och 6. I artikel 5 i dataskyddsförordningen finns bl.a. bestämmelser om att uppgifter ska behandlas på ett lagligt sätt och samlas in för särskilt uttryckligt angivna och berättigade ändamål. Vidare framgår av artikel 5 finalitetsprincipen, som innebär att uppgifter inte ska behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

Endast vissa justeringar behöver göras med anledning av dataskyddsförordningen Ändamålsbestämmelser i författningar tydliggör ramarna och drar upp gränser för vilken behandling som är tillåten. I avsnitt 5.1 har gjorts bedömningen att den behandling som omfattas av översynen täcks av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen och även är förenlig med artikel 6.3. Den behandling som myndigheten utför inom ramen för de i lag angivna ändamålsbestämmelserna sker för att fullgöra en arbetsuppgift av allmänt intresse, som ett led i myndighetsutövning eller för att fullgöra en rättslig förpliktelse. I avsnitt 5.2 har bedömts att befintliga bestämmelser om behandling av personuppgifter för andra ändamål än det ändamål för vilket uppgifterna samlats in är förenliga med dataskyddsförordningen. Bestämmelser som innebär att uppgifter som har samlats in för ett ändamål får eller ska behandlas för ett annat ändamål kan utgöra en tillämpning av finalitetsprincipen. Riksdagen har då gjort bedömningen att behandlingen är förenlig med finalitetsprincipen. Enligt dataskyddsförordningen finns också möjlighet att i nationell rätt, i vart fall i samma utsträckning som har varit möjligt enligt dataskyddsdirektivet, införa bestämmelser som medger att insamlade personuppgifter vidarebehandlas även om det nya ändamålet är oförenligt med insamlingsändamålet. De ändamålsbestämmelser som finns i författningarna bedöms mot den bakgrunden som förenliga med dataskyddsförordningen. De kan därför behållas. I de delar bestämmelserna hänvisar till personuppgiftslagen behöver de dock justeras. Av avsnitt 7.2 framgår att det föreslås att bestämmelser om vilka bestämmelser i personuppgiftslagen som gäller ska tas bort. Hänvisningen till 9 § första stycket d och andra stycket PUL (finalitetsprincipen) i ändamålsbestämmelserna bör ersättas med en bestämmelse om att uppgifter som behandlas enligt de primära ändamålen får behandlas även för andra ändamål, under förutsättning att det nya ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Härigenom blir det även fortsättningsvis tydligt att behandling får ske för ändamål som är förenliga med insamlingsändamålen. Innebörden av bestämmelserna kommer att vara densamma som i dag. Förslagen genomförs genom ändringar i 6 § andra stycket lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter och 12 § andra stycket lagen om identitetskort för folkbokförda i Sverige.

Det ska finnas stöd för behandling för att fullgöra föreskrivet uppgiftslämnande och behandling som är förenlig med finalitetsprincipen I samband med den översyn som nu görs kan finnas skäl att göra vissa allmänna justeringar och förtydliganden, som inte direkt har samband med den nya dataskyddsregleringen. De sekundära ändamålsbestämmelser som tar sikte på föreskrivet uppgiftslämnande ser lite olika ut i de olika registerförfattningarna. Som framgår ovan anges i vissa författningar att uppgifter får behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna 72

uppgifterna följer av lag eller förordning, medan det i vissa författningar anges att uppgifter får behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Den första typen av bestämmelse tar sikte på situationer när det finns en skyldighet att lämna uppgifter, medan den andra typen av bestämmelse tar sikte även på andra bestämmelser som tillåter uppgiftslämnande. Bestämmelser som tillåter uppgiftslämnande under vissa förutsättningar finns bl.a. i 10 kap. 27 § offentlighets- och sekretesslagen (2009:400). När bestämmelser som påbjuder eller tillåter utlämnande har införts, får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken man funnit att uppgiften ska eller får lämnas ut. Det har därför i vissa sammanhang anförts att det saknas anledning att i en integritetsskyddslagstiftning förhindra att personuppgifter som finns i den berörda verkssamheten lämnas ut i dessa fall bara därför att dessa numera hanteras med modern informationsteknik i stället för som tidigare på papper (se t.ex. propositionen Patientdatalag, 2007/08:126 s. 60, propositionen Domstolsdatalag, 2014/15:148 s. 41 och propositionen Utlänningsdatalag, 2015/16:65 s. 69). De sekundära ändamålsbestämmelserna i lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och lagen om behandling av uppgifter i Tullverkets verksamhet är visserligen inte uttömmande. Utlämnande som sker med stöd av en föreskrift som innebär att uppgifter får lämnas ut kan därför ske även utan uttryckligt stöd i de författningarna. För att regleringen ska vara tydlig och konsekvent kan det dock vara lämpligt att utforma de sekundära ändamålsbestämmelserna även i dessa lagar så att de omfattar utlämnande som sker både med stöd av en bestämmelse om uppgiftsskyldighet och med stöd av en bestämmelse som tillåter uppgiftslämnande. I de nyss uppräknade författningarna bör därför anges att uppgifter får behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I vissa av registerförfattningarna finns, som framgår ovan, en hänvisning till finalitetsprincipen i de sekundära ändamålsbestämmelserna, medan vissa författningar saknar detta. De hänvisningar som finns har införts i syfte att förtydliga att personuppgifter får behandlas för andra ändamål än de ursprungliga, förutsatt att dessa ändamål inte är oförenliga med de ursprungliga ändamålen (prop. 2015/16:28 s. 38). Detta gäller egentligen även vid behandling som sker med stöd av sådana författningar som saknar hänvisning till finalitetsprincipen i ändamålsbestämmelserna. Vid den översyn av författningarna som nu görs kan det dock finnas skäl att även i dessa författningar införa en tydliggörande bestämmelse i ändamålsregleringen som klargör att uppgifter som behandlas enligt de primära ändamålen får behandlas även för andra ändamål, under förutsättning att det nya ändamålet inte är oförenligt med insamlingsändamålet. Bestämmelserna bör utformas på det sätt som framgår under föregående rubrik. I lagen om behandling av uppgifter i Skatteverkets folkbokföringsverksamhet och lagen om det statliga personadressregistret är, som nämnts ovan, inte ändamålsbestämmelserna uppdelade på primära och 73

sekundära ändamål. Lagen om det statliga personadressregistret skiljer sig i grundläggande avseenden från de övriga registerförfattningarna. Lagen om behandling av uppgifter i Skatteverkets folkbokföringsverksamhet uppvisar däremot stora likheter med registerförfattningarna för Skatteverkets beskattningsverksamhet, Kronofogdemyndigheten och Tullverket. I författningen finns i dag en bestämmelse om att uppgifter får behandlas för att tillhandahålla information i den utsträckning som en skyldighet att lämna uppgifterna följer av lag eller förordning. Även den bestämmelsen bör justeras på motsvarande sätt som i de övriga författningarna. Det bör vidare även i denna författning införas en bestämmelse som tydliggör att behandling som inte är oförenlig med insamlingsändamålen är tillåten. Eftersom ändamålsbestämmelserna i den lagen ser annorlunda ut bör dock bestämmelsen ges en något annorlunda utformning. Förslagen genomförs genom ändringar i 1 kap. 5 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 4 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 2 kap. 3, 9, 15 och 20 a §§ lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och 1 kap. 5 § lagen om behandling av uppgifter i Tullverkets verksamhet.

Vissa övriga justeringar i bestämmelserna bör göras Det är de primära ändamålsbestämmelserna som är styrande för bl.a. vilka uppgifter som får samlas in av myndigheterna. Uppgifter får inte samlas in för att behandlas endast för de sekundära ändamålen. De sekundära ändamålsbestämmelserna är i vissa författningar utformade så att det inte tydligt framgår av lagtexten att behandling för de sekundära ändamålen endast får avses sådana uppgifter som redan behandlas med stöd av primära ändamålsbestämmelser. Det föreslås därför att bestämmelserna ska formuleras på ett sådant sätt att detta tydligare framgår. De ändamålsbestämmelser i lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, lagen om behandling av uppgifter i Tullverkets verksamhet och lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet som rör utlämnande till andra verksamheter inom samma myndighet finns i dag i de paragrafer som reglerar de primära ändamålen. Enligt promemorians bedömning avser bestämmelserna egentligen behandling för sekundära ändamål. De bör därför flyttas till de paragrafer som reglerar övriga sekundära ändamål. Vidare bör vissa ytterligare redaktionella ändringar i bestämmelserna göras. Förslagen genomförs genom ändringar i 1 kap. 4 och 5 §§ lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 4 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 2 kap. 2, 3, 8, 9, 14, 15, 20 och 20 a §§ lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet, 1 kap. 4 och 5 §§ lagen om behandling av uppgifter i Tullverkets verksamhet, 6 § lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och boppteckningsverksamheter och 12 § lagen om identitetskort för folkbokförda i Sverige.

7.6 Behandling av särskilda kategorier av personuppgifter

7.6.1 Känsliga personuppgifter

Promemorians bedömning: Bestämmelser om känsliga personuppgifter är förenliga med dataskyddsförordningen och kan behållas. Promemorians förslag: Hänvisningar till personuppgiftslagens bestämmelse om vad som är känsliga personuppgifter ska ersättas med hänvisningar till dataskyddsförordningens bestämmelse om sådana uppgifter.

Skälen för promemorians bedömning och förslag

Nuvarande reglering Enligt 13 § PUL är det förbjudet att behandla s.k. känsliga personuppgifter, dvs. personuppgifter som rör hälsa eller sexualliv och personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. I 15–19 §§ PUL finns vissa undantag från detta förbud, t.ex. i samtyckessituationer, vid viss nödvändig behandling och för forskningsändamål. Av 8 § personuppgiftsförordningen (1998:1191) följer att myndigheter, utöver vad som anges i bl.a. 15–19 §§ PUL, får behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. De flesta registerförfattningar som omfattas av denna översyn gäller i stället för personuppgiftslagen och har egna bestämmelser om möjligheten att behandla känsliga personuppgifter, dock med hänvisning till personuppgiftslagens definition av känsliga personuppgifter. I 1 kap. 7 § första stycket lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet anges att känsliga personuppgifter som anges i 13 § PUL och uppgifter om lagöverträdelser m.m. som anges i 21 § samma lag får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Enligt andra stycket får uppgifter som avses i första stycket i annat fall behandlas endast om det särskilt anges i 2 kap. Det kapitlet innehåller bestämmelser om beskattningsdatabasen. I 2 kap. 4 § anges att en handling som har kommit in i ett ärende får behandlas i databasen och får innehålla uppgifter som avses i 1 kap. 7 §. Vidare anges att en handling som upprättats i ett ärende får behandlas i databasen och får innehålla sådana uppgifter om de är nödvändiga för ärendets handläggning. Enligt 2 kap. 10 § andra stycket får som sökbegrepp inte uppgift som avses i 1 kap. 7 § användas. Lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet (1 kap. 6 §, 2 kap. 5 § och 2 kap. 11 § andra meningen), lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet (1 kap. 6 §, 2 kap. 24 § och 2 kap. 29 § första stycket andra meningen) och lagen om behandling av uppgifter i Tullverkets verksamhet (1 kap. 7 §, 2 kap. 4 § och 2 kap. 9 § andra meningen) har också sådana bestämmelser.

När det gäller de författningar där personuppgiftslagen gäller saknar lagen om det statliga personadressregistret och tillhörande förordning bestämmelser om känsliga personuppgifter. I lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter finns några bestämmelser som liknar de ovan angivna (7 § och 8 § andra stycket). Även lagen om identitetskort för folkbokförda i Sverige har bestämmelser om känsliga personuppgifter liknande de ovan nämnda, som avser den i lagen angivna databasen (13 § och 17 § andra stycket). Utöver detta kan nämnas att 17 § första stycket anger att ansiktsbilden enligt 2 § 1 och 14 § inte får användas vid sökning med hjälp av automatiserad behandling.

Dataskyddsförordningens bestämmelser om känsliga personuppgifter Dataskyddsförordningen förbjuder i artikel 9.1 behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Sådana uppgifter benämns i förordningen som särskilda kategorier av personuppgifter. Bestämmelsen har sin motsvarighet i artikel 8.1 i dataskyddsdirektivet, med det undantaget att behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person liksom uppgifter om en persons sexuella läggning inte ingår i direktivets definition av särskilda kategorier av personuppgifter. Då genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person inte har någon motsvarighet i direktivet har definitionen av vad som är särskilda kategorier av personuppgifter alltså utvidgats genom dataskyddsförordningen. När det gäller tillägget sexuell läggning får detta redan anses ingå i begreppet ”sexualliv”, se t.ex. propositionen Behandling av personuppgifter inom Kriminalvården, 2000/01:126 s. 31 och propositionen Ett starkare skydd mot diskriminering, 2007/08:95 s. 125–129. I skäl 10 och 51 i dataskyddsförordningen omnämns särskilda kategorier av personuppgifter som känsliga och särskilt känsliga personuppgifter. Det finns uttryckliga, uttömmande, undantag från förbudet i artikel 9.1. Det är t.ex. fråga om när den registrerade uttryckligen samtycker till behandlingen eller om behandlingen är nödvändig i vissa särskilt angivna fall. Exempel på när undantag från förbudet kan vara aktuellt är om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk (9.2 f), om behandlingen är nödvändig på grund av hänsyn till ett viktigt allmänt intresse (9.2 g), om behandlingen är nödvändig av skäl som hör samman med bedömningen av en arbetstagares arbetskapacitet (9.2 h) eller om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål (9.2 j). Vissa av undantagen, t.ex. artikel 9.2 g, h och j, förutsätter att behandlingen är nödvändig på grundval av unionsrätten eller medlemsstaternas nationella rätt. Vissa särskilda krav ställs på denna rätt. I artikel 9.2 g krävs t.ex. att 76

unionsrätten eller den nationella rätten står i proportion till det eftersträvade syftet, är förenligt med det väsentliga innehållet i rätten till dataskydd och innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Enligt artikel 9.4 i dataskyddsförordningen får medlemsstaterna behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Bestämmelserna innehåller krav på någon form av skyddsåtgärder. Vad som avses med skyddsåtgärder framgår inte i förordningen. I skäl 10 i dataskyddsförordningen anges att förordningen ger medlemsstaterna handlingsutrymme att specificera sina bestämmelser, även för behandlingen av särskilda kategorier av personuppgifter, och att förordningen inte utesluter att det i medlemsstaternas nationella rätt fastställs närmare omständigheter för specifika situationer där uppgifter behandlas, inbegripet mer exakta villkor för laglig behandling av personuppgifter. Av skäl 8 framgår vidare att om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av denna förordning i nationell rätt.

Dataskyddsutredningens förslag Uttrycket känsliga personuppgifter är det som används i 13 § PUL och i de nu gällande registerförfattningarna. Uttrycket har av Dataskyddsutredningen ansetts tydligare än särskilda kategorier av uppgifter och därtill vara inarbetat även på EU-nivå. I enlighet med Dataskyddsutredningens förslag används även i denna promemoria och i registerförfattningarna uttrycket känsliga personuppgifter. Vissa av undantagen från förbudet i dataskyddsförordningen hänvisar till nationell rätt. Hänvisningarna ska enligt Dataskyddsutredningen tolkas som att dessa undantag bör föreskrivas i nationell rätt (SOU 2017:39 avsnitt 10.3). Dataskyddsutredningen föreslår i 3 kap. förslaget till dataskyddslag ett antal bestämmelser om känsliga personuppgifter. I 3 kap. 1 § anges att utöver vad som framgår av artikel 9.2 a, c, d, e eller f i dataskyddsförordningen får sådana särskilda kategorier av personuppgifter som anges i artikel 9.1 i dataskyddsförordningen (känsliga personuppgifter) behandlas om förutsättningarna i någon av 2–8 §§ är uppfyllda. 3 kap. 3 och 4 §§ behandlar myndigheters behandling i vissa fall. Enligt 3 kap. 3 § får känsliga personuppgifter med stöd av artikel 9.2 g i dataskyddsförordningen behandlas av en myndighet 1. i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende, 2. om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, eller 3. i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Enligt 3 kap.

4 § får vid behandling som sker enbart med stöd av 3 § en myndighet inte använda sökbegrepp som avslöjar känsliga personuppgifter. Därutöver föreslås att regeringen ska få meddela föreskrifter om ytterligare undantag från förbudet, om det behövs med hänsyn till ett viktigt allmänt intresse (3 kap. 8 §).

Hur bör bestämmelserna om känsliga personuppgifter justeras? – Bestämmelserna om känsliga personuppgifter är förenliga med dataskyddsförordningen Huvudregeln enligt dataskyddsförordningen är ett förbud mot behandling av känsliga personuppgifter, som gäller direkt (artikel 9.1). Förbudet ska dock inte tillämpas om någon av de i artikel 9.2 uppräknade situationerna föreligger. Dataskyddsutredningen har gjort bedömningen att kravet på stöd i nationell rätt innebär att vissa av undantagen från förbudet att behandla känsliga personuppgifter bör föreskrivas i nationell rätt (SOU 2017:39 s. 162). I flera av registerförfattningarna som omfattas av denna översyn finns bestämmelser som reglerar möjligheten till behandling av känsliga personuppgifter. När det gäller frågan om de i registerförfattningarna införda möjligheterna till behandling av känsliga personuppgifter är tillåtna undantag enligt dataskyddsförordningen kan inledningsvis nämnas att i frågan om vad som är ett viktigt allmänt intresse är utgångspunkten för Dataskyddsutredningens överväganden när det gäller myndigheters behandling att det måste anses utgöra ett viktigt allmänt intresse att svenska myndigheter kan bedriva den verksamhet som tydligt faller inom ramen för deras uppdrag på ett korrekt, rättssäkert och effektivt sätt (SOU 2017:39 s. 174). Promemorian utgår från dessa bedömningar vid sina överväganden. Därefter kan det påminnas om att undantagen i artikel 9 i dataskyddsförordningen i princip motsvarar de undantagssituationer som anges i artikel 8 i dataskyddsdirektivet. Känsliga personuppgifter får t.ex. behandlas om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse på grundval av unionsrätten eller medlemsstaternas nationella rätt. Vid behandling på grund av ett viktigt allmänt intresse krävs enligt dataskyddsförordningen att unionsrätten eller den nationella rätten innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I dataskyddsdirektivet anges att under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får den nationella lagstiftningen innehålla undantag från förbudet av behandling av känsliga personuppgifter. Kravet på lämpliga skyddsåtgärder ser i och för sig lite annorlunda ut i dataskyddsdirektivet. Det får dock förutsättas att de skyddsåtgärder som i ett specifikt fall har bedömts vara lämpliga har beaktats vid lagstiftningsarbetet i samband med att det införs en bestämmelse som medger undantag från förbudet att behandla känsliga personuppgifter. Härutöver kan följande anges. De i registerförfattningarna införda möjligheterna till behandling av känsliga personuppgifter är tämligen snäva. Känsliga personuppgifter får behandlas bara i vissa situationer, 78

nämligen då behandlingen är nödvändig, dels då uppgiften finns i en handling som inte myndigheten råder över, dels då uppgiften behöver behandlas. Möjligheten till behandling får anses vara nödvändig med hänsyn till ett viktigt allmänt intresse och grunden för behandlingen framgår uttryckligen av nationell rätt. Härutöver kompletteras bestämmelserna om att känsliga uppgifter får behandlas av bestämmelser om att sådana uppgifter inte får användas som sökbegrepp, vilket i sig också utgör en skyddsåtgärd. Det kan också påpekas att även bestämmelserna i registerförfattningarna om när behandling av personuppgifter överhuvudtaget får ske utgör skyddsåtgärder. Förutsättningarna för undantag enligt artikel 9.2 g i dataskyddsförordningen är därmed uppfyllda och bestämmelserna förenliga med dataskyddsförordningen.

– Bör i stället bestämmelserna i dataskyddslagen om känsliga personuppgifter gälla? Den föreslagna dataskyddslagen innehåller som framgår ovan särbestämmelser om möjligheten till behandling av känsliga personuppgifter, t.ex. myndigheters möjlighet till behandling med stöd av artikel 9.2 i dataskyddsförordningen. Det kan därför övervägas om det finns skäl att låta dataskyddslagens bestämmelser gälla i stället för vissa av registerförfattningarnas bestämmelser. Det framgår dock av Dataskyddsutredningens överväganden att de föreslagna bestämmelserna ska tillämpas i de fall det inte finns någon särreglering (SOU 2017:39 s. 174). De befintliga särbestämmelserna i registerförfattningarna har dessutom utformats utifrån de särskilda behov som respektive verksamhet har. Inget har framkommit som tyder på att de behoven har förändrats. Vad gäller förbud mot att använda sökbegrepp bör även följande beaktas. Dataskyddsutredningens förslag om detta avser endast behandling som sker enbart med stöd av bestämmelsen i dataskyddslagen om när myndigheter med stöd av artikel 9.2 g får behandla känsliga personuppgifter. Behålls bestämmelserna som möjliggör behandling av känsliga personuppgifter i registerförfattningarna kommer behandling av uppgifter att ske med stöd av de bestämmelserna och inte med stöd av dataskyddslagen, varför dataskyddslagens sökförbud inte blir tillämpligt. Till detta kommer att registerförfattningarna innehåller sökbegränsningar som avser även annat än särskilda kategorier av uppgifter. Ovanstående omständigheter talar för att det inte finns skäl att låta dataskyddslagens bestämmelse om sökförbud vara tillämpligt i stället för registerförfattningarnas. Enligt promemorians bedömning bör därför dessa bestämmelser finnas kvar i registerförfattningarna. Om sökbegrepp/sökbegränsningar generellt, se avsnitt 7.9.

– Finns det skäl att göra registerförfattningarnas sökförbud mer generella? En annan fråga är om det finns skäl att göra sökförbuden i registerförfattningarna generella så att de gäller för all behandling som sker med stöd av aktuell lag. Som framgår ovan gäller nämligen de flesta registerförfattningarnas sökförbud för sökning i respektive databas. Sökförbudet gäller således inte t.ex. när en enskild tjänsteman gör 79

sökningar i ett eget upprättat dokument som inte ingår i databasen. En ändring skulle kunna ske genom att bestämmelserna flyttas från kapitlet om den utpekade databasen till inledande kapitel med generella bestämmelser. Som framgår ovan kräver inte dataskyddsförordningen att reglerna om sökförbud förändras och det har hittills inte framkommit skäl som medför att nuvarande reglering bör förändras. Det föreslås därför inte i denna promemoria några sådana ändringar. Det kan nämnas att genom de nya författningarna tullbrottsdatalagen och skattebrottsdatalagen (2017:452) har sökbegränsningar enligt samma modell som gäller för nu aktuella författningar också införts för personuppgiftsbehandlingen för Tullverkets och Skatteverkets brottsbekämpande verksamhet. Sökbegränsningar för känsliga personuppgifter avser nämligen endast gemensamt tillgängliga uppgifter, dvs. det som motsvarar det något äldre begreppet databas. Utredningen om 2016 års dataskyddsdirektiv har i uppdrag att se över bl.a. de två nämnda författningarna, vilka presenteras i slutbetänkandet som ska lämnas först den 30 september 2017. För det fall den utredningen föreslår en annan systematik för dessa författningar, är det inte uteslutet att det i det fortsatta lagstiftningsarbetet görs en annan bedömning av var bestämmelserna om sökbegränsningar även i nu aktuella författningar bör placeras.

– Hänvisningarna till personuppgiftslagens definition bör ersättas med hänvisningar till dataskyddsförordningens definition Som framgår ovan innebär förordningen att vad som är att beteckna som känsliga personuppgifter blir något mer omfattande jämfört med i dag. Vad gäller de författningar som har särregler om känsliga personuppgifter är samtliga uppbyggda så att det hänvisas till definitionen i personuppgiftslagen av känsliga personuppgifter. Som framgår av avsnitt 7.2 behöver alla hänvisningar till personuppgiftslagen tas bort. De nu aktuella hänvisningarna till personuppgiftslagen bör enligt promemorians bedömning ersättas med hänvisningar till artikel 9.1 i dataskyddsförordningen med innebörd att personuppgiftslagens definition ersätts med dataskyddsförordningens definition. Denna förändring innebär en ändring i sak, då något fler kategorier av uppgifter kommer att omfattas av restriktionerna. Som nämnts ovan bedöms sexuell läggning dock redan ingå i sexualliv. Behandling av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person är dock nyheter. Även denna typ av behandling kommer således framöver att kringgärdas av restriktioner. Förslagen genomförs genom ändringar i 1 kap. 7 § första stycket lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 6 § första stycket lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 1 kap. 6 § första stycket lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet, 1 kap. 7 § första stycket lagen om behandling av uppgifter i Tullverkets verksamhet, 7 § lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter och 13 § lagen om identitetskort för folkbokförda i Sverige.

7.6.2 Uppgifter om lagöverträdelser

Promemorians bedömning: Bestämmelser om lagöverträdelser är förenliga med dataskyddsförordningen och kan behållas. Promemorians förslag: Hänvisningar till personuppgiftslagens bestämmelse om lagöverträdelser ska ersättas med en uppräkning som motsvarar personuppgiftslagens definition.

Skälen för promemorians bedömning och förslag

Nuvarande reglering Enligt 21 § PUL är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Förbudet gäller dock inte behandling för forskningsändamål, under vissa i paragrafen angivna förutsättningar. Vidare får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om undantag från förbudet. Regeringen får dessutom i enskilda fall besluta om undantag från förbudet samt överlåta åt tillsynsmyndigheten att fatta sådana beslut. I övrigt finns ingen reglering i personuppgiftslagen som gäller möjligheten att behandla sådana slag av personuppgifter. Registerförfattningarna som omfattas av denna översyn avser myndigheters behandling av personuppgifter, varför 21 § PUL inte i sak är relevant avseende dem. Vissa författningar har dock egna, begränsande regler avseende denna kategori uppgifter. 1 kap. 7 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet innehåller utöver hänvisningen till känsliga personuppgifter i personuppgiftslagen även en hänvisning till uppgifter om lagöverträdelser m.m. som anges i 21 § PUL. Detta innebär att begränsningen att uppgifter får behandlas endast om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det omfattar även sådana uppgifter. Detsamma gäller sökförbudet i 2 kap. 10 § andra stycket. Lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet (1 kap. 6 §, 2 kap. 5 § och 2 kap. 11 § andra meningen) och lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet (1 kap. 6 §, 2 kap. 24 § och 2 kap. 29 § första stycket andra meningen) har likadana bestämmelser, likaså lagen om behandling av uppgifter i Tullverkets verksamhet (1 kap. 7 §, 2 kap. 4 § och 2 kap. 9 § andra meningen). Vad gäller lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet finns i 2 kap. 17 § dessutom en bestämmelse som möjliggör behandling av uppgifter om överträdelser utöver angiven reglering: I uppräkningen av vad som får behandlas i skuldsaneringsdatabasen för ett i 2 kap. 14 § angivet ändamål ingår lagöverträdelser som innefattar brott eller domar i brottmål, om uppgifterna utgör grund för en fordran i ett ärende (6). Även lagen om identitetskort för folkbokförda i Sverige har bestämmelser om sökbegränsningar avseende lagöverträdelser (17 § andra stycket).

Eftersom personuppgiftslagens bestämmelser om lagöverträdelser inte innebär några restriktioner för myndigheters behandling, saknar de författningar som inte har någon egen reglering om lagöverträdelser och där personuppgiftslagen gäller restriktioner avseende denna kategori uppgifter.

Dataskyddsförordningens bestämmelser om lagöverträdelser Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får dock endast föras under kontroll av en myndighet. Artikeln motsvarar delvis artikel 8.5 i dataskyddsdirektivet. En skillnad är att artikel 8.5 i dataskyddsdirektivet talar om brottmålsdomar, vilket innefattar även icke fällande domar. Den nya regleringen innebär alltså en begränsning av bestämmelsens tillämpningsområde till enbart fällande brottmålsdomar. En annan skillnad är att artikel 8.5 i dataskyddsdirektivet möjliggör för medlemsstaterna att föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också ska behandlas under kontroll av en myndighet. Såväl det nu gällande direktivet som den nya förordningen saknar alltså restriktioner avseende behandling av uppgifter om lagöverträdelser som utförs av myndigheter.

Dataskyddsutredningens förslag Dataskyddsutredningen föreslår en bestämmelse som anger att personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel enligt artikel 10 i dataskyddsförorordningen får behandlas av myndigheter (3 kap. 9 § förslaget till dataskyddslag) samt en bestämmelse om att den myndighet som regeringen bestämmer i enskilda fall får besluta att andra än myndigheter får behandla sådana uppgifter (3 kap. 10 §). Vidare föreslås ett bemyndigande, att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i 9 § (3 kap. 12 §). Det föreslås också en bestämmelse som anger att behandling av sådana uppgifter som avses i 9 § får ske om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om bevarande och vård av arkiv (3 kap. 11 §). Utredningen bedömer samtidigt att det inte finns stöd i förordningen att föreskriva ett förbud mot behandling av personuppgifter om administrativa frihetsberövanden (SOU 2017:39 avsnitt 11.4). Som framgår av lagförslaget har Dataskyddsutredningen valt något andra begrepp och uttryck än de som används i förordningen.

Hur bör bestämmelserna om uppgifter om lagöverträdelser justeras? Som framgår av redovisningen ovan innehåller ett antal av registerförfattningarna som omfattas av denna översyn begränsande regler om möjligheten att behandla uppgifter om lagöverträdelser. Dataskyddsförordningen har inga begränsande regler om detta för myndigheter. Inte heller Dataskyddsutredningen föreslår några restriktioner avseende myndigheter. Detta innebär att några sådana bestämmelser inte krävs med anledning av artikel 10 i förordningen eller den föreslagna dataskyddslagen. Även om det inte finns något hinder mot att ha regler som begränsar möjligheten till behandling (se också t.ex. avsnitt 6), kan det övervägas om de befintliga begränsningarna i registerförfattningarna ska finnas kvar. Begränsningarna har införts i syfte att skydda den personliga integriteten (se prop. 2000/01:33 s. 100–104). Några skäl att upphäva dem har inte framkommit. Bestämmelserna bör enligt promemorians bedömning därför finnas kvar. Nästa fråga är hur de bör vara utformade. Som framgår av avsnitt 7.2 föreslås att hänvisningarna till personuppgiftslagen ska tas bort. Ett enkelt alternativ är att ersätta hänvisningen till personuppgiftslagen med en hänvisning till artikel 10 i dataskyddsförordningen. Detta kommer att innebära en ändring i sak, då t.ex. uppgifter om friande domar inte kommer att omfattas av de mer restriktiva reglerna. Som nämnts ovan har de begränsande reglerna införts till skydd för den personliga integriteten. Promemorians bedömning är att skäl till några lättnader inte har framkommit, även om dataskyddsförordningen inte hindrar detta. Det föreslås i stället att hänvisningen till personuppgiftslagen ersätts med en uppräkning som motsvarar personuppgiftslagens definition av lagöverträdelser, dvs. lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Detta bedöms också passa in med systematiken i den föreslagna dataskyddslagen, som också har en uppräkning i stället för en hänvisning. Justeringen innebär ingen ändring i sak. Vad gäller särbestämmelsen i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet som finns i 2 kap. 17 § finns inga skäl till justeringar varför den bör kvarstå oförändrad. Förslagen genomförs genom ändringar i 1 kap. 7 § första stycket lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 6 § första stycket lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 1 kap. 6 § första stycket lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet, 1 kap. 7 § första stycket lagen om behandling av uppgifter i Tullverkets verksamhet och 17 § lagen om identitetskort för folkbokförda i Sverige.

7.7 Bestämmelser om innehållet i vissa databaser eller register

Promemorians bedömning: Bestämmelser om vilka uppgifter som ska eller får ingå i vissa databaser eller register kan behållas. 83

Skälen för promemorians bedömning

Nuvarande reglering De flesta av registerförfattningarna som omfattas av denna översyn har särskilda kapitel som reglerar behandling av uppgifter i särskilda databaser. Där anges för vilka ändamål som uppgifter får behandlas i databaserna men också vilka uppgifter som får behandlas i databasen. Begreppet databas innebär en samling uppgifter som med hjälp av automatiserad behandling används gemensamt inom en verksamhet (se t.ex. prop. 2000/01:33 s. 89, men också nästa stycke). I vissa nyare författningar, dock inte i nu aktuella, har i stället för databasbegreppet valts uttrycket gemensamt tillgängliga uppgifter (t.ex. i tullbrottsdatalagen som börjar tillämpas den 1 juli 2017). Det finns dock också renodlade register, för vilket begreppet register också används i lagstiftningen, t.ex. det statliga personadressregistret SPAR. Som exempel på hur bestämmelser om databaser kan se ut kan 2 kap. lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet användas. I 2 kap. 1 § anges att i beskattningsverksamheten ska det finnas en samling uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de i 1 kap. 4 och 5 §§ angivna ändamålen (beskattningsdatabas). 1 kap. 4 och 5 §§ anger de primära och sekundära ändamålen för behandling enligt lagen, med punktuppställningar i vardera paragraf som detaljerat anger olika ändamål. 2 kap. 2–4 a §§ reglerar beskattningsdatabasens innehåll. 2 kap. 2 § anger att i databasen får uppgifter behandlas om personer som omfattas av verksamhet enligt 1 kap. 4 § 1–9. Uppgifter om andra personer får behandlas om det behövs för handläggningen av ett ärende. I 2 kap. 3 § räknas upp vilka slag av uppgifter som får behandlas i databasen för de ändamål som anges i 1 kap. 4 §. Det handlar t.ex. om en fysisk persons identitet, medborgarskap, bosättning och familjeförhållanden (1), underlag för fastställande av skatter och avgifter (4) samt yrkanden och grunder i ett ärende (10). Enligt 2 kap. 4 § får handlingar som har kommit in i ett ärende behandlas i databasen och de får innehålla känsliga personuppgifter och uppgifter om lagöverträdelser (om sådana uppgifter, se avsnitt 7.6). 2 kap. 4 a § reglerar uppgifter i databasen som ingår i ett system enligt ett EU-rådsbeslut om punktskattepliktiga varor. Förordningen om behandling av uppgifter i Skatteverkets beskattningsverksamhet innehåller ytterligare bestämmelser om vilka uppgifter som får behandlas i beskattningsdatabasen. 2 § gäller personer som avses i 2 kap. 2 § lagen och anger vid vilken ärendehandläggning och i vilka andra fall som uppgifter får behandlas. Det anges t.ex. att det får behandlas uppgifter om planerad, beslutad, pågående eller avslutad revision och annan kontroll av skatter och avgifter (2). 3 § reglerar uppgifter i en EU-förordning om administrativt samarbete i fråga om punktskatter. Lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet och tillhörande förordning har bestämmelser om folkbokföringsdatabasen som är uppbyggda på liknande sätt. Detsamma gäller lagen om behandling av uppgifter i Tullverkets verksamhet, som reglerar tulldatabasen. Tillhörande förordning har dock inga närmare bestämmelser om vilka uppgifter och i vilka situationer 84

som uppgifter får behandlas, utan anger att Tullverket får meddela närmare föreskrifter om vilka uppgifter som får behandlas i tulldatabasen (2 § förordningen om behandling av uppgifter i Tullverkets verksamhet). Lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet reglerar flera databaser. Det finns därför såväl särskilda regler för respektive databas som bestämmelser som är gemensamma för samtliga databaser. Lagen om identitetskort för folkbokförda i Sverige med tillhörande förordning har bestämmelser om vad databasen med uppgifter om identitetskort ska innehålla. Lagen om det statliga personadressregistret reglerar som namnet påvisar inte en databas utan ett renodlat register men har också uttryckliga bestämmelser om innehåller i SPAR. Lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter saknar reglering om en särskild databas eller register. Förordningen om tullinformationssystemet saknar likheter med någon av de ovan redovisade författningarna i detta avseende. Den reglerar inte någon nationell databas eller uppgiftssamling. Däremot innehåller författningen bestämmelser som rör EU:s informationssystem TIS.

Dataskyddsförordningen och Dataskyddsutredningen Dataskyddsförordningen har inga bestämmelser om behandling i särskilda uppgiftssamlingar eller liknande, och Dataskyddsutredningen har inga överväganden i denna fråga.

Det behövs inga författningsändringar Som framgår ovan innehåller dataskyddsförordningen inte några bestämmelser om när personuppgifter får behandlas i särskilda uppgiftssamlingar. Enligt promemorians bedömning är det möjligt att ha sådana regler om uppgiftssamlingar, så länge bestämmelserna följer kraven i dataskyddsförordningen, t.ex. i artikel 5 och 6. Att de bestämmelser om behandling av personuppgifter som finns i de berörda författningarna är förenliga med artikel 6 i dataskyddsförordningen framgår av avsnitt 5.1 och 6. Bakgrunden till att det gäller särskilda bestämmelser för behandling av uppgifter i vissa databaser är att det ur integritetssynpunkt har ansetts viktigt att stora uppgiftssamlingar som hanteras av myndigheter och som ger möjligheter till sammanställningar av en rad olika uppgifter om enskilda personer, omgärdas av särskilda skyddsregler (se prop. 2000/01:33 s. 91). I vissa av de berörda författningarna är regleringen av vilka uppgifter som ska eller får ingå i en viss uppgiftssamling detaljerad. Så ser regleringen ut gällande SPAR, folkbokföringsdatabasen och databasen över identitetskort för folkbokförda i Sverige. Lagstiftaren har här bedömt att det finns eller kan finnas behov av att behandla just dessa uppgifter i databasen eller registret utifrån de ändamål som gäller för uppgiftssamlingen. I fråga om beskattningsdatabasen, tulldatabasen och de databaser som förs av Kronofogdemyndigheten tar regleringen i stället sikte på kategorier av uppgifter. Vilka närmare typer av uppgifter som får ingå i databaserna beror i de senare fallen på vad som är behövligt utifrån 85

de i lagarna angivna ändamålen. Ibland finns vissa närmare bestämmelser i förordning. Vilka uppgifter som behöver finnas i databaserna styrs ofta av bestämmelser i annan lagstiftning om myndigheternas verksamhet, t.ex. i skatteförfarandelagen (2011:1244), tullagen (2016:253) och utsökningsbalken. En avgränsning av vilka personuppgifter som får behandlas i en databas kan anses ha i sin grund i den grundläggande principen om uppgiftsminimering, som bl.a. kommer till uttryck i artikel 5.1 c i dataskyddsförordningen. Några hinder mot att behålla bestämmelser om vilka uppgifter som ska eller får ingå i en uppgiftssamling finns inte i dataskyddsförordningen. Bestämmelser om vilka uppgifter som ska eller får ingå i vissa databaser eller register kan därför behållas.

7.8 Bestämmelser om elektroniskt utlämnande

Promemorians bedömning: Bestämmelser om när direktåtkomst får medges och när uppgifter får lämnas ut på medium för automatiserad behandling kan behållas. Promemorians förslag: I förordningen om behandling av uppgifter i Skatteverkets beskattningsverksamhet ska vissa överflödiga bestämmelser tas bort.

Skälen för promemorians bedömning och förslag

Nuvarande reglering I många författningar om behandling av personuppgifter regleras frågor om sättet för utlämnande av personuppgifter i elektronisk form genom särskilda bestämmelser. Enligt gängse begreppsbildning kan personuppgifter lämnas ut i elektronisk form antingen på s.k. medium för automatiserad behandling eller genom direktåtkomst. Utlämnande på medium för automatiserad behandling, t.ex. genom e-post, innebär att den utlämnande myndigheten i varje enskilt fall tar ställning till om uppgifter kan lämnas ut och vilka uppgifter som ska lämnas. Utlämnande av uppgifter kan även ske genom direktåtkomst. Den grundläggande innebörden av begreppet är att någon har direkt tillgång till någon annans uppgiftssamling och på egen hand kan söka efter information, men utan att kunna påverka innehållet i uppgiftssamlingen. Av dessa olika varianter av elektroniskt utlämnande bedöms direktåtkomst ofta som den mest integritetskänsliga (se t.ex. propositionen Tullbrottsdatalag 2016/17:91 s. 58). Restriktioner av detta slag har införts främst av integritetsskäl, särskilt när det gäller utlämnande till enskilda (se t.ex. prop. 2000/01:33 s. 112–113). Även nu aktuella registerförfattningar har bestämmelser av detta slag. Av 2 kap. 6 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet följer att uppgifter i beskattningsdatabasen får lämnas ut till en enskild på medium för automatiserad behandling endast om regeringen har meddelat föreskrifter om det. 2 kap. 7–9 §§ samma lag reglerar direktåtkomst. 2 kap. 7 § reglerar Skatteverkets brottsbekämpande verksamhets direktåtkomst till databasen, medan 2 kap. 8 § 86

reglerar Kronofogdemyndighetens och Tullverkets möjlighet till direktåtkomst. 2 kap. 8 a § reglerar möjligheten till direktåtkomst för socialnämnd och 2 kap. 9 § en registrerads rätt till direktåtkomst. I bestämmelserna anges vilka uppgifter och avseende vilka personer som direktåtkomst får medges. Från och med den 1 januari 2019 kommer det enligt bestämmelser i 2 kap. 8 b–8 d §§ att finnas ytterligare bestämmelser om att vissa myndigheter får medges direktåtkomst (se propositionen Uppgifter på individnivå i arbetsgivardeklarationen, 2016/17:58). I 9–17 §§ förordningen om behandling av uppgifter i Skatteverkets beskattningsverksamhet finns ytterligare bestämmelser om utlämnande på medium för automatiserad behandling och genom direktåtkomst. Bestämmelserna avser dels utlämnande till enskilda, dels till utländska myndigheter. Även här avser det främst vilka uppgifter och vilka personer som utlämnandena får avse. Lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet och tillhörande förordning har också bestämmelser om elektroniskt utlämnande, liksom lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och lagen om behandling av uppgifter i Tullverkets verksamhet. Lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter innehåller endast en bestämmelse om utlämnande på medium för automatiserad behandling, av vilken följer att personuppgifter får lämnas ut på sådant medium om det inte är olämpligt samt att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare föreskrifter om begränsningar av utlämnande på detta sätt (9 §). Lagen om identitetskort för folkbokförda i Sverige har endast en bestämmelse om direktåtkomst, som avser uppgift om ett identitetskorts giltighet (16 §). 14 § första stycket förordningen om identitetskort för folkbokförda i Sverige innehåller en bestämmelse som avser Skatteverkets direktåtkomst till uppgifter hos Migrationsverket. Regleringen utgör en sekretessbrytande bestämmelse. Lagen om det statliga personadressregistret och tillhörande förordning har några bestämmelser om elektroniskt utlämnande. Förordningen om tullinformationssystemet har bestämmelser om direktåtkomst till uppgifter i det EU-tullinformationssystem som förordningen reglerar. Det finns skäl att påpeka att en reglering som anger att direktåtkomst eller utlämnande genom medium för automatiserad behandling får ske inte avgör frågan om uppgifter får lämnas ut, utan reglerar formen för utlämnande. Personuppgiftslagen saknar bestämmelser om elektroniskt utlämnande av uppgifter.

Dataskyddsförordningen och Dataskyddsutredningen Dataskyddsförordningen saknar, liksom det nu gällande dataskyddsdirektivet, särskilda bestämmelser om elektroniskt utlämnande. Då utlämnande av personuppgifter, även om det sker elektroniskt, är en form av behandling, gäller dock kraven i dataskyddsförordningen som ställs på behandling av personuppgifter även vid elektroniskt utlämnande.

Det krävs således att behandlingen uppfyller tillämpliga grundläggande krav i artikel 5 och har lagligt stöd enligt artikel 6 (om dessa, se t.ex. avsnitt 5.1). Det kan dock nämnas att t.ex. artikel 5.1 f anger att uppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, bl.a. inbegripet skydd mot obehörig eller otillåten behandling. Om utlämnandet gäller känsliga personuppgifter eller uppgifter om lagöverträdelser krävs därutöver stöd i artikel 9 respektive 10. Även bestämmelser om personuppgiftsansvarigas skyldigheter kan vara relevanta i sammanhanget. Enligt artikel 24.1 och artikel 32 i dataskyddsförordningen ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen utförs i enlighet med förordningen och att en lämplig säkerhetsnivå säkerställs. Dataskyddsutredningen har inga författningsförslag avseende elektroniskt utlämnande och presenterar inte heller några överväganden eller resonemang om detta.

Det bör endast göras mindre författningsändringar Som framgår av beskrivningen ovan avser bestämmelserna i registerförfattningarna om elektroniskt utlämnande formen för utlämnande, och inte frågan om uppgifter får lämnas ut eller inte. Förutsättningarna för utlämnande, som är en form av behandling, regleras således främst av andra bestämmelser, vilka behandlas i andra avsnitt i denna promemoria. Vidare framgår av beskrivningen ovan att dataskyddsförordningen inte behandlar frågor om elektroniskt utlämnande. Enligt promemorians bedömning är det möjligt att ha sådana regler om formen för utlämnande, så länge bestämmelserna följer kraven i dataskyddsförordningen, t.ex. i artikel 5 och 6. Vidare följer av bedömningen i avsnitt 5.1 att sådan behandling av personuppgifter som är tillåten enligt de bestämmelser som omfattas av denna översyn är tillåten enligt artikel 6. Det finns dock skäl att lyfta fram följande. Bestämmelser som reglerar formen för utlämnande innebär i sig en restriktion för behandling. Just för att elektroniskt utlämnande kan anses vara en mer integritetskänslig form av utlämnande har sådana bestämmelser införts i registerförfattningar. Sådana regler utgör således i sig säkerhets- och skyddsåtgärder. Ovanstående innebär enligt promemorians bedömning att befintliga bestämmelser om elektroniskt utlämnande är förenliga med dataskyddsförordningen och att de därför kan finnas kvar. Vid översynen har dock uppmärksammats behov av justeringar i en av de ovan beskrivna författningarna. Vad gäller förordningen om behandling av uppgifter i Skatteverkets beskattningsverksamhet ändras med ikraftträdande den 1 juli 2017 såväl rubriksättning som vissa paragrafer. I 14 och 15 §§ ges upplysningar om att det finns bestämmelser i andra författningar som innebär att uppgifter får lämnas ut till behörig myndighet inom EU. Bestämmelserna var tidigare placerade under rubriken ”Utlämnande av uppgifter till enskild på medium för automatiserad behandling”. Några särskilda bestämmelser krävs dock inte för att uppgifter ska få lämnas ut på medium för automatiserad 88

behandling till en utländsk myndighet. Bestämmelserna är numera placerade under rubriken ”Utlämnande till utländska myndigheter och mellanfolkliga organisationer”. Promemorians bedömning är att bestämmelserna inte fyller någon egentlig funktion. Det föreslås därför att bestämmelserna ska upphävas. Det kan också finnas skäl att se över ordningsföljden för de olika rubrikerna i förordningen, vilket dock inte föreslås i denna promemoria. Förslagen genomförs genom att 14 och 15 §§ förordningen om behandling av uppgifter i Skatteverkets beskattningsverksamhet upphör att gälla.

7.9 Sökbegrepp

Promemorians bedömning: Befintliga bestämmelser om sökbegränsningar i registerförfattningar kan behållas.

Skälen för promemorians bedömning

Nuvarande reglering I de flesta registerförfattningarna som omfattas av denna översyn finns särskilda bestämmelser om sökbegränsningar, som ofta tar sikte på den eller de databaser som regleras i respektive författning. Sökbegränsningarna tar sikte på känsliga personuppgifter och uppgifter om lagöverträdelser, men också på möjligheten att söka efter handingar i databaser. Bestämmelserna har införts av integritetsskäl (se t.ex. prop. 2000/01:33 s. 100–104). Som exempel kan lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet användas. Enligt 2 kap. 10 § första stycket får vid sökning efter handlingar i beskattningsdatabasen endast uppgift om namn, person- eller samordningsnummer, beteckning för fastighet samt uppgifter som avses i 5 kap. 2 § offentlighets- och sekretesslagen användas som sökbegrepp. Enligt 2 kap. 10 § andra stycket får dock inte känsliga personuppgifter och uppgifter om lagöverträdelser användas (om sådana uppgifter, se mer i avsnitt 7.6). Liknande bestämmelser finns i andra registerförfattningar, t.ex. 2 kap. 10 § första stycket lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 2 kap. 29 § första stycket lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och 2 kap. 9 § lagen om behandling av uppgifter i Tullverkets verksamhet. Även lagen om identitetskort för folkbokförda i Sverige har bestämmelser om sökbegränsningar (17 §) och förordningen om det statliga personadressregistret har relativt detaljerade bestämmelser om sökbegrepp (11 och 12 §§). Varken dataskyddsdirektivet eller personuppgiftslagen innehåller några särskilda bestämmelser om sökning eller användning av sökbegrepp.

Dataskyddsförordningen och Dataskyddsutredningen Dataskyddsförordningen saknar bestämmelser om sökning och användning av sökbegrepp. Sökning och sammanställning av uppgifter som sker 89

elektroniskt utgör dock behandling av personuppgifter och omfattas därför av dataskyddsförordningens regler. På grund av detta måste en sökning vara laglig enligt artikel 6 och uppfylla kraven i bl.a. artikel 5 i dataskyddsförordningen för att vara tillåten. Dataskyddsutredningen har inga överväganden eller förslag som avser sökbegrepp, förutom när det gäller känsliga personuppgifter. Om känsliga personuppgifter, se avsnitt 7.6.1.

Det behövs inga justeringar i registerförfattningarna Som framgår ovan saknar dataskyddsförordningen särreglering om sökbegränsningar. Enligt promemorians bedömning är bestämmelser om sökbegränsningar i registerförfattningarna både tillåtna och lämpliga. När det gäller t.ex. känsliga personuppgifter är som framgår av avsnitt 7.6 promemorians bedömning att ett förbud mot användning av sådana uppgifter som sökbegrepp dessutom utgör en skyddsåtgärd i dataskyddsförordningens mening i relation till kraven i artikel 9. Bestämmelserna om sökbegränsningar behöver därmed inte ändras. Som framgår av avsnitt 7.2 föreslås dock hänvisningen till personuppgiftslagen i bestämmelsen om sökbegränsningar i lagen om identitetskort för folkbokförda i Sverige ersättas med en uppräkning av de lagöverträdelser som i dag omfattas av personuppgiftslagens definition.

7.10 Bevarande och gallring

Promemorians bedömning: Befintliga bestämmelser om bevarande och gallring i registerförfattningar och andra författningar kan behållas.

Skälen för promemorians bedömning

Nuvarande reglering Grundläggande bestämmelser om bevarande och gallring finns i arkivlagen (1990:782). Den gäller endast allmänna handlingar. Även personuppgiftslagen innehåller bestämmelser om bevarande av uppgifter, närmare bestämt personuppgifter. I registerförfattningarna som gäller i stället för personuppgiftslagen finns en hänvisning till vilka bestämmelser i personuppgiftslagen som gäller, varvid 9 § PUL pekas ut, dock med undantag för vad som sägs i första stycket i och tredje stycket (se t.ex. 1 kap. 3 § första stycket 3 lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet). Av 9 § första stycket i PUL följer att den personuppgiftsansvarige ska se till att personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. I tredje stycket anges att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål under längre tid än som sagts i första stycket i. Personuppgifterna får dock i sådana fall inte bevaras under en längre tid än vad som behövs för dessa ändamål. Enligt fjärde stycket får personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål användas för att vidta 90 åtgärder i fråga om den registrerade bara om den registrerade har lämnat

sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Nämnda bestämmelser härrör från dataskyddsdirektivets artikel 6.1 e enligt vilken medlemsstaterna ska föreskriva att personuppgifter förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna ska enligt artikeln också vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål. I prop. 2000/01:33 s. 93 motiveras varför dessa bestämmelser inte föreslogs gälla för registerförfattningarna inom skatt, tull och exekution. ”En av de väsentligaste bestämmelserna i fråga om behandling av personuppgifter finns i 9 § personuppgiftslagen och avser vilka grundläggande krav som ställs på en personuppgiftsansvarig. Dessa krav bör naturligtvis tillämpas även vid behandling av personuppgifter inom särskilt reglerad myndighetsverksamhet. I 9 § första stycket i) och tredje stycket finns emellertid bestämmelser om hur länge uppgifter får bevaras. De författningar som i dag reglerar de register som förs för de aktuella områdena innehåller särskilda bestämmelser om gallring. Enligt regeringens mening bör särskilda bestämmelser om gallring även tas in i de nya författningarna. Dessa gallringsregler tar då över bestämmelserna i personuppgiftslagen. Regeringen anser i likhet med Riksarkivet och Riksskatteverket att någon hänvisning till personuppgiftslagens regler om gallring i 9 § första stycket i) och tredje stycket därför inte bör göras”. Enligt 8 § andra stycket PUL hindrar inte bestämmelserna i personuppgiftslagen att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Den bestämmelsen gäller genom en hänvisning även för registerförfattningarna som gäller i stället för personuppgiftslagen. 8 § andra stycket PUL innebär alltså att bestämmelsen i 9 § första stycket samt tredje och fjärde stycket inte gäller vid en myndighets arkivering av allmänna handlingar. Dessa bestämmelser i 9 § har främst betydelse för enskilda arkiv. Gallring av allmänna handlingar styrs i stället av bestämmelser i arkivlagen och i registerförfattningarna, vars bestämmelser gäller före arkivlagen och arkivförordningen (1991:446), se 10 § arkivlagen och 14 § arkivförordningen. I övrigt finns inga bestämmelser i personuppgiftslagen som reglerar bevarande eller gallring. Registerförfattningarna har, som framgått, egna bestämmelser om gallring. Enligt 1 kap. 8 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet ska uppgifter som behandlas automatiserat i ett ärende gallras senast ett år efter det att ärendet har avslutats om inte regeringen eller den myndighet regeringen bestämmer har meddelat föreskrifter om att uppgifter ska gallras vid en annan tidpunkt eller att uppgifter ska bevaras. För uppgifter som behandlas med stöd av 2 kap. gäller särskilda bestämmelser. Som exempel kan nämnas att enligt 2 kap. 11 § ska uppgifter och handlingar i beskattningsdatabasen, om inget annat anges i 12 §, gallras senast sju år efter utgången av det kalenderår då den beskattningsperiod som uppgifterna eller handlingarna kan hänföras till gick ut. 2 kap. 12 § anger bl.a. när uppgifter och handlingar 91

som avser revision eller fastighetstaxering ska gallras. Förordningen om behandling av uppgifter i Skatteverkets beskattningsverksamhet innehåller också bestämmelser om bevarande och gallring. Lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och lagen om behandling av uppgifter i Tullverkets verksamhet innehåller bestämmelser av liknande slag. Lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet och tillhörande förordning saknar bestämmelser om bevarande och gallring. Detta betyder att det är arkivlagens bestämmelser om gallring som ska tillämpas, se prop. 2000/01:33 s. 147. För registerförfattningar där personuppgiftslagen (och därmed 9 § första stycket i och tredje stycket) gäller, finns bestämmelser om gallring i förordningen om det statliga personadressregistret (15 och 16 §§), förordningen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter (4 §) och förordningen om identitetskort för folkbokförda i Sverige (13 §). Förordningen om tullinformationssystemet har inga särskilda gallringsbestämmelser, men pekar ut Tullverket som ansvarigt för bevarande och gallring av svenska uppgifter som förts in i tullinformationssystemet (11 §). Själva gallringsbestämmelserna finns i EUrättsakterna som förordningen kompletterar och genomför. Även andra författningar än registerförfattningar innehåller bestämmelser om gallring. Det gäller t.ex. skatteförfarandeförordningen (2011:1261), fastighetstaxeringsförordningen (1993:1199) och förordningen (1993:1105) om bevarande av deklarationer m.m.. Det kan påpekas att dessa bestämmelser avser inte just behandling av personuppgifter eller automatiserad behandling. Detta utesluter dock inte att det kan bli fråga om sådan behandling vid tillämpning av dessa bestämmelser.

Dataskyddsförordningens krav Artikel 6 som reglerar när behandling av personuppgifter är laglig behandlas främst i avsnitt 5.1. Det kan dock här nämnas att när det gäller den rättsliga grunden för behandling framgår av artikel 6.3 att den kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bl.a. lagringstid. Enligt artikel 5.1 e i dataskyddsförordningen får personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). För känsliga personuppgifter gäller enligt artikel 9.2 j i dataskyddsförordningen att sådana uppgifter får behandlas om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas 92

nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Av artikel 89.1 i dataskyddsförordningen framgår att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämpliga skyddsåtgärder i enlighet med dataskyddsförordningen för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dessa åtgärder får inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska dessa ändamål uppfyllas på det sättet. Om personuppgifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, får det enligt artikel 89.2 och 89.3 i dataskyddsförordningen föreskrivas om undantag från vissa av den registrerades rättigheter.

Dataskyddsutredningen Dataskyddsutredningen bedömer att den behandling av personuppgifter som myndigheter och andra organ utför när de som en följd av arkivlagens bestämmelser arkiverar sina allmänna handlingar utgör en vidarebehandling som sker för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt artikel 5.1 b i dataskyddsförordningen inte anses som oförenlig med de ursprungliga ändamålen, och det krävs därför inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs (SOU 2017:39 s. 216). När det gäller känsliga personuppgifter och uppgifter om lagöverträdelser föreslår utredningen i fråga om arkiv att sådana uppgifter ska få behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om bevarande och vård av arkiv, på i bestämmelserna närmare angivna villkor (3 kap. 6 och 11 §§ förslaget till dataskyddslag). Utredningen anger att den närmare innebörden av begreppet arkivändamål av allmänt intresse, särskilt i förhållande till begreppet historiska forskningsändamål, behöver klargöras i rättstillämpningen, inte minst genom EU-domstolens praxis. Det står emellertid enligt utredningens mening klart att den behandling av personuppgifter som sker för att uppfylla krav på bevarande för andra syften, såsom exempelvis kravet på arkivering av räkenskapsinformation enligt bokföringslagen (1999:1078), inte utgör behandling för arkivändamål av allmänt intresse (SOU 2017:39 s. 214–215). I författningskommentaren till 3 kap. 6 § anges att bestämmelsen medför, tillsammans med 11 §, att dataskyddsförordningen och lagen inte hindrar att en myndighet eller ett annat organ som omfattas av offentlighetsprincipen arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (s. 369).

Det behövs inga författningsändringar Dataskyddsförordningen innebär att uppgifter inte får lagras i en identifierbar form under längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (artikel 5.1 e första meningen). Samma princip gäller enligt det nu gällande dataskyddsdirektivet. Som framgår ovan gäller för såväl registerförfattningarna som andra författningar som omfattas av denna översyn en mängd bestämmelser om bevarande och gallring, såsom när uppgifter senast ska gallras. Tidigare bedömningar av vilka lagringstider som är nödvändiga för ändamålet med respektive personuppgiftsbehandling är enligt promemorians bedömning även fortsättningsvis relevanta. Dessa gränser för bevarande bedöms också vara förenliga med artikel 5.1 e i dataskyddsförordningen. Det krävs därmed inga författningsändringar med anledning av dataskyddsförordningens bestämmelser i ovan nämnda avseende. När det gäller behandling bl.a. för arkivändamål av allmänt intresse, får under vissa förutsättningar personuppgifter lagras under längre tid, se artikel 5.1 e andra meningen. Det krävs då bl.a. skyddsåtgärder. Bestämmelsen liknar vad som gäller enligt dataskyddsdirektivet. Det finns inga bestämmelser av detta slag i registerförfattningarna eller andra författningar som omfattas av denna översyn. Dessa regler påverkar därmed inte denna översyn. Artikel 9.2 j i dataskyddsförordningen om möjligheten att under vissa förutsättningar behandla känsliga personuppgifter för bl.a. arkivändamål av allmänt intresse har inte heller någon motsvarighet i registerförfattningarna. Då bestämmelsen är ny i förhållande till dataskyddsdirektivet, finns inte heller någon sådan bestämmelse i personuppgiftslagen som skulle kunna vara tillämplig för de registerförfattningar där personuppgiftslagen gäller. Dock kommer dataskyddslagens bestämmelse om sådan personuppgiftsbehandling att bli tillämplig. Inte heller detta medför därför några författningsåtgärder. Ovanstående innebär sammanfattningsvis att bestämmelserna är förenliga med dataskyddsförordningen och att inte finns skäl att göra några ändringar avseende bevarande- och gallringsbestämmelser i registerförfattningarna eller andra författningar som omfattas av denna översyn.

7.11 Enskildas rättigheter

7.11.1 Allmänt om rättigheterna i dataskyddsförordningen och bestämmelser i förslaget till dataskyddslag

I dataskyddsförordningens tredje kapitel behandlas den registrerades rättigheter. Kapitlet avser rätten till information (artiklarna 13 och 14) och registerutdrag (artikel 15), rätten till rättelse (artikel 16), radering (artikel 17), begränsning (artikel 18) och dataportabilitet (artikel 20). Slutligen behandlas rätten att göra invändningar (artikel 21) och att 94

motsätta sig automatiskt individuellt beslutsfattande (artikel 22). I anslutning till dessa rättigheter finns bestämmelser om hur och när information ska lämnas (artikel 12) och bestämmelser om anmälningsskyldighet för det fall rättelse, radering eller begränsning av behandling sker (artikel 19). De rättigheter för enskilda som följer av dataskyddsförordningen har, med vissa undantag, sina motsvarigheter i dataskyddsdirektivet och personuppgiftslagen. Som nämnts i avsnitt 4.1 har den registrerades rättigheter dock förstärkts i vissa avseenden genom dataskyddsförordningen, bl.a. när det gäller rätten till information och tillgång till uppgifter. Den registrerades rättigheter, med motsvarande skyldigheter för den personuppgiftsansvarige, är direkt tillämpliga. Rättigheterna är emellertid inte absoluta utan kan enligt artikel 23 i dataskyddsförordningen begränsas under vissa, i artikeln angivna, förutsättningar. Enligt artikel 23.1 får begränsningar införas i nationell rätt, om begränsningen sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Därutöver krävs att begränsningen görs för att uppfylla något av vissa särskilt uppräknade intressen. De uppräknade intressena innefattar bl.a. att säkerställa unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska intressen, däribland penning-, budgeteller skattefrågor, folkhälsa och social trygghet. Även enligt artikel 13 i dataskyddsdirektivet ges en möjlighet att begränsa de rättigheter som ges enskilda i direktivet. En nyhet i dataskyddsförordningen är att det anges att en begränsande lagstiftningsåtgärd, när så är relevant, ska innehålla specifika bestämmelser i vissa avseenden, bl.a. om skyddsåtgärder (artikel 23.2). Dataskyddsutredningen föreslår en bestämmelse som innebär undantag från informationsskyldigheten enligt artiklarna 13–15 om sekretess eller tystnadsplikt föreligger (5 kap. 1 § förslaget till dataskyddslag). Utredningen föreslår vidare att den registrerades rätt till registerutdrag som huvudregel inte ska omfatta uppgifter som behandlas i löpande text som utgör utkast eller minnesanteckningar (5 kap. 2 §). Slutligen föreslår utredningen ett generellt bemyndigande för regeringen att meddela föreskrifter om ytterligare begränsningar enligt artikel 23 i dataskyddsförordningen (5 kap. 3 §). I det följande behandlas frågan om vilken reglering som kan behövas i registerförfattningarna med anledning av dataskyddsförordningens bestämmelser om rätten till information och tillgång till personuppgifter, rätten till rättelse, radering och begränsning av behandling av personuppgifter och rätten att göra invändningar mot behandling. Frågor om automatiskt beslutsfattande regleras inte i registerförfattningarna. Den frågan behandlas i stället i avsnitt 10.

7.11.2 Rätten till information och tillgång till personuppgifter

Promemorians bedömning: Någon upplysning om vilka rättigheter i dataskyddsförordningen som gäller behövs inte. Registerförfattningarnas bestämmelser om att information inte behöver ges i vissa fall är förenliga med dataskyddsförordningen och kan behållas. Promemorians förslag: Hänvisningar till personuppgiftslagen i bestämmelser om information om uppgifter i handlingar som den enskilde har tagit del av ska ersättas med hänvisningar till dataskyddsförordningen. Undantaget från informationsskyldighet när uppgifter behandlas på grund av visst administrativt samarbete i fråga om beskattning ska omformuleras så att det blir kvar oförändrat i sak. Det ska tydliggöras att bestämmelser som anger att myndigheterna får ta ut avgifter för att lämna ut uppgifter inte innebär en inskränkning av den registrerades rätt till kostnadsfria åtgärder enligt artikel 12.5 a i förordningen.

Skälen för promemorians bedömning och förslag

Nuvarande reglering Bestämmelser om information till den registrerade finns i 23–27 §§ PUL. I flera av de författningar som omfattas av översynen pekas det ut vilka bestämmelser i personuppgiftslagen om information till enskilda som är tillämpliga vid sådan behandling som omfattas av respektive lag. De bestämmelser som pekas ut är 23 och 25–27 §§. Hänvisningar till dessa bestämmelser i personuppgiftslagen finns i 3 kap. 1 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 3 kap. 1 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 3 kap. 1 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och 3 kap. 1 § lagen om behandling av uppgifter i Tullverkets verksamhet. Eftersom personuppgiftslagen gäller vid behandling enligt lagen om identitetskort för folkbokförda i Sverige, lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter och lagen om det statliga personadressregistret om inte annat följer av de respektive lagarna och då de lagarna inte innehåller särskilda bestämmelser som informationsskyldighet, gäller samtliga bestämmelser om informationsskyldighet i personuppgiftslagen vid sådan behandling som omfattas av de lagarna. I 23 § PUL finns bestämmelser om att den personuppgiftsansvarige självmant ska lämna information till den registrerade om behandlingen av personuppgifterna när uppgifter samlas in från personen själv. I 25 § anges vilken information som den personuppgiftsansvarige ska lämna. 26 § PUL innehåller bestämmelser om att den personuppgiftsansvarige i vissa fall är skyldig att till den som ansöker om det lämna viss särskilt angiven information om de uppgifter rörande den sökande som behandlas (s.k. registerutdrag). I fråga om uppgifter som finns i handlingar finns

vissa specialbestämmelser i flera av de berörda författningarna. Dessa bestämmelser behandlas nedan. 24 § PUL är inte tillämplig för de lagar som gäller i stället för personuppgiftslagen och som pekar ut vilka bestämmelser i personuppgiftslagen som ska gälla. Av bestämmelsen framgår att information om behandling av uppgifterna i vissa fall ska lämnas till den registrerade, när uppgifter samlas in från någon annan källa än den registrerade. I bestämmelsens andra stycke anges dock att informationen inte behöver lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning, med bestämmelser om vilka uppgifter som får behandlas och hur uppgifterna i övrigt får hanteras, har därför gjorts bedömningen att det inte krävs att det ges sådan information som avses i 24 § PUL (se t.ex. prop. 2000/01:33 s. 105).

Dataskyddsförordningens bestämmelser om rätt till information och tillgång till personuppgifter Bestämmelser om att den personuppgiftsansvarige självmant ska lämna viss information till den registrerade om behandling av personuppgifter finns i artikel 13 och 14 i dataskyddsförordningen. Bestämmelserna utgör motsvarigheter till 23 och 24 §§ PUL samt artikel 10 och 11 i dataskyddsdirektivet. I artikel 13 i dataskyddsförordningen anges vilken information som ska lämnas till den registrerade när personuppgifter samlas in från denne. I artikel 14.1–14.4 regleras skyldigheten att lämna information när personuppgifterna har erhållits från någon annan än den registrerade. Av artikel 14.5 följer att skyldigheten att lämna information enligt punkterna 1–4 i samma artikel inte ska tillämpas bl.a. då erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. Rätten till registerutdrag regleras i artikel 15 i dataskyddsförordningen, som utgör motsvarighet till 26 § PUL och artikel 12 a i dataskyddsdirektivet. I artikeln anges bl.a. att den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och viss information som finns särskilt angiven i artikeln. Den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling. I artikel 12 finns bestämmelser om på vilket sätt och inom vilken tid bl.a. sådan information som avses i artikel 13–15 ska lämnas till den registrerade. Som framgår av ovanstående avsnitt finns vissa skillnader mellan dataskyddsförordningens bestämmelser om informationsskyldighet och de skyldigheter som gäller enligt dataskyddsdirektivet och personuppgiftslagen. Den information om personuppgiftsbehandlingen som ska lämnas är t.ex. mer utförlig enligt dataskyddsförordningen än enligt dataskyddsdirektivet och personuppgiftslagen. I dataskyddsförordningen

finns också vissa nya bestämmelser om bl.a. på vilket sätt och inom vilken tidsfrist informationen ska lämnas till den registrerade.

Det behöver inte upplysas om att bestämmelserna i dataskyddsförordningen gäller De hänvisningar till personuppgiftslagens bestämmelser som finns i berörda författningar behöver tas bort. Det förslaget behandlas i avsnitt 7.2. Eftersom de rättigheter som följer av dataskyddsförordningen är direkt tillämpliga behövs inga bestämmelser som slår fast att dessa gäller. I likhet med dagens reglering kommer informationsskyldigheten då uppgifter har erhållits från någon annan än den registrerade inte att gälla vid sådan behandling som omfattas av de berörda författningarna (se artikel 14.5 c). Den behandling som omfattas av översynen regleras i författningar som får anses tillräckliga för att uppfylla dataskyddsförordningens krav på lämpliga skyddsåtgärder (jfr prop. 1997/98:44 s. 79). Någon upplysning om vilka rättigheter i dataskyddsförordningen som gäller bedöms inte behövas.

Undantaget för information om uppgifter i handlingar i vissa fall ska behållas, men justeras I flera av de lagar som omfattas av översynen finns bestämmelser om att information som ska lämnas enligt 26 § PUL inte behöver omfatta uppgift i en handling som behandlas i en databas, om den enskilde har tagit del av handlingens innehåll. Om den enskilde begär det ska dock informationen även omfatta uppgift i en sådan handling. Om informationen inte innehåller sådan handling som avses i bestämmelserna, ska det vidare framgå av informationen att handlingen behandlas i databasen. Bestämmelser med detta innehåll finns i 3 kap. 2 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 3 kap. 2 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 3 kap. 2 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och 3 kap. 2 § lagen om behandling av uppgifter i Tullverkets verksamhet. Eftersom informationen ska omfatta även uppgifterna i handlingarna om den enskilde begär det kan de aktuella bestämmelserna inte anses innebära någon begränsning av rätten till information i artikel 15 i dataskyddsförordningen. Något hinder mot att behålla bestämmelserna finns inte. Hänvisningen till 26 § PUL i de aktuella bestämmelserna bör dock ersättas med en hänvisning till artikel 15 i dataskyddsförordningen. Förslagen genomförs genom ändringar i 3 kap. 2 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 3 kap. 2 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 3 kap. 2 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och 3 kap. 2 § lagen om behandling av uppgifter i Tullverkets verksamhet.

Undantaget vid visst administrativt samarbete i fråga om beskattning ska behållas, men justeras I 3 kap. 2 a § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet anges att bl.a. bestämmelserna i 23, 25 och 26 §§ PUL 98

inte tillämpas vid behandling av personuppgifter på grund av samarbete enligt lagen (2001:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning, om sådana begränsningar är nödvändiga med hänsyn till ett intresse som anges i 8 a § f PUL. Det intresse som anges i 8 a § f PUL är ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen Bestämmelsen infördes i samband med genomförandet av rådets direktiv 2011/16/EU av den 15 februari 2011 om administrativt samarbete i fråga om beskattning och om upphävande av direktiv 77/799/EG (handräckningsdirektivet). Direktivet genomfördes i huvudsak genom införandet av lagen om administrativt samarbete inom Europeiska unionen i fråga om beskattning. I den lagen finns bl.a. skyldigheter för Skatteverket att under vissa förutsättningar, både på begäran och på eget initiativ, lämna sådana upplysningar till en behörig myndighet i en annan medlemsstat som kan antas vara relevanta för administration och verkställighet av den andra medlemsstatens skattelagstiftning (8, 12 och 14 §§). I lagen ges även en skyldighet för Skatteverket att, med tillämpning av samma förfarande som i egna skatteärenden, utföra de utredningar som krävs för att få fram sådana upplysningar som begärs av en annan medlemsstat och som ska lämnas till den staten (9 §). Av lagen framgår att Skatteverket, med vissa undantag, får begära att en behörig myndighet i en annan medlemsstat vidtar motsvarande åtgärder som åligger Skatteverket (6 §). Bakgrunden till bestämmelsen i 3 kap. 2 a § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet var bl.a. att det föreskrivs i artikel 25 i handräckningsdirektivet att medlemsstaterna för en korrekt tillämpning av direktivet ska begränsa tillämpningsområdet för bl.a. de skyldigheter och rättigheter som avses i artiklarna 10, 11.1 och 12 i dataskyddsdirektivet i den utsträckning som behövs för att skydda de intressen som avses i artikel 13.1 e i det direktivet. Bestämmelsen kan t.ex. bli aktuell att tillämpa på en situation när uppgifter behandlas med anledning av en begäran om utbyte av upplysningar och det kan befaras att det skulle försvåra genomförandet av utredning eller beslut i skatteärende i den andra medlemsstaten att lämna sådan information till den registrerade (se propositionen Genomförande av det nya EU-direktivet om administrativt samarbete i fråga om beskattning, 2012/13:4 s. 70–73). De skyldigheter och rättigheter som ska begränsas enligt handräckningsdirektivet rör bl.a. rätten till information och tillgång till personuppgifter. Dessa rättigheter regleras i artikel 13 och 15 i dataskyddsförordningen. Den grund som anges i artikel 13.1 e i dataskyddsdirektivet och 8 a § f PUL, på vilken bl.a. rättigheten till information får begränsas, har sin motsvarighet i artikel 23.1 e i dataskyddsförordningen. Den aktuella bestämmelsen i dataskyddsförordningen ger en något vidare möjlighet att begränsa de enskildas rättigheter. I de aktuella författningarna finns ett flertal olika integritetsskyddande bestämmelser, som har införts utifrån vad som bedöms lämpligt för de olika verksamheterna. Författningarna innehåller därför sådana relevanta bestämmelser om bl.a. skyddsåtgärder som avses i artikel 23.2. 99

3 kap. 2 a § lagen om behandling av personuppgifter i Skatteverkets beskattningsverksamhet är således förenlig med artikel 23 i dataskyddsförordningen. För att bestämmelsens sakliga innebörd ska vara densamma som i dag, bör hänvisningen till 8 a § f PUL inte ersättas av en hänvisning till artikel 23.1 e i dataskyddsförordningen. I stället bör lagtexten utformas så att det framgår att de rättigheter som anges i artikel 13 och 15 i dataskyddsförordningen inte ska tillämpas om sådana begränsningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen. Frågan om begränsning av övriga rättigheter och skyldigheter som avses i artikel 25 i handräckningsdirektivet behandlas i nästa avsnitt. Förslaget genomförs genom ändringar i 3 kap. 2 a § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet.

Bestämmelser om andra former av informationsskyldighet påverkas inte Det förekommer bestämmelser som ger myndigheter och vissa enskilda aktörer skyldigheter att informera enskilda, utan att informationsskyldigheten är kopplad till rättigheterna i dataskyddsdirektivet och personuppgiftslagen. Sådana bestämmelser finns framför allt i andra författningar än de rena registerförfattningarna. Det kan t.ex. handla om att information ska lämnas om att den personuppgiftsansvarige har tillgång till eller har vidtagit vissa åtgärder med uppgifter som rör den enskilde. Sådana bestämmelser finns bl.a. i skatteförfarandelagen, SFL. I 31 kap. 4 § SFL anges t.ex. att Skatteverket, före den 15 april året efter utgången av beskattningsåret ska underrätta fysiska personer och dödsbon som kan antas vara deklarationsskyldiga om de kontrolluppgifter och övriga uppgifter som har kommit in till verket som underlag för beslut om slutlig skatt och beslut om pensionsgrundande inkomst, samt övriga uppgifter som verket känner till. I 34 kap. SFL finns vissa bestämmelser om skyldighet att lämna information i syfte att någon ska kunna fullgöra sin uppgiftsskyldighet gentemot Skatteverket. Det följer t.ex. av 34 kap. 3 § SFL att den som är skyldig att lämna kontrolluppgift enligt 15–22 kap. inom vissa angivna frister ska informera den som uppgiften avser om de uppgifter som lämnas i kontrolluppgiften. I 9 § lagen (1990:314) om ömsesidig handräckning i skatteärenden, 2 kap. 8 § lagen (2000:1219) om internationellt tullsamarbete och 16 § lagen om administrativt samarbete inom Europeiska unionen i fråga om beskattning finns regler som innebär att en myndighet i vissa fall ska underrätta en enskild om att uppgifter har översänts till utländsk myndighet eller mellanfolklig organisation. I dessa lagar ges också vissa undantag från de informationsskyldigheter som regleras där. En bestämmelse om information till enskild finns också i 10 § förordningen om det statliga personadressregistret. De angivna bestämmelserna har införts med olika syften. De har det gemensamt att de inte påverkar den rätt till information som ges i personuppgiftslagen och de aktuella registerförfattningarna. Bestämmelserna kommer inte heller att påverka de rättigheter som följer av dataskyddsförordningen och kan inte heller t.ex. ligga till grund för en begäran om skadestånd med stöd av dataskyddsförordningen och dataskyddslagens bestämmelser (ser mer om skadestånd i avsnitt 7.13). 100

De informationsskyldigheter som följer av bestämmelserna kommer att tillämpas vid sidan av bestämmelserna i förordningen. Det finns mot den bakgrunden inte skäl att föreslå några författningsändringar avseende dessa bestämmelser.

Det ska framgå att avgifter inte får tas ut i vissa fall I 2 kap. 14 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 2 kap. 12 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 2 kap. 30 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och 2 kap. 11 § lagen om behandling av uppgifter i Tullverkets verksamhet finns bestämmelser om att de aktuella myndigheterna får ta ut avgifter för att lämna ut uppgifter ur databaser enligt de närmare föreskrifter som meddelas av regeringen. Vidare anges i dessa bestämmelser att rätten att ta ut avgifter inte får innebära en inskränkning i rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt tryckfrihetsförordningen. I förarbetena till bestämmelserna uttalade regeringen bl.a. följande. ”Enskilda har normalt möjlighet att få tillgång till uppgifter med stöd av tryckfrihetsförordningen. För sådant uppgiftsutlämnande finns särskilda bestämmelser om avgifter. När enskilda vill ta del av en större mängd uppgifter på medium för automatiserad behandling – vilket inte omfattas av tryckfrihetsförordningens bestämmelser – av t.ex. marknadsföringsskäl eller av andra orsaker som betingas av bedriven näringsverksamhet, finns det anledning att låta dem som drar nytta av uppgifterna bidra ekonomiskt till den verksamhet från vilken utlämnandet sker. Vid utlämnande på elektronisk väg till enskilda bör de utlämnande myndigheterna således få ta ut avgifter” (prop. 2000/01:33 s. 119). I artikel 12.5 a i dataskyddsförordningen slås fast att information som tillhandahållits enligt artiklarna 13 och 14, all kommunikation och samtliga åtgärder som vidtas enligt artiklarna 15–22 och 34 ska tillhandahållas kostnadsfritt. För en begäran från en registrerad som är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art, får den personuppgiftsansvarige dock ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts. Bestämmelsen avser alltså bl.a. registrerades rätt till information och till s.k. registerutdrag enligt artiklarna 13–15. Det bör tydliggöras att regleringen om avgifter i de berörda lagarna inte innebär en inskränkning av registrerades rätt till kostnadsfria åtgärder enligt artikel 12.5 a i förordningen. Bestämmelser med denna innebörd bör därför införas i lagarna. Förslagen genomförs genom ändringar i 2 kap. 14 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 2 kap. 12 § lagen om behandling av personuppgifter i Skatteverkets folkbokförings– verksamhet, 2 kap. 30 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och 2 kap. 11 § lagen om behandling av uppgifter i Tullverkets verksamhet.

7.11.3 Rätten till rättelse, radering och begränsning av behandling

Promemorians bedömning: Någon upplysning om att rättigheterna i dataskyddsförordningen gäller behövs inte. Någon inskränkning av rätten till rättelse, radering, begränsning av behandling eller anmälningsskyldighet behöver inte göras i andra fall. Promemorians förslag: Bestämmelserna om rättelse och att i vissa fall underrätta tredje man i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet ska kompletteras med en upplysning om att det i fråga om personuppgifter finns bestämmelser om rättelse m.m. i dataskyddsförordningen. Undantaget från rätten till rättelse m.m. när uppgifter behandlas på grund av visst administrativt samarbete i fråga om beskattning ska omformuleras så att det blir kvar oförändrat i sak.

Skälen för promemorians bedömning och förslag

Nuvarande reglering Enligt 28 § PUL är den personuppgiftsansvarige skyldig att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av den lagen. Paragrafen rubriceras ”rättelse”. Med detta menas rättelse i den vidare bemärkelsen korrigering, som alltså kan ske genom de alternativa metoderna rättelse, blockering och utplåning. Det är i princip den som ska göra korrigeringen, dvs. den personuppgiftsansvarige, som själv väljer mellan alternativen. Av annan lagstiftning, eller av sakens natur, kan det dock följa att vissa korrigeringsmetoder inte kan användas i vissa fall, t.ex. när det gäller korrigering av personuppgifter i bokföring (prop. 1997/98:44 s. 134). En myndighet får inte heller utplåna uppgifter i en allmän handling, om det skulle strida mot andra bestämmelser. Av 28 § PUL framgår därutöver att den personuppgiftsansvarige i vissa fall ska underrätta tredje man, till vilken uppgifterna har lämnats ut, om korrigeringsåtgärden. Bestämmelserna i 28 § PUL genomför artikel 12 b och c i dataskyddsdirektivet. I de flesta av de berörda registerförfattningarna har tagits in paragrafer som innebär att bestämmelserna i personuppgiftslagen om rättelse gäller när personuppgifter behandlas i strid med registerförfattningarna. Bestämmelser med denna innebörd finns i 3 kap. 3 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 3 kap. 3 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 3 kap. 3 § lagen om behandling av uppgifter i Tullverkets verksamhet, 9 § lagen om det statliga personadressregistret, 18 § lagen om identitetskort för folkbokförda i Sverige och 10 § lagen om behandling av personuppgifter i Skatteverkets äktenskapsregisteroch bouppteckningsverksamheter. Med hänsyn till hur bestämmelserna i 28 § PUL är utformade har det ansetts att en särskild hänvisning behövs i särlagstiftning för att bestämmelserna ska gälla för behandling som sker i strid med särslagstiftningen (se t.ex. prop. 2015/16:28 s. 43). 102

Rättelsereglerna i 28 § PUL tillämpas således vid behandling av personuppgifter i de berörda verksamheterna. För Kronofogdemyndighetens verksamhet gäller vissa särskilda bestämmelser, vilket behandlas nedan.

Dataskyddsförordningens bestämmelser om rättelse, radering och begränsning av behandling Dataskyddsförordningens motsvarigheter till de rättigheter som följer av 28 § PUL finns i artikel 16–19. I artiklarna regleras den registrerades rätt till rättelse, radering och begränsning av behandling samt skyldigheten för den personuppgiftansvarige att underrätta mottagare av personuppgifter om vidtagna korrigeringsåtgärder.

– Närmare om rätten till rättelse I artikel 16 stadgas en rätt för den registrerade att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen ska den registrerade också ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande. Rätten för den registrerade att på begäran få uppgifter rättade innebär ingen nyhet. Rätten till komplettering saknar uttrycklig motsvarighet i dataskyddsdirektivet och personuppgiftslagen. Enligt 9 § PUL gäller dock redan att den personuppgiftsansvarige ska se till att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga och ofullständiga med hänsyn till ändamålet med behandlingen. Den bestämmelsen är tillämplig vid behandling enligt samtliga registerförfattningar som omfattas av översynen.

– Närmare om rätten till radering

Enligt artikel 17 ska den registrerade under vissa omständigheter ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade. Den personuppgiftsansvarige ska under samma omständigheter vara skyldig att utan onödigt dröjsmål radera personuppgifter. Rätten till radering gäller bl.a. om personuppgifterna inte längre är nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlas eller om de har behandlats på olagligt sätt. I artikel 17.3 regleras vissa undantag från rätten till radering. Av artikel 17.3 b följer t.ex. att rätten till radering inte gäller i den utsträckning behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige.

– Närmare om rätten till begränsning av behandling

I artikel 18.1 ges en rätt för den registrerade att av den personuppgiftsansvarige kräva att behandlingen begränsas i vissa fall. Rätten gäller i fall den registrerade bestrider personuppgifternas korrekthet, under en tid 103

som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta (artikel 18.1 a), i fall behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning (artikel 18.1 b), i fall den personuppgiftsansvarige inte längre behöver personuppgifterna för ändamålen med behandlingen men den registrerade behöver dem för att kunna fastställa, göra gällande och försvara rättsliga anspråk (artikel 18.1 c), och i fall den registrerade har invänt mot behandling i enlighet med artikel 21.1 i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl (artikel 18.1.d). En definition av uttrycket begränsning av behandling finns i artikel 4.3. Där framgår att med begränsning av behandling avses markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa i framtiden. Begränsning av behandling behandlas även i skäl 67. Där anges att sätten att begränsa behandlingen av personuppgifter bland annat kan vara att man tillfälligt flyttar de valda personuppgifterna till ett annat databehandlingssystem, gör de valda personuppgifterna otillgängliga för användare eller tillfälligt avgränsar offentliggjorda uppgifter från en webbplats. I automatiserade register bör begränsningen av behandlingen i princip ske med tekniska medel på ett sådant sätt att personuppgifterna inte blir föremål för ytterligare behandling och inte kan ändras. Det förhållandet att behandlingen av personuppgifterna är begränsad bör klart anges inom systemet.

– Skyldighet att underrätta tredje man om vidtagna korrigeringsåtgärder

Enligt artikel 19 i dataskyddsförordningen gäller att den personuppgiftsansvarige ska underrätta varje mottagare till vilken personuppgifter har lämnats ut om eventuella rättelser eller radering av personuppgifter eller begränsningar av behandling som sker i enlighet med artiklarna 16, 17.1 och 18, om inte detta visar sig vara omöjligt eller medföra en oproportionerlig ansträngning. Den personuppgiftsansvarige ska informera den registrerade om dessa mottagare på den registrerades begäran. Bestämmelsen skiljer sig från 28 § PUL genom att utgångspunkten i dataskyddsförordningen är att underrättelse ska lämnas till uppgiftsmottagarna i alla de fall då rättelse, radering eller begränsning av behandling har skett, dvs. inte endast då den enskilde har begärt det eller då mera betydande skada eller olägenhet för den enskilde skulle kunna undvikas. I artikel 4.9 finns en definition av vad som avses med mottagare i dataskyddsförordningens mening. Av bestämmelsen framgår bl.a. att myndigheter som kan komma att motta personuppgifter inom ramen för ett särskilt uppdrag i enlighet med unionsrätten eller medlemsstaternas nationella rätt inte ska betraktas som mottagare.

Det behöver inte anges att bestämmelserna i dataskyddsförordningen gäller De hänvisningar till personuppgiftslagens bestämmelser som finns i berörda författningar behöver tas bort. Det förslaget behandlas i avsnitt 7.2. Eftersom de rättigheter som följer av dataskyddsförordningen är 104

direkt tillämpliga behövs inga bestämmelser som slår fast att dessa gäller. Någon upplysning om att rättigheterna i dataskyddsförordningen gäller bedöms inte heller behövas.

Den utökade rätten till korrigering av vissa missvisande uppgifter hos Kronofogdemyndigheten ska behållas, med upplysning om bestämmelserna i dataskyddsförordningen Vid behandling av uppgifter i Kronofogdemyndighetens verksamhet gäller särskilda regler om korrigering av uppgifter. Bestämmelserna finns i 3 kap. 3 a § första stycket lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet. Enligt dessa regler ska Kronofogdemyndigheten på begäran av den registrerade snarast rätta, blockera eller utplåna sådana uppgifter som inte har behandlats i enlighet med lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet eller anslutande författningar. Därutöver ska sådan korrigering ske på den enskildes begäran beträffande uppgifter som är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser. Rätten att få sådana missvisande uppgifter korrigerade innebär en utökad rätt i förhållande till personuppgiftslagens och även dataskyddsförordningens bestämmelser. Bakgrunden till den särskilda rättelsebestämmelsen är i huvudsak att det kan få långtgående konsekvenser för den enskilde att förekomma med mål som registrerats i utsöknings- och indrivningsdatabasen, med tanke på uppgifternas spridning och användning utanför Kronofogdemyndigheten. Det har mot den bakgrunden inte ansetts vara rimligt att behöva figurera med sådana uppgifter i fall där det inte behöver ha förelegat någon verklig vare sig ovilja eller oförmåga att betala (se propositionen Rättelse av uppgifter i Kronofogdemyndighetens verksamhet m.m., 2007/08:116 s. 14). I förarbetena till den aktuella bestämmelsen anfördes att det kunde diskuteras om förslaget innebar en utvidgning av skyldigheten att vidta rättelse, eller bara ett förtydligande av vad som gällde enligt personuppgiftslagens bestämmelser. Det viktigaste ansågs emellertid vara att ändringen, tillsammans med den utbyggnad av sekretesskyddet som också föreslogs, banade väg för en tillämpning som tillgodosåg såväl kraven på Kronofogdemyndighetens diarieföring som de enskildas berättigade krav på att inte behöva förekomma med uppgifter som ger ett i sak ogrundat intryck av bristande vilja eller förmåga att göra rätt för sig (s. 17 f.). I förarbetena drogs också slutsatsen att blockering var den rättelsemetod som normalt borde komma till användning hos Kronofogdemyndigheten när det gäller uppgifter som är missvisande men inte är felaktiga i ett rent diarieperspektiv (s. 20). Bestämmelsen i 3 kap. 3 a § gäller inte endast för personuppgifter, utan även för uppgifter om juridiska personer och avlidna. Även i detta avseende saknar bestämmelsen således motsvarighet i dataskyddsförordningen. Något hinder mot att behålla den utökade rätten till rättelse av vissa missvisande uppgifter i Kronofogdemyndighetens databaser finns inte i dataskyddsförordningen. Rätten kan därför behållas. I 3 kap. 3 a § andra stycket lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet finns också en bestämmelse om att 105

tredje man till vilken uppgifter har lämnats ut i vissa fall ska underrättas om åtgärder som har vidtagits med stöd av bestämmelsens första stycke. Sådan underrättelse ska enligt bestämmelsen ske om den registrerade begär det eller om mera betydande skada eller olägenhet för en registrerade kan undvikas på detta sätt. Någon underrättelse behöver dock inte lämnas, om detta skulle innebära en oproportionerligt stor arbetsinsats. I 17 § förordningen (1991:1339) om betalningsföreläggande och handräckning finns också en särskild bestämmelse om underrättelseskyldighet gällande uppgift i ett mål om betalningsföreläggande. Om en uppgift i ett sådant mål har lämnats ut till ett kreditupplysningsföretag, ska Kronofogdemyndigheten genast underrätta kreditupplysningsföretaget om uppgiften blockeras med stöd av 3 kap. 3 a § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet. Även dessa bestämmelser saknar fullt ut motsvarigheter i dataskyddsförordningen, eftersom de innebär att underrättelse till tredje man ska ske i vissa fall då underrättelse inte behöver lämnas enligt dataskyddsförordningen. Något hinder mot att behålla bestämmelserna finns inte i dataskyddsförordningen. De utökade rättigheterna i 3 kap. 3 a § lagen om behandling av uppgifter i Kronofogdemyndighetens bör enligt promemorians bedömning behållas. Vissa justeringar bör dock göras i den aktuella bestämmelsen i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet. När det gäller uppgifter om juridiska personer bör samma bestämmelser tillämpas som i dag. För fysiska personer bör de särskilda bestämmelserna för Kronofogdemyndighetens verksamhet gälla vid sidan av de rättigheter som följer av dataskyddsförordningen. Detta bör tydliggöras genom att det i bestämmelsen upplyses om att det i fråga om personuppgifter finns bestämmelser om rättelse m.m. i dataskyddsförordningen. Förslagen genomförs genom en ny lydelse av 3 kap. 3 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet.

Undantaget vid visst administrativt samarbete i fråga om beskattning ska behållas, men justeras I avsnitt 7.11.2 har redogjorts för 3 kap. 2 a § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet. I den bestämmelsen anges att bestämmelserna i 23, 25, 26, 28 och 42 §§ PUL inte tillämpas vid behandling av personuppgifter på grund av samarbete enligt lagen om administrativt samarbete inom Europeiska unionen i fråga om beskattning, om sådana begränsningar är nödvändiga med hänsyn till ett intresse som anges i 8 a § f PUL. Det intresse som anges i 8 a § f PUL är ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen. Det undantag som regleras i bestämmelsen avser inte endast rätten till information och tillgång till uppgifter, utan även skyldigheten för den personuppgiftsansvarige enligt 28 § PUL att på begäran av den registrerade i vissa fall snarast rätta, blockera eller utplåna personuppgifter samt att underrätta tredje man om vidtagna korrigeringsåtgärder. Dessa rättigheter motsvaras av rättigheterna i artikel 16–19 i dataskyddsförordningen. 106

Som framgår av avsnitt 7.11.2 infördes bestämmelsen i 3 kap. 2 a § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet för att genomföra artikel 25 i handräckningsdirektivet. Bestämmelsen uppfyller de krav som ställs på en rättighetsbegränsande bestämmelse enligt artikel 23 i dataskyddsförordningen (se bedömning i avsnitt 7.11.2). Mot den bakgrunden bör bestämmelsen vara kvar även i den del som gäller begränsning av rätten till rättelse, radering och begränsning av behandling i artikel 16–18 och av anmälningsskyldigheten i artikel 19. Av den aktuella bestämmelsen bör därför framgå att de rättigheter och skyldigheter som avses i artikel 16–19 i dataskyddsförordningen inte ska tillämpas om sådana begränsningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen. Förslaget genomförs genom ändringar i 3 kap. 2 a § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet.

Rätten till radering behöver inte inskränkas i andra fall Den behandling som sker med stöd av de registerförfattningar som berörs av översynen i promemorian måste anses nödvändig för att utföra sådana uppgifter av allmänt intresse som avses i artikel 17.3 b i dataskyddsförordningen (se även avsnitt 5). Eftersom rätten till radering inte gäller i sådana situationer, hindrar bestämmelserna i artikel 17 inte att uppgifter fortsätter att behandlas i de fall den fortsatta behandlingen av uppgifterna är tillåten enligt de aktuella författningarna. I de fall personuppgifterna inte längre är nödvändiga för de ändamål för vilket de behandlas kan dock finnas en rätt till radering enligt artikel 17.1 a. Att uppgifter i sådana fall kan behöva raderas, även utan begäran av den enskilde, följer redan av artikel 5. Av den bestämmelsen framgår bl.a. att den personuppgiftsansvarige, även utan begäran från den enskilde, ska se till att personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Något behov av att inskränka rätten till radering finns mot den bakgrunden inte.

Rätten till begränsning av behandling behöver inte inskränkas i andra fall Bestämmelsen i artikel 18.1 d, som reglerar begränsning av behandling när den enskilde har invänt mot behandling, får ingen betydelse vid behandling som är tillåten enligt de berörda registerförfattningarna, eftersom rätten att invända mot behandling inte föreslås gälla i dessa fall (se avsnitt 7.11.4). Någon rätt att få behandling begränsad med stöd av artikel 18.1 d kommer därför inte att finnas vid behandling som är tillåten enligt de aktuella författningarna. I de övriga fall som avses i artikel 18.1 innebär dataskyddsförordningen att den registrerade har en rätt att få behandlingen begränsad. De verksamheter och den personuppgiftsbehandling som de berörda författningarna avser måste regelmässigt bedömas utföras för skäl som rör sådana viktiga allmänna intressen som avses i artikel 18.2. Den behandling av personuppgifter som är tillåten enligt de berörda 107

författningarna är en förutsättning för att de aktuella myndigheterna ska kunna bedriva sin verksamhet på ett korrekt, rättssäkert och effektivt sätt. Till att börja med kan därför konstateras att den behandling som myndigheterna får utföra enligt författningarna är tillåten även om behandlingen av uppgifterna har begränsats enligt artikel 18.1. Regleringen i artikel 18.1 b och c bör enligt promemorians bedömning innebära att uppgifter som annars skulle raderas ska bevaras av den personuppgiftsansvarige. I dessa fall bör det inte föreligga några större problem med att utföra sådana åtgärder som kan krävas för att behandlingen ska anses vara begränsad. I de fall som avses i artikel 18.1 är promemorians utgångspunkt att kraven på att behandlingen ska begränsas inte ska medföra att det blir svårare att utföra den tillåtna behandling som myndigheterna behöver utföra. Eftersom uppgifterna får fortsätta att behandlas av myndigheterna med stöd av artikel 18.2 är promemorians bedömning att kravet på att behandlingen ska begränsas inte innebär att uppgifterna t.ex. måste avlägsnas till ett annat tekniskt system eller att tillgången till dem begränsas. Det bör enligt promemorians bedömning räcka med mindre ingripande åtgärder, som visar att behandlingen är begränsad i enlighet med artikel 18.1 (jfr skäl 67, som endast anger exempel på åtgärder). Eftersom rätten att behandla uppgifter mot den bakgrunden inte bör innebära några betydande problem för myndigheterna, finns inte skäl att införa några inskränkningar av den rätt som följer av artikel 18.2.

Anmälningsskyldigheten i artikel 19 bör inte inskränkas i andra fall Skyldigheten att underrätta mottagare till vilken personuppgifter har lämnats ut om åtgärder som har vidtagits med stöd av artikel 16, 17.1 och 18 innebär vissa nya skyldigheter för den personuppgiftsansvarige. Det undantag som finns i artikeln, för situationer då underrättelse är omöjlig eller medför en oproportionerlig ansträngning, får anses vara ett rimligt och tillräckligt undantag vid sådan behandling som omfattas av författningarna. Någon inskränkning av den personuppgiftsansvariges skyldigheter enligt bestämmelsen bör därför inte införas.

7.11.4 Rätten att göra invändningar

Promemorians förslag: Bestämmelser om att tillåten behandling får utföras även om den enskilde motsätter sig behandlingen ska ges en ny utformning. I bestämmelserna bör anges att rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen inte gäller vid sådan behandling som är tillåten enligt respektive lag eller föreskrifter som har meddelats i anslutning till lagen. I lagen om det statliga personadressregistret ska det införas en bestämmelse som anger att rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till lagen. Det ska upplysas om att det finns bestämmelser i artikel 21.2 i dataskyddsförordningen om rätt för den registrerade att invända mot behandling av personuppgifter för direkt marknadsföring. 108

Skälen för promemorians förslag

Nuvarande reglering I artikel 14 i dataskyddsdirektivet finns en rätt för den registrerade att motsätta sig behandling av personuppgifter. Av bestämmelsen följer att medlemsstaterna ska tillförsäkra den registrerade rätten att, bl.a. i de fall när behandling sker på grund av att den är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller för att den är ett led i myndighetsutövning, när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter. Vidare framgår att den registrerade ska ges rätt att efter anmodan och utan kostnader motsätta sig behandling av personuppgifter som rör honom och som den registeransvarige bedömer kan komma att behandlas för ändamål som rör direkt marknadsföring, eller att bli informerad innan personuppgifter för första gången lämnas ut till tredje man eller används för tredje mans räkning för ändamål som rör direkt marknadsföring, och att uttryckligen få erbjudande om att utan kostnader motsätta sig ett sådant utlämnande eller sådan användning. Artikel 14 i dataskyddsdirektivet har genomförts i svensk rätt bl.a. genom 11 och 12 §§ PUL. Vid genomförandet gjorde Datalagskommittén bedömningen att det inte fanns tillräckliga skäl för att föreslå en generell rätt att motsätta sig en behandling som var befogad enligt de regler som kommittén föreslog (Betänkandet Integritet, offentlighet, informationsteknik, SOU 1997:39 s. 366). I 11 § PUL anges att personuppgifter inte får behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Av 12 § första stycket PUL följer att den registrerade har rätt att när som helst återkalla sitt samtycke i vissa fall då behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke. Av andra stycket följer att en registrerad, utöver vad som följer av första stycket och 11 §, inte har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt personuppgiftslagen. Möjligheterna för den registrerade att motsätta sig behandling är alltså begränsade enligt personuppgiftslagen. I 1 kap. 2 § andra stycket lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 2 § andra stycket lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 1 kap. 2 § andra stycket lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet, 1 kap. 2 § andra stycket lagen om behandling av uppgifter i Tullverkets verksamhet, 9 § lagen om identitetskort för folkbokförda i Sverige och l3 § lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter finns uttryckliga bestämmelser som innebär att behandling av personuppgifter som är tillåten enligt respektive lag får utföras även om den registrerade motsätter sig behandlingen. I lagen och förordningen om det statliga personadressregistret saknas sådana uttryckliga bestämmelser. Som framgår ovan finns dock ingen rätt enligt personuppgiftslagen för en enskild att motsätta sig behandling 109

av personuppgifter, med undantag för bl.a. behandling som sker för direkt marknadsföring. Även utan uttryckliga bestämmelser gäller således att behandling i SPAR får ske trots att en enskild motsätter sig behandling. Undantag gäller för behandling som sker vid urvalsdragning för direktreklam. I 4 § lagen om det statliga personadressregistret, som reglerar innehållet i SPAR, finns en bestämmelse om att det på begäran av den registrerade ska anges i SPAR att uppgifter om denne inte får behandlas vid urvalsdragning för direktreklam.

Dataskyddsförordningens bestämmelser om rätten att göra invändningar Rätten att göra invändningar regleras i artikel 21 i dataskyddsförordningen. Vid behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse, som ett led i myndighetsutövning eller efter en intresseavvägning (dvs. behandling enligt artikel 6.1 e eller f i dataskyddsförordningen) ska den registrerade enligt artikel 21.1 ha rätt att när som helst, av skäl som hänför sig till hans eller hennes specifika situation, göra invändningar mot behandlingen. Den personuppgiftsansvarige får inte längre behandla personuppgifterna, såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Av artikel 21.2 framgår också att den registrerade ska ha rätt att när som helst invända mot behandling av personuppgifter som sker för direkt marknadsföring. Enligt artikel 21.3 ska personuppgifterna inte längre behandlas för direkt marknadsföring, om den registrerade invänder mot det. Av artikel 21.4 framgår att rätten att invända mot behandling uttryckligen ska meddelas den registrerade senast vid den första kommunikationen med den denne. Begränsningar i rätten att göra invändningar får enligt dataskyddsförordningen endast göras under de förutsättningar som anges i artikel 23, eller i vissa situationer med stöd av artikel 89. Enligt artikel 23.1 får begränsningar införas i nationell rätt, om begränsningen sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Därutöver krävs att begränsningen görs för att uppfylla något av vissa särskilt uppräknade intressen. De uppräknade intressena innefattar bl.a. att säkerställa unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. En begränsande lagstiftningsåtgärd ska också, när så är relevant, innehålla specifika bestämmelser i vissa avseenden, bl.a. om skyddsåtgärder (artikel 23.2).

Befintliga bestämmelser kan behållas, men bör justeras Som framgår av avsnitt 5.1 sker den behandling som regleras i författningarna regelmässigt för att utföra en uppgift av allmänt intresse och ofta som ett led i myndighetsutövning. Sådan behandling kommer att omfattas av artikel 6.1 e i dataskyddsförordningen. Rätten att göra invändningar enligt artikel 21.1 gäller vid behandling som endast grundar sig på artikel 6.1 e. 110

En del av den personuppgiftsbehandling som omfattas av de berörda författningarna sker för att myndigheterna ska kunna uppfylla en rättslig förpliktelse. I dessa fall kan behandlingen ske med stöd av artikel 6.1 c, dvs. den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. I de fall behandling av personuppgifter sker för att en rättslig förpliktelse ska kunna fullgöras gäller inte rätten i artikel 21.1 i dataskyddsförordningen att göra invändningar. Dataskyddsutredningen gör bedömningen att det är den rättsliga grund som avses i artikel 6.1 e, dvs. utförande av en uppgift av allmänt intresse, som vanligen bör tillämpas av myndigheter (SOU 2017:39 s. 128). Det bör dock i vart fall anses vara fråga om att fullgöra en rättslig förpliktelse i de situationer då myndigheterna har ålagts att föra ett visst register (jfr s. 117). Det finns också t.ex. bestämmelser som ger myndigheterna skyldighet att lämna ut uppgifter. Även bestämmelser som anger att en myndighet får t.ex. föra ett visst register borde enligt promemorians bedömning i vissa fall kunna anses innefatta en skyldighet för myndigheten att göra detta. Rätten att göra invändningar kan mot den bakgrunden sannolikt bli tillämplig för den största delen av den behandling som regleras i de berörda författningarna. Dataskyddsdirektivet ställer inte upp några särskilda villkor för att införa begränsningar i rätten att motsätta sig behandling i nationell rätt. I personuppgiftslagen finns, som nämnts, också endast möjlighet att motsätta sig behandling i vissa särskilda situationer. Även enligt dataskyddsförordningen är det möjligt att införa nationella undantag från rätten att invända mot behandling. Sådana undantag får dock endast införas under de villkor som anges i artikel 23.1, eller i vissa fall med stöd av artikel 89. Den behandling som utförs av myndigheterna enligt de berörda författningarna får antas regelmässigt vara av sådan karaktär att behandlingen får fortsätta enligt artikel 21.1 även om den registrerade invänder mot behandlingen. En rätt för den registrerade att invända mot behandling av personuppgifter kan dock ändå tänkas påverka effektiviteten i myndigheternas verksamhet. Begränsningar i rätten att göra invändningar får göras enligt artikel 23.1 i syfte att säkerställa bl.a. ett viktigt mål av generellt allmänt intresse för medlemsstaten. Det krävs också att begränsningen uppfyller krav på nödvändighet och proportionalitet. Dataskyddsutredningen har anfört att det finns skäl för utredningen att särskilt överväga om dataskyddsförordningens rätt att göra invändningar bör inskränkas när det gäller sådan behandling som sker med stöd av artikel 6.1 e, dvs. med en fastställd uppgift av allmänt intresse som rättslig grund. Utredningen har dock gjort bedömningen att rätten att göra invändningar mot myndigheters behandling av personuppgifter inte bör inskränkas på ett generellt plan genom ett undantag i den föreslagna dataskyddslagen. Enligt utredningen bör sådana undantag i stället övervägas på sektorspecifik nivå, om villkoren för behandling av personuppgifter med stöd av artikel 6.1 e specificeras genom författning (SOU 2017:39 s. 207 f.). De verksamheter och den personuppgiftsbehandling som de berörda författningarna avser måste bedömas utföras i syfte att uppnå viktiga mål av generellt allmänt intresse. Den behandling som är tillåten enligt författningarna är en förutsättning för att myndigheterna ska kunna utföra 111

sina uppgifter på ett korrekt, rättssäkert och effektivt sätt. Det bedöms sammantaget nödvändigt och proportionerligt att begränsa den registrerades rätt att invända mot behandling. I de aktuella författningarna finns ett flertal olika integritetsskyddande bestämmelser, som har införts utifrån vad som bedöms lämpligt för de olika verksamheterna. Författningarna innehåller därför sådana relevanta bestämmelser om bl.a. skyddsåtgärder som avses i artikel 23.2. De bestämmelser som innebär att behandling av personuppgifter får utföras även om den registrerade motsätter sig behandlingen är mot den bakgrunden förenliga med dataskyddsförordningen och kan därför finnas även i fortsättningen. Bestämmelserna bör dock formuleras så att det är tydligt hur de förhåller sig till regleringen i dataskyddsförordningen. I bestämmelserna bör anges att rätten att göra invändningar i artikel 21.1 i dataskyddsförordningen inte gäller. Det bör också tydliggöras att bestämmelserna omfattar både sådan behandling som är tillåten enligt lagarna och enligt föreskrifter som har meddelats i anslutning till lagarna. Vidare bör bestämmelserna i vissa fall ges en annan placering, i syfte att nå bättre överensstämmelse med lagarnas systematik. Förslagen genomförs genom ändringar i 1 kap. 2 § och 3 kap. 3 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 2 § och 3 kap. 3 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 1 kap. 2 § och 3 kap. 3 § lagen om behandling av uppgifter i Tullverkets verksamhet, 3 och 10 §§ lagen om behandling av personuppgifter i Skatteverkets äktenskapsregisteroch bouppteckningsverksamheter, 9 och 18 §§ lagen om identitetskort för folkbokförda i Sverige samt genom ändringar i 1 kap. 2 § och en ny 3 kap. 3 a § i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet. Det införs också vissa ändrade eller nya rubriker.

Ny bestämmelse bör införas i lagen om det statliga personadressregistret Som nämnts finns i dag inte någon uttrycklig bestämmelse i lagen om det statliga personadressregistret som anger att den enskilde inte kan motsätta sig behandling av personuppgifter. Det bör i och för sig kunna hävdas att det är en rättslig förpliktelse för Skatteverket att föra SPAR och att den behandling som Skatteverket utför i verksamheten med SPAR därför sker med stöd av artikel 6.1 c i dataskyddsförordningen. Rätten att invända mot behandlingen gäller då inte. Skatteverket har ålagts uppgiften att föra SPAR. Regleringen i lagen och förordningen om det statliga personadressregistret är dock inte fullt ut utformad så att det framgår att Skatteverket har ålagts förpliktelser. Av den anledningen, och eftersom rätten att invända mot behandling i artikel 21 i dataskyddsförordningen blir direkt tillämplig, finns skäl att ha ett uttryckligt undantag från den rätten även när det gäller SPAR. Ett av ändamålen med SPAR är att ta ut uppgifter om namn och adress för urvalsdragning genom direktreklam. Undantaget från rätten att göra invändningar bör inte, i likhet med vad som gäller i dag, gälla vid behandling som sker vid urvalsdragning för direktreklam. I fråga om sådan behandling ska det vara möjligt att göra invändningar. Sådan behandling som myndigheten utför vid urvalsdragning i SPAR för direkt marknadsföring sker för att utföra en arbetsuppgift av allmänt intresse, 112

dvs. den kan utföras med stöd av artikel 6.1 e (se propositionen Statlig förvaltning i medborgarnas tjänst, 1997/98:136 s. 72). En rätt att invända vid sådan behandling kan således följa både av artikel 21.1 och 21.2. Eftersom den särskilda bestämmelsen vid behandling för direkt marknadsföring i artikel 21.2 ger den enskilde större rättigheter räcker det med att den bestämmelsen tillämpas vid behandling enligt SPARförfattningarna. I lagen bör därför anges att rätten att göra invändningar i artikel 21.1 i dataskyddsförordningen inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den. Det bör samtidigt upplysas om att det finns bestämmelser om rätt för den registrerade att invända mot behandling av personuppgifter för direkt marknadsföring i artikel 21.2 i dataskyddsförordningen. Förslagen genomförs genom en ny 3 a § lagen om det statliga personadressregistret.

7.12 Behandling av personnummer

Promemorians bedömning: Dataskyddsförordningens bestämmelser om identifikationsnummer föranleder inga författningsändringar. Bestämmelser om person- och samordningsnummer i både registerförfattningar och andra författningar kan behållas.

Skälen för promemorians bedömning

Nuvarande reglering 22 § PUL anger att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering, eller c) något annat beaktansvärt skäl. Enligt 50 § c PUL får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om i vilka fall användning av personnummer är tillåten. Den utpekade myndigheten är Datainspektionen. Dataskyddsutredningen anger att några sådana föreskrifter inte har meddelats av Datainspektionen, men att det däremot finns sektorsspecifika förordningsbestämmelser om behandling av personnummer och samordningsnummer, till exempel 3 § 1 förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Utredningen anger att det inte är helt klart om den bestämmelsen har ansetts sig stödja sig på bemyndigandet i 50 § c PUL, eller om den har föreskrivits med stöd av regeringens restkompetens enligt 8 kap. 7 § 2 regeringsformen (SOU 2017:39 s. 198). För registerförfattningarna där personuppgiftslagen gäller, är 22 § PUL tillämplig utan någon särskild hänvisning, om det inte finns avvikande bestämmelser i registerförfattningen. För registerförfattningarna som gäller i stället för personuppgiftslagen gäller 22 § delvis, nämligen vid behandling av personuppgifter som inte sker i den eller de databaser som respektive författning reglerar, se t.ex. 1 kap. 3 § andra stycket lagen om behandling av uppgifter i Skatteverkets 113

beskattningsverksamhet. I förarbetena till bestämmelsen anges följande. ”Vid den särskilt reglerade behandlingen som sker i databaser är det nödvändigt att generellt använda personnummer för att kunna säkra identifieringen av en registrerad. För sådan behandling bör därför uttryckligt i lagstiftningen anges att uppgifter om en persons identitet, t.ex. personnummer, får användas. Även vid den behandling som inte sker i databaser torde det dock ofta vara motiverat att använda personnummer för att säkerställa de berörda parternas identitet. Personnummer bör emellertid inte användas slentrianmässigt när risk inte föreligger för förväxling mellan personer eller när andra beaktansvärda skäl saknas” (prop. 2000/01:33 s. 94). Båda kategorier av registerförfattningar innehåller härutöver bestämmelser där uppgift om personnummer nämns, eller omfattas. För författningarna där personuppgiftslagen gäller, finns t.ex. följande slags bestämmelser. Enligt lagen om det statliga personadressregistret får registret (SPAR) ange uppgift om person- eller samordningsnummer (4 § första stycket 2). Ett av ändamålen med SPAR är just att aktualisera, komplettera och kontrollera personuppgifter (3 § 1). 8 a § förordningen om det statliga personadressregistret anger personnummer bland en av flera uppgifter som får lämnas i elektronisk form i viss angiven situation. Utöver dessa bestämmelser finns särskilda restriktioner för vissa uppgifter, vari 4 § första stycket 2 lagen ingår, t.ex. sökbegrepp (11 och 12 §§ förordningen). Vidare får denna typ av uppgifter behandlas för statistiska bearbetningar (13 § förordningen) och den omfattas av gallringsregler (15–16 §§ förordningen). Enligt lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter får bl.a. personeller samordningsnummer användas som sökbegrepp i viss situation (8 § första stycket). 11 § förordningen om identitetskort för folkbokförda i Sverige anger bl.a. att databasen ska innehålla sökandens personnummer. Registerförfattningarna som gäller i stället för personuppgiftslagen innehåller t.ex. följande bestämmelser som berör personnummer. Enligt 2 kap. 3 § första stycket 1 lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet får uppgifter om bl.a. en fysisk persons identitet behandlas i beskattningsdatabasen, under vissa angivna förutsättningar. I uppgift om en fysisk persons identitet ingår personnummer (se prop. 2000/01:33 s. 94). Från databasen får till enskild, under vissa angivna förutsättningar, uppgifter om personnummer lämnas (2 kap. 5 § andra stycket 1). I förordningen om behandling av uppgifter i Skatteverkets beskattningsverksamhet finns ytterligare bestämmelser om uppgifter som får behandlas i beskattningsdatabasen. Beträffande vissa personer får uppgifter om antal anställda och anställdas personnummer behandlas (2 § första stycket 5). Även i folkbokföringsdatabasen i lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet får person- eller samordningsnummer behandlas (2 kap. 3 § första stycket 1). Även bestämmelserna i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet om innehållet i databaserna möjliggör på liknande sätt som för t.ex. Skatteverkets beskattningsverksamhet behandling av personnummer, vilket också gäller lagen om 114 behandling av uppgifter i Tullverkets verksamhet.

Även andra författningar än registerförfattningar har bestämmelser som nämner personnummer. Som exempel kan nämnas skatteförfarandeförordningens bestämmelser om vad kontrolluppgifter ska innehålla, där bl.a. personnummer och samordningsnummer anges bland identifikationsuppgifter som ska lämnas (t.ex. 5 kap. 11, 12 och 15 §§). Bestämmelser som berör personnummer finns också t.ex. i förordningen om bevarande av deklarationer, folkbokföringslagen (1991:481), utsökningsförordningen (1981:981) och förordningen (2009:1295) om prissättningsbesked.

Dataskyddsförordningens bestämmelser om identifikationsnummer Artikel 87 är en bestämmelse om behandling av nationella identifikationsnummer. Enligt denna får medlemsstaterna närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Ett nationellt identifikationsnummer eller ett annat vedertaget sätt för identifiering ska i sådana fall endast användas med iakttagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt denna förordning. Detta är en skillnad mot dataskyddsdirektivet, som anger att medlemsstaterna ska bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas (artikel 8.7). Enligt direktivet finns således en skyldighet att föreskriva villkor, medan förordningen endast möjliggör sådana föreskrifter. Däremot innehåller förordningen krav som ska vara uppfyllda, om sådana föreskrifter införs. Det framgår inte av förordningen t.ex. vilka slag av skyddsåtgärder det ska eller kan vara fråga om.

Dataskyddsutredningens överväganden Dataskyddsutredningen har förslag som avser behandling av personnummer och samordningsnummer. Utredningen föreslår att det i den nya lagen ska regleras att uppgifter om personnummer eller samordningsnummer ska få behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Regeringen får meddela ytterligare föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten (3 kap. 13 och 14 §§ förslaget till dataskyddslag). Utredningen anför i detta sammanhang följande. ”Personnummer och samordningsnummer har inte bedömts som känsliga personuppgifter i förordningens mening, men har ändå getts en särställning genom att medlemsstaterna medgetts möjlighet att införa särskilda villkor för behandlingen. Regeringen har i äldre förarbeten uttalat att själva personnumret inte i sig är en integritetskränkande uppgift, men att viss användning av det, såsom samköring av register och liknande, kan uppfattas som integritetskränkande. Regeringen har också uttalat att ”onödig” användning ska betraktas som ett integritetsintrång. Kammarrätten i Stockholm har nyligen bedömt att integritetsintresset väger tungt vid mer omfattande behandling av personnummer. Vår 115

bedömning mot bakgrund av ovanstående är att en särreglering av personnummer och samordningsnummer i den generella lagen är motiverad. Den nuvarande lydelsen i 22 § PUL, som innebär att en intresseavvägning ska ske, ligger väl i linje med förordningens intentioner. Det har inte framkommit att regleringen har mötts av kritik eller annars inte fungerat. Tvärtom har den i lagstiftningsärenden under de senaste åren bedömts vara flexibel och väl avpassad för att förhindra omotiverad behandling av personnummer och samordningsnummer. Vi bedömer därför att en bestämmelse motsvarande den i 22 § PUL bör införas i dataskyddslagen” (SOU 2017:39 s. 199–200). Vad gäller det föreslagna bemyndigandet anför utredningen följande. ”Den nationella reglering som åsyftas i artikel 87 i dataskyddsförordningen kan enligt förordningens skäl 41 även beslutas i förordnings- eller föreskriftsform. Som nämnts finns i dag bestämmelser på förordningsnivå som reglerar behandlingen av personnummer och samordningsnummer i sektorsspecifika författningar. Vi bedömer att det finns behov av en möjlighet för regeringen att meddela sådana föreskrifter även fortsättningsvis. Visserligen torde vissa typer av föreskrifter som preciserar i vilka situationer personnummer eller samordningsnummer får behandlas av statliga myndigheter kunna meddelas av regeringen med stöd av 8 kap. 7 § 2 regeringsformen. Det kan dock inte uteslutas att det finns behov av föreskrifter som går utöver regeringens kompetens enligt nämnda lagrum, varför vi bedömer att ett bemyndigande behövs. Eftersom Datainspektionen hittills inte har sett anledning att utnyttja möjligheten enligt 16 § PUF att meddela föreskrifter och något behov av sådan vidaredelegation inte har framkommit, föreslår vi ingen sådan möjlighet. En reglering av behandling av personnummer och samordningsnummer kan, oavsett om den tas in direkt i sektorsspecifik lag eller i förordning med stöd av bemyndigandet, tillåta behandling i andra fall än de som tillåts enligt den föreslagna bestämmelsen i dataskyddslagen. Detta förutsätter att regleringen i så fall lever upp till förordningens krav på lämpliga skyddsåtgärder för de registrerades fri- och rättigheter” (SOU 2017:39 s. 200).

Det behövs inga författningsändringar Eftersom personuppgiftslagen kommer att upphöra, behöver de författningar som hänvisar till den lagen tas bort, vilket behandlas i avsnitt 7.2. Detta innebär att bestämmelserna som hänvisar till 22 § PUL om personnummer försvinner. Fråga är här om även någon annan författningsändring bör göras med avseende på personnummer. Som framgår av redovisningen ovan får medlemsstaterna enligt artikel 87 i dataskyddsförordningen närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Det framgår vidare av redovisningen ovan att såväl registerförfattningarna som andra författningar som omfattas av denna översyn innehåller bestämmelser om behandling av personnummer. Bestämmelserna reglerar dock inte i sig på vilka särskilda villkor som personnummer får behandlas, utan anger främst att uppgiftssamlingar får eller ska innehålla sådana uppgifter och att sådana 116

uppgifter får lämnas ut samt att personnummer ska anges i samband med vissa förfaranden. När det gäller sökbegränsningar finns visserligen restriktioner, på så sätt att personnummer får användas som sökbegrepp i vissa utpekade fall. Enligt promemorians bedömning kan dock inte heller dessa typer av bestämmelser anses ställa upp några särskilda villkor för behandlingen av personnummer. Det är således inte fråga om sådana villkor som avses i artikel 87. Därmed krävs inte att det iakttas lämpliga skyddsåtgärder enligt artikel 87. Som framgår ovan föreslår Dataskyddsutredningen en nationell bestämmelse som uppställer villkor för behandling av personuppgifter, då det i den nya lagen anges att uppgifter om personnummer eller samordningsnummer ska få behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Då nu aktuella registerförfattningar har särreglering som anger när uppgifter om personnummer får behandlas blir den föreslagna bestämmelsen i dataskyddslagen dock inte aktuell att tillämpa. De regler om personnummer som omfattas av denna översyn finns både i lag och i förordning. Det kan nämnas att de bestämmelser som finns i förordningar om myndigheters behandling av personnummer inte enligt promemorians bedömning är ett utnyttjande av 50 c § PUL (jfr 3 kap. 14 § förslaget till dataskyddslag) utan ett utnyttjande av regeringens restkompetens i 8 kap. 7 § regeringsformen. Som framgår ovan är promemorians bedömning att de aktuella registerförfattningarna inte ställer upp särskilda villkor som avses i artikel 87. Skulle sådana bestämmelser trots allt anses ställa upp särskilda villkor och skulle artikel 87 i dataskyddsförordningen då innebära krav på nationell rätt om iakttagande av lämpliga skyddsåtgärder, är promemorians bedömning att de bestämmelser som finns i de aktuella registerförfattningarna att anse som lämpliga skyddsåtgärder. Även bestämmelserna i registerförfattningarna om när behandling av personuppgifter överhuvudtaget får ske utgör skyddsåtgärder. Villkoren bedöms därmed som uppfyllda. Det föreslås således inga ändringar i registerförfattningarna i detta avseende.

7.13 Skadestånd

Promemorians bedömning: Dataskyddsförordningens och dataskyddslagens bestämmelser om skadestånd är tillämpliga vid all behandling av personuppgifter som sker i strid med registerförfattningarna. Några särskilda bestämmelser om skadestånd behövs inte i registerförfattningarna.

Skälen för promemorians bedömning

Nuvarande reglering Enligt 48 § PUL gäller att den personuppgiftsansvarige ska ersätta den registrerade för skada och kränkning av den personliga integriteten som 117

en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Samtliga berörda registerförfattningar innehåller bestämmelser som innebär att personuppgiftslagens bestämmelser om skadestånd gäller när behandling sker i strid med författningarna, ibland även i strid med anslutande författningar. Sådana bestämmelser finns i 3 kap. 3 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 3 kap. 3 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 3 kap. 3 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet, 3 kap. 3 § lagen om behandling av uppgifter i Tullverkets verksamhet, 9 § lagen om det statliga personadressregistret, 18 § lagen om identitetskort för folkbokförda i Sverige och 10 § lagen om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter.

Dataskyddsförordningens bestämmelser om skadestånd I dataskyddsförordningen finns bestämmelser om ansvar och rätt till ersättning i artikel 82. Enligt artikel 82.1 ska varje person som lidit materiell eller immateriell skada till följd av en överträdelse av dataskyddsförordningen ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan. En nyhet är alltså att även ett personuppgiftsbiträde kan bli skadeståndsskyldigt gentemot den registrerade. I artikel 82.2 anges att varje personuppgiftsansvarig som medverkat vid behandlingen ska ansvara för skada som orsakats av behandling som strider mot dataskyddsförordningen. Ett personuppgiftsbiträde ska ansvara för skada uppkommen till följd av behandlingen endast om denne inte har fullgjort de skyldigheter som specifikt riktar sig till personuppgiftsbiträden eller agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar. Begreppet skada bör enligt skäl 146 till dataskyddsförordningen tolkas brett mot bakgrund av domstolens rättspraxis på ett sätt som fullt ut återspeglar förordningens mål. Vidare anges i samma skäl att behandling som strider mot dataskyddsförordningen omfattar även behandling som strider mot delegerade akter och genomförandeakter som antagits i enlighet med dataskyddsförordningen och medlemsstaternas nationella rätt med närmare specifikation av dataskyddsförordningens bestämmelser. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska enligt artikel 82.3 i dataskyddsförordningen undgå ansvar om de visar att de inte på något sätt är ansvariga för den händelse som orsakade skadan. Det finns i artikel 82.4 och 82.5 också bestämmelser om att skadeståndsansvaret är solidariskt om mer än en personuppgiftsansvarig eller ett personuppgiftsbiträde har medverkat vid samma behandling samt i artikel 82.6 en bestämmelse om vilken domstol som är behörig att pröva en tvist om rätten till ersättning.

Dataskyddsutredningens förslag Dataskyddsutredningen föreslår en bestämmelse om att rätten till ersättning enligt artikel 82 i dataskyddsförordningen gäller även vid överträdelser av bestämmelser i dataskyddslagen och andra författningar 118

som kompletterar dataskyddsförordningen (8 kap. 1 § förslaget till dataskyddslag).

Det behövs inga författningsändringar Den hänvisning till personuppgiftslagens bestämmelser som finns i berörda författningar behöver tas bort. Detta förslag behandlas i avsnitt 7.2. Skälet till att det i registerförfattningar som regel finns en hänvisning till personuppgiftslagens bestämmelser om skadestånd är att bestämmelserna annars inte skulle vara tillämpliga. Enligt 48 § PUL är skadeståndsskyldigheten kopplad till en behandling av personuppgifter i strid med denna lag, dvs. personuppgiftslagen. För att bestämmelsen ska vara tillämplig även vid behandling i strid med registerförfattningar, krävs att den anges gälla på motsvarande sätt vid behandling av personuppgifter enligt den aktuella författningen. Till skillnad från vad som gäller enligt personuppgiftslagen är dataskyddsförordningen direkt tillämplig även på sådan behandling av personuppgifter som omfattas av en registerförfattnings tillämpningsområde. Det behövs av den anledningen ingen hänvisning till dess bestämmelser. I vissa fall kan det i registerförfattningarna finnas bestämmelser som reglerar sådana företeelser som omfattas av dataskyddsförordningens regler, men som ger ett mer långtgående skydd för den enskilde vars personuppgifter behandlas än vad som följer av dataskyddsförordningen. Såsom bestämmelserna om skadestånd är utformade gäller i dag rätten till skadestånd även vid behandling som sker i strid med bestämmelser i registerförfattningarna som ger ett starkare skydd än personuppgiftslagen. Den rätten bör enligt promemorians bedömning finnas kvar även i fortsättningen. Av skäl 146 i dataskyddsförordningen och den föreslagna bestämmelsen i 8 kap. 1 § dataskyddslagen bör anses framgå att rätten till skadestånd i artikel 82 i dataskyddsförordningen gäller även vid behandling som strider mot bestämmelser i registerförfattningar som ger enskilda ett starkare skydd när personuppgifter om dem behandlas än vad som följer av dataskyddsförordningen. Det kan då nämligen anses vara fråga om bestämmelser som kompletterar dataskyddsförordningen på ett sådant sätt att artikel 82 i förordningen blir tillämplig. I vissa fall har registerförfattningarna ett vidare tillämpningsområde än dataskyddsförordningen och dataskyddslagen. Detta gäller i de fall vissa bestämmelser i registerförfattningarna tillämpas även vid behandling av uppgifter om juridiska personer och avlidna. Någon rätt till skadestånd i dessa fall finns inte i dag enligt de berörda registerförfattningarna. Promemorian gör bedömningen att det inte har framkommit några skäl att ändra på detta. Rätt till skadestånd enligt registerförfattningarna bör således inte heller finnas i fortsättningen. Någon sådan rätt kommer enligt promemorians bedömning inte heller att finnas med stöd av vare sig artikel 82 i dataskyddsförordningen eller 8 kap. 1 § förslaget till dataskyddslag. Detta beror på att registerförfattningarna i dessa delar inte kan anses komplettera dataskyddsförordningen på ett sådant sätt som avses i skäl 146 och 8 kap. 1 § förslaget till dataskyddslag. När det handlar om behandling av personuppgifter som är undantagen från dataskyddsförordningens tillämpningsområde på grund av att den utgör 119

ett led i en verksamhet som inte omfattas av unionsrätten (artikel 2.2 a i dataskyddsförordningen) innebär dock 1 kap. 2 § förslaget till dataskyddslag att rätten till skadestånd ändå blir tillämplig. Sammantaget är det promemorians bedömning att det saknas skäl att särskilt reglera i registerförfattningarna vad som gäller i fråga om skadestånd.

7.14 Tillsynsmyndighetens befogenheter

Promemorians förslag: Hänvisningen i förordningen om tullinformationssystemet när det gäller tillsynsmyndighetens befogenheter till personuppgiftslagen ska tas bort. Promemorians bedömning: Dataskyddsförordningens bestämmelser om tillsynsmyndighetens befogenheter föranleder inga författningsändringar.

Skälen för promemorians förslag och bedömning

Nuvarande reglering Registerförfattningarna som gäller i stället för personuppgiftslagen anger att 43 och 47 §§ PUL om tillsynsmyndighetens befogenheter gäller när personuppgifter behandlas i registerförfattningen (se t.ex. 1 kap. 3 § första stycket 8 lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet). 43 § PUL anger att tillsynsmyndigheten har rätt att för sin tillsyn på begäran få a) tillgång till de personuppgifter som behandlas, b) upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna, och c) tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. 47 § PUL anger att tillsynsmyndigheten hos förvaltningsrätten inom vars domkrets tillsynsmyndigheten är belägen får ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Beslut om utplånande får inte meddelas om det är oskäligt. Även 44–46 §§ PUL innehåller bestämmelser om tillsynsmyndighetens befogenheter, närmare bestämt om vite och rättelse. I prop. 2000/01:33 motiverade regeringen varför dessa bestämmelser inte föreslogs gälla på området för skatt, tull och exekution. ”Datainspektionen har vidare möjlighet att enligt 44 och 46 §§ personuppgiftslagen vid vite förelägga den personuppgiftsansvarige att vidta vissa åtgärder. Det kan dock inte anses behövligt med en möjlighet för Datainspektionen att vid vite förbjuda en personuppgiftsansvarig statlig myndighet att behandla personuppgifter, eftersom det får förutsättas att myndigheterna följer inspektionens uppmaningar. Hänvisning bör därför inte göras till bestämmelserna om vite i 44 och 46 §§ personuppgiftslagen. Utredningen har inte ansett det nödvändigt att hänvisa till 45 §, vari anges att Datainspektionen om den konstaterar att personuppgifter behandlas felaktigt skall försöka åstadkomma rättelse genom påpekanden m.m. Datainspektionen anser emellertid att en hänvisning bör göras till 45 § första stycket för att undvika oklarheter om vilka åtgärder tillsyns- 120

myndigheten i första hand skall vidta om den konstaterar brister i behandlingen hos berörda myndigheter. Det torde enligt regeringens mening vara självklart att Datainspektionen vidtar de åtgärder som är rimliga för att få till stånd rättelse när brister i myndigheternas hantering upptäcks. Bestämmelsen bör därför inte vara tillämplig” (s. 96–97). Registerförfattningarna där personuppgiftslagen gäller har inga särbestämmelser i dessa avseenden, varför personuppgiftslagens bestämmelser gäller även för dessa. Förordningen om tullinformationsystemet innehåller en reglering om tillsynsmyndighetens befogenheter som bl.a. hänvisar till personuppgiftslagen. 12 § anger att Datainspektionen är svensk tillsynsmyndighet för skydd av personuppgifter i tullinformationssystemet enligt artikel 37 i förordning (EG) nr 515/97 och artikel 24 i rådets beslut 2009/917/RIF. Vidare anges att Datainspektionen i fråga om tullinformationssystemet, om förordning (EG) nr 515/97 eller rådets beslut 2009/917/RIF inte föreskriver annat, har samma befogenheter som enligt personuppgiftslagen. Det bör noteras att beroende på vilken del av tullinformationssystemet som används sker behandlingen av uppgifter antingen i verksamheten under Effektiv handel, då lagen om behandling av uppgifter i Tullverkets verksamhet gäller, eller i den brottsbekämpande verksamheten, då tullbrottsdatalagen gäller (från och med den 1 juli 2017). Detta innebär att det inte alltid är dataskyddsförordningen, utan även det nya dataskyddsdirektivet, Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, som kan aktualiseras vid behandling av personuppgifter enligt förordningen. I detta avsnitt behandlas därför också vissa bestämmelser i det nya dataskyddsdirektivet och i den av Utredningen om 2016 års dataskyddsdirektiv föreslagna brottsdatalagen. Vilken av regleringarna som är tillämplig i det enskilda fallet beror på vad behandlingen av personuppgifter syftar till och vem som utför behandlingen.

Dataskyddsförordningens krav Dataskyddsförordningen innehåller direkt tillämpliga bestämmelser om tillsynsmyndighetens befogenheter. Dessa befogenheter är fler, eller i vart fall mer detaljerat reglerade, än de som anges i personuppgiftslagen. Tillsynsmyndighetens utredningsbefogenheter, som regleras i artikel 58.1 i förordningen, motsvarar i stora drag de befogenheter som tillkommer myndigheten enligt personuppgiftslagen. De s.k. korrigerande befogenheterna, som framgår av artikel 58.2, är däremot mer omfattande. Som exempel kan nämnas att tillsmyndigheten enligt led g i den angivna artikeln bl.a. får förelägga om radering av personuppgifter och att den enligt led i får påföra administrativa sanktionsavgifter. Vidare anges i artikel 58.3 vilken möjlighet myndigheten har att utfärda tillstånd och att ge råd. Enligt artikel 58.5 ska varje medlemsstat i lagstiftning fastställa att dess tillsynsmyndighet har befogenhet att upplysa de rättsliga 121

myndigheterna om överträdelser av förordningen och vid behov inleda eller på övrigt vis delta i rättsliga förfaranden, för att verkställa bestämmelserna i förordningen. Varje medlemsstat får enligt artikel 58.6 föreskriva att dess tillsynsmyndighet ska ha ytterligare befogenheter utöver dem som avses i punkterna 1, 2 och 3. I artikel 58.4 anges att utövandet av de befogenheter som tillsynsmyndigheten tilldelas enligt denna artikel ska omfattas av lämpliga skyddsåtgärder, inbegripet effektiva rättsmedel och rättssäkerhet, som fastställs i unionsrätten och i medlemsstaternas nationella rätt i enlighet med stadgan. I artikel 83.8 upprepas kravet på lämpliga skyddsåtgärder avseende tillsynsmyndighetens befogenheter när det gäller att påföra administrativa sanktionsavgifter.

Dataskyddsutredningens förslag Dataskyddsutredningen anger att bestämmelsen i artikel 58 i dataskyddsförordningen om tillsynsmyndighetens befogenheter enligt dess lydelse endast avser tillsynen över tillämpningen av förordningens bestämmelser. För att förordningens intentioner ska få fullt genomslag krävs enligt utredningen att tillsynsmyndigheten kan vidta samma åtgärder vid sin tillsyn över tillämpningen av de nationella bestämmelser som kompletterar förordningen. Utredningen föreslår därför en bestämmelse om att de befogenheter som tillsynsmyndigheten har enligt artikel 58.1, 58.2 och 58.3 i dataskyddsförordningen även gäller vid tillsyn över efterlevnaden av bestämmelserna i dataskyddslagen och författningar som kompletterar dataskyddsförordningen (SOU 2017:39 s. 311–312 och 6 kap. 1 § förslaget till dataskyddslag). Av intresse är också 6 kap. 3 § förslaget till dataskyddslag, enligt vilken en kommuniceringsplikt för tillsynsmyndigheten föreslås. Utredningen anför angående detta förslag bl.a. att enligt dataskyddsförordningen ska administrativa sanktionsavgifter tas ut vid underlåtelse att rätta sig efter ett föreläggande som har meddelats av tillsynsmyndigheten (artikel 83.5 e och 85.6). Sanktionsavgiften fyller därmed samma funktion som ett vite. Utredningen anser därför att det inte behöver införas någon möjlighet för tillsynsmyndigheten att förena sina förelägganden med vite. Den omständigheten att underlåtenhet att följa ett föreläggande kan leda till att administrativa sanktionsavgifter tas ut motiverar emellertid enligt utredningens mening att de processuella skyddsåtgärder som nu kringgärdar tillsynsmyndighetens vitesförelägganden bör gälla för alla förelägganden som myndigheten kan meddela med stöd av artikel 58.2 i dataskyddsförordningen. Således bör tillsynsmyndigheten, innan ett föreläggande enligt artikel 58.2 i dataskyddsförordningen beslutas, vara skyldig att ge mottagaren möjlighet att yttra sig över allt material av betydelse för föreläggandet, om det inte är uppenbart obehövligt (SOU 2017:39 s. 312). Enligt 6 kap. 4 § förslaget till dataskyddslag ska ett beslut som avses i 3 § första stycket, dvs. artikel 58.2 i dataskyddsförordningen, delges, om det inte är uppenbart obehövligt. Om detta förslag anför utredningen bl.a. att enligt 46 § andra stycket PUL ska vitesförelägganden delges. Den omständigheten att underlåtenhet att följa ett föreläggande enligt dataskyddsförordningen kan leda till administrativa sanktionsavgifter 122

motiverar enligt utredningen ett motsvarande krav på delgivning för alla typer av förelägganden som riktas mot en personuppgiftsansvarig eller ett personuppgiftsbiträde som tillsynsmyndigheten kan besluta enligt artikel 58.2 i förordningen (s. 313). Vad gäller dataskyddsförordningens bestämmelser jämfört med 47 § PUL anger utredningen bl.a. att i artikel 58.2 g i dataskyddsförordningen anges att tillsynsmyndigheten bl.a. får förelägga om radering av personuppgifter enligt artikel 17. Enligt 47 § PUL får beslut om utplåning endast fattas av förvaltningsrätten, på ansökan av tillsynsmyndigheten. Frågan är om ett föreläggande om radering enligt artikel 58.2 g i dataskyddsförordningen bör omfattas av en liknande skyddsåtgärd. Enligt utredningens bedömning saknas det skäl att föreskriva en särskild ordning, såsom krav på förhandstillstånd eller beslut av domstol, när tillsynsmyndigheten utövar sin befogenhet enligt artikel 58.2 g att förelägga om radering av personuppgifter. Utredningen lämnar därför inget sådant förslag (s. 317).

Det nya dataskyddsdirektivet och Utredningen om 2016 års dataskyddsdirektiv Det nya dataskyddsdirektivet har till stora delar samma innehåll som dataskyddsförordningen när det gäller tillsynen över behandlingen av personuppgifter. Direktivets bestämmelser återges därför inte här. Då ett direktiv måste implementeras har Utredningen om 2016 års dataskyddsdirektiv i sitt delbetänkande lämnat detaljerade förslag på bestämmelser avseende tillsyn, 5 kap. förslaget till brottsdatalag. 5 kap. 5–7 §§ reglerar tillsynsmyndighetens befogenheter, nämligen undersökningsbefogenheter, t.ex. rätt till tillträde till lokaler, förebyggande befogenheter, t.ex. att försöka förmå den personuppgiftsansvarige att minska risken för att personuppgifter ska behandlas i strid med lag och korrigerande befogenheter, t.ex. att förelägga den personuppgiftsansvarige att vidta åtgärder. I 5 kap. 8 § föreslås en bestämmelse om kommunikationsplikt för tillsynsmyndigheten.

Utredningen om tillsynen över den personliga integriteten Utredningen om tillsynen över den personliga integriteten lämnar också förslag på anpassningar med anledning av dataskyddsreformen (Ett samlat ansvar för tillsyn över den personliga integriteten, SOU 2016:65). Det föreslås där att Datainspektionen ska utses till svensk nationell tillsynsmyndighet enligt dataskyddsförordningen och det nya dataskyddsdirektivet, vilket föreslås regleras i Datainspektionens myndighetsinstruktion (s. 142). När det gäller tillsynsmyndighetens befogenheter får som anges ovan varje medlemsstat enligt artikel 58.6 föreskriva att dess tillsynsmyndighet ska ha ytterligare befogenheter utöver dem som avses i punkterna 1, 2 och 3. Frågan om den svenska myndigheten bör ges sådana ytterligare befogenheter har övervägts av utredningen som i sitt betänkande har konstaterat att det för närvarande inte finns något sådant behov (s. 154).

Dataskyddsförordningens bestämmelser om tillsynsmyndighetens befogenheter föranleder inga författningsändringar Då personuppgiftslagen kommer att upphävas kan hänvisningarna till personuppgiftslagens bestämmelser om tillsynsmyndighetens befogenheter inte vara kvar. När det gäller registerförfattningarna som gäller i stället för personuppgiftslagen föreslås som framgår av avsnitt 7.2 de bestämmelser som anger vilka bestämmelser i personuppgiftslagen som gäller tas bort. Som framgår av beskrivningen ovan innehåller dataskyddsförordningen direkt tillämpliga bestämmelser om tillsynsmyndighetens befogenheter, och genom förslaget till dataskyddslag gäller dessa även vid tillsyn över efterlevnaden av dataskyddslagen och kompletterande författningar, 6 kap. 1 §. Eftersom de registerförfattningar som är föremål för denna översyn kompletterar dataskyddslagen, kommer denna bestämmelse att gälla. Eftersom befogenheterna i dataskyddsförordningen är mer detaljerade än dagens reglering kan detta innebära en viss ändring i sak jämfört med dagens förhållande, avseende tillsynen över de verksamheter som omfattas av översynen. Enligt promemorians bedömning finns det inte skäl till några andra förslag eller bedömningar på detta område än vad som framgår av Dataskyddsutredningens förslag. Dataskyddsutredningens förslag om tillsynsmyndighetens kommunikationsplikt innebär också en skillnad i sak jämfört med dagens situation. För de registerförfattningar som gäller i stället för personuppgiftslagen inträder en särreglerad kommunikationsplikt för tillsynsmyndigheten som inte fanns tidigare. Eftersom utredningen generellt föreslår att tillsynsmyndigheten inte ska kunna utfärda vite för myndigheter, är en annan skillnad i sak jämfört med dagens reglering att vid tillämpning av de registerförfattningar där personuppgiftslagens bestämmelser gäller, kommer det inte längre finnas en risk att utsättas för vite. Det kan dock nämnas, vilket behandlas i avsnitt 7.15, att i stället sanktionsavgift kan bli aktuellt, vilket gäller för alla som överträder reglerna. Dataskyddsutredningens bedömning att det, trots att 47 § PUL innehåller en sådan bestämmelse, inte finns skäl att nu föreskriva om att det ska vara domstol som beslutar om att radering ska ske i stället för tillsynsmyndigheten, innebär också en ändring i sak jämfört med dagens förhållande. Med direkt tillämpning av dataskyddsförordningen kommer nämligen tillsynsmyndigheten kunna besluta om att radering/utplåning ska ske.

En bestämmelse i förordningen om tullinformationssystemet bör justeras När det gäller förordningen om tullinformationssystemet är frågan vilken utformning 12 § bör ha framöver. Bestämmelsen har förts över från 8 § förordningen (1998:64) om tillämpning av Europeiska unionens tullinformationssystem, som föregick nu gällande förordning. Angående Datainspektionens befogenheter hänvisas dock nu inte bara till EUförordningen utan även till EU:s rådsbeslut, som förordningen om tullinformationssystemet också omfattar. Som framgår ovan sker, beroende på vilken del av tullinformationssystemet som används, behandlingen antingen i verksamheten under Effektiv handel, då lagen om behandling av uppgifter i Tullverkets 124

verksamhet gäller, eller i den brottsbekämpande verksamheten, då tullbrottsdatalagen gäller. Beroende på vad behandlingen av personuppgifter syftar till och vilken verksamhet som utför behandlingen är antingen dataskyddsförordningen eller det nya dataskyddsdirektivet tillämpligt. Detta innebär att båda regleringarna behöver beaktas vid bedömningen av behovet av författningsändringar. Ovan redogörs för den nya regleringen om tillsynsmyndighetens befogenheter. Eftersom såväl dataskyddsförordningen, den föreslagna dataskyddslagen, det nya dataskyddsdirektivet, den föreslagna brottsdatalagen som de EU-rättsakter som reglerar tullinformationssystemet har bestämmelser om tillsynsmyndighetens befogenheter finns det enligt promemorians bedömning inte skäl att också ha en bestämmelse om detta i förordningen om tullinformationssystemet. Bestämmelsen om tillsynsmyndighetens befogenheter i förordningen om tullinformationssystemet bedöms genom dataskyddsreformen att bli överflödig och bör därför utgå. Förslaget genomförs genom att andra meningen i 12 § förordningen om tullinformationssystemet tas bort.

7.15 Sanktioner

Promemorians bedömning: Dataskyddsförordningens bestämmelser om sanktioner föranleder inga författningsändringar.

Skälen för promemorians bedömning

Nuvarande reglering Dataskyddsdirektivet överlåter enligt artikel 24 till medlemsstaterna att besluta om de sanktioner som ska användas vid överträdelse av de bestämmelser som antagits för att genomföra direktivet, vilket har skett genom 49 § PUL. Enligt 49 § PUL döms till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år den som uppsåtligen eller av grov oaktsamhet a) lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, b) behandlar personuppgifter i strid med 13– 21 §§, c) för över personuppgifter till tredje land i strid med 33–35 §§, d) låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §, e) behandlar sådana personuppgifter som avses i 13 och 21 §§ i strid med 5 a § andra stycket, eller f) i strid med 5 a § andra stycket för över personuppgifter till tredje land som inte har en sådan adekvat nivå för skyddet av personuppgifterna som avses i 33 §. I ringa fall döms inte till ansvar. Vidare anges i paragrafen att den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vitesföreläggandet. Registerförfattningarna som omfattas av denna översyn som gäller i stället för personuppgiftslagen hänvisar till personuppgiftslagens bestämmelse om straff i 49 §, se t.ex. 1 kap. 3 § första stycket 9 lagen om 125

behandling av uppgifter i Skatteverkets beskattningsverksamhet. För de registerförfattningar där personuppgiftslagen gäller om inte annat följer av författningen, gäller bestämmelsen direkt, då de saknar särregler om straff. Vid sidan av straffbestämmelsen i personuppgiftslagen finns andra straffbestämmelser som också kan innebära att vissa gärningar som innefattar personuppgiftsbehandling omfattas av straffansvar (se mer i SOU 2017:39 s. 276).

Dataskyddsförordningens krav Genom dataskyddsförordningen införs en möjlighet för tillsynsmyndigheten att ta ut en administrativ sanktionsavgift av ett företag eller andra som bryter mot dataskyddsregleringen. Administrativa sanktionsavgifter är således en nyhet i dataskyddsförordningen som inte har någon motsvarighet i dataskyddsdirektivet eller den nuvarande svenska personuppgiftsregleringen. Sanktionsavgifterna införs enligt skäl 148 för att stärka verkställigheten av förordningen. Bestämmelserna om administrativa sanktionsavgifter finns i artikel 83 i förordningen och förtydligas i skäl 148–150. Av artikel 83.1 framgår att varje tillsynsmyndighet ska säkerställa att påförande av administrativa sanktionsavgifter i enlighet med artikeln i varje enskilt fall är effektivt, proportionellt och avskräckande. I artikel 83.2 finns en detaljerad reglering av vilka faktorer som ska beaktas vid beslut om sanktionsavgifter och bestämmande av avgiftens storlek. Det stora flertalet bestämmelser i förordningen som innehåller rättigheter eller skyldigheter för bl.a. personuppgiftsansvariga och personuppgiftsbiträden omfattas av regleringen om sanktionsavgifter, vilket framgår av hänvisningar i artikel 83.4–6. För samtliga de artiklar som artikel 83 hänvisar till ska en överträdelse föranleda att sanktionsavgift påförs, om förutsättningarna i övrigt är uppfyllda enligt artikel 83.2. Av särskild betydelse är artikel 83.7 i dataskyddsförordningen. Enligt den artikeln får varje medlemsstat fastställa regler för huruvida och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter och organ i medlemsstaten. Enligt artikel 84 ska medlemsstaterna fastställa regler om andra sanktioner för överträdelser av förordningen, särskilt för sådana som inte är föremål för administrativa sanktionsavgifter, på i artikeln närmare angivna villkor.

Dataskyddsutredningens förslag Dataskyddsutredningen föreslår att sanktionsavgifter ska kunna tas ut även av myndigheter, med högst 10 000 000 respektive 20 000 000 kronor (7 kap. 1 § förslaget till dataskyddslag). I bestämmelsen anges för vilka överträdelser av dataskyddsförordningen som sanktionsavgift för myndigheter får tas ut. Utredningen bedömer att någon straffsanktion inte bör införas för överträdelser mot förordningen, varför den inte föreslår någon straffbestämmelse motsvarande den som gäller enligt personuppgiftslagen. Utredningen erinrar dock om att visst integritetskränkande beteende som innefattar personuppgiftsbehandling kan vara straffsanktionerat enligt andra bestämmelser, såsom exempelvis dataintrång och förtal. 126

Vad gäller andra sanktioner konstaterar utredningen att Datainspektionen hittills aldrig använt sig av den möjlighet att vitesförelägga som finns enligt personuppgiftslagen och bedömer att det inte finns något behov för tillsynsmyndigheten att också kunna förena sina förelägganden med vite på förordningens tillämpningsområde. Om dessa förslag och bedömningar, se SOU 2017:39 s. 294–297. Några andra sanktioner än sanktionsavgift föreslås alltså inte av utredningen. Se dock avsnitt 7.13 om skadestånd.

Det behövs inga författningsändringar När det gäller registerförfattningarna som gäller i stället för personuppgiftslagen föreslås som framgår av avsnitt 7.2 de bestämmelser som anger vilka bestämmelser i personuppgiftslagen som gäller tas bort. Hänvisningen i registerförfattningarna som gäller i stället för personuppgiftslagen till 49 § PUL om straff föreslås således tas bort. Som framgår av redovisningen ovan innehåller inte dataskyddsförordningen några direkt tillämpliga bestämmelser om straff och dataskyddsutredningens förslag till dataskyddslag innehåller inte heller några straffbestämmelser. Att det inte kommer att finnas några särskilda straffbestämmelser hänförliga till dataskyddsförordningen innebär en ändring i sak i förhållande till dagens regler. Av redovisningen ovan framgår vidare att det inte heller kommer att finnas några vitesbestämmelser hänförliga till dataskyddsförordningen (se också avsnitt 7.14). För de registerförfattningar där personuppgiftslagen gäller, innebär detta en ändring i sak. Vad gäller de registerförfattningar som gäller i stället för personuppgiftslagen gäller dock inte i dag personuppgiftslagens bestämmelser om vite, varför detta inte innebär någon ändring i sak. Promemorian ser inte skäl till någon annan bedömning eller annan reglering för aktuella registerförfattningar än vad som övervägs och föreslås av Dataskyddsutredningen i detta avseende. Eftersom dataskyddslagen föreslås gälla om inte annat följer av de aktuella registerförfattningarna (se avsnitt 7.2), kommer 7 kap. dataskyddslagen att vara tillämpligt. Därmed kommer tillsynsmyndigheten (Datainspektionen) att kunna besluta om sanktionsavgift för myndigheter som överträder dataskyddsförordningens bestämmelser. Förutom att hänvisningen till 49 § PUL tas bort, föreslås därför inga författningsändringar.

7.16 Överklagande

Promemorians bedömning: Dataskyddslagens bestämmelser om överklagande kommer att vara tillämpliga även inom registerförfattningarnas tillämpningsområde. Någon upplysning om dataskyddslagens bestämmelser behövs inte i de flesta av registerförfattningarna. Promemorians förslag: Befintliga bestämmelser om överklagande av beslut om rättelse och information m.m. i registerförfattningarna ska tas bort. I lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet ska det finnas en särskild överklagandebestämmelse. I den lagen ska det upplysas om att det finns 127

bestämmelser i dataskyddslagen om att vissa beslut får överklagas. Därutöver ska det anges att beslut om rättelse enligt 3 kap. 3 a § första stycket 2 lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet får överklagas till allmän förvaltningsdomstol. Prövningstillstånd ska krävas vid överklagande till kammarrätten.

Skälen för promemorians bedömning och förslag

Nuvarande reglering Bestämmelser om överklagande av vissa beslut som har fattats av en myndighet i egenskap av personuppgiftsansvarig finns i 52 § PUL. Där anges att en myndighets beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos allmän förvaltningsdomstol. Andra beslut fattade av den personuppgiftsansvarige enligt personuppgiftslagen får enligt 53 § inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Bestämmelsen i 52 § PUL har inte sin grund i dataskyddsdirektivet utan i allmänna förvaltningsrättsliga principer om att beslut som direkt berör en enskild person ska kunna överklagas (se propositionen Översyn av personuppgiftslagen, 2005/06:173 s. 51 f.). De registerförfattningar som gäller i stället för personuppgiftslagen innehåller egna bestämmelser om överklagande av myndigheternas beslut. Sådana bestämmelser finns i 3 kap. 4 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 3 kap. 4 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 3 kap. 4 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet och 3 kap. 4 § lagen om behandling av uppgifter i Tullverkets verksamhet. Bestämmelserna innebär att myndigheternas beslut om rättelse och om information som ska lämnas enligt 26 § PUL får överklagas till allmän förvaltningsdomstol. Andra beslut enligt lagarna får inte överklagas och det krävs prövningstillstånd vid överklagande till kammarrätten. Lagen om identitetskort för folkbokförda i Sverige innehåller inte endast bestämmelser om behandling av personuppgifter, utan även om ansökan, utfärdande och återkallelse av identitetskort. I 19 § anges att beslut enligt lagen får överklagas till allmän förvaltningsdomstol och att det krävs prövningstillstånd vid överklagande till kammarrätten. För de registerförfattningar för vilka personuppgiftslagen gäller tillämpas överklagandebestämmelserna i personuppgiftslagen.

Dataskyddsförordningens bestämmelser och Dataskyddsutredningens förslag Varje registrerad som anser att hans eller hennes rättigheter har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med förordningen ska ha rätt till ett effektivt rättsmedel, utöver rätten att lämna in ett klagomål till en tillsynsmyndighet (artikel 79.1 i dataskyddsförordningen). Talan mot en personuppgiftsansvarig eller ett personuppgiftsbiträde ska väckas vid domstolarna i den medlemsstat där den personuppgiftsansvarige eller 128

personuppgiftsbiträdet är etablerad. Talan får även väckas vid domstolarna i den medlemsstat där den registrerade har sin hemvist, såvida inte den personuppgiftsansvarige eller personuppgiftsbiträdet är en myndighet som agerar inom ramen för sin myndighetsutövning (artikel 79.2). Enligt Dataskyddsutredningens bedömning, som överensstämmer med den bedömning som gjordes vid genomförandet av motsvarande bestämmelse i dataskyddsdirektivet, tillgodoses denna rättighet genom möjligheten att vid allmän domstol föra talan om skadestånd (SOU 2017:39 s. 304). I likhet med dataskyddsdirektivet innehåller dataskyddsförordningen inte någon särskild reglering om överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig. Dataskyddsutredningen har, mot bakgrund av de allmänna förvaltningsrättsliga principer som motiverade införandet av överklagandebestämmelserna i personuppgiftslagen, föreslagit att dataskyddslagen ska innehålla en bestämmelse om överklagande (SOU 2017:39 s. 303). Av 8 kap. 2 § förslaget till dataskyddslag framgår att beslut enligt artiklarna 12.5, 15–19 eller 21 i dataskyddsförordningen som har meddelats av en myndighet i egenskap av personuppgiftsansvarig får överklagas till allmän förvaltningsdomstol. Det rör sig om beslut om den registrerades rätt till information, registerutdrag m.m., rättelse, radering, begränsning, underrättelse till tredje man om vidtagna korrigeringsåtgärder och om invändningar mot behandling. Prövningstillstånd föreslås på samma sätt som i dag krävas vid överklagande till kammarrätten. Andra beslut av den personuppgiftsansvarige får enligt 8 kap. 6 § förslaget till dataskyddslag inte överklagas.

Vissa författningsändringar bör göras Den föreslagna dataskyddslagen kommer att gälla om inte annat följer av registerförfattningarna eller föreskrifter som har meddelats i anslutning till de författningarna, se avsnitt 7.2. Det innebär att under förutsättning att det inte finns avvikande bestämmelser i registerförfattningarna, kommer bestämmelserna i dataskyddslagen om överklagande av personuppgiftsansvariga myndigheters beslut att vara tillämpliga även inom registerförfattningarnas tillämpningsområde. För de flesta av de berörda registerförfattningarna har inte framkommit något skäl att reglera överklagandemöjligheten på annat sätt än vad Dataskyddsutredningen har föreslagit. Det saknas därför behov av särskilda bestämmelser om överklagande i de registerförfattningarna. De bestämmelser om överklagande av beslut om rättelse och information som finns i lagarna bör därför upphävas. Någon upplysning om att det finns bestämmelser om överklagande i dataskyddslagen bedöms som utgångspunkt inte heller behövas. Överklagandebestämmelsen i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet omfattar även sådana beslut om rättelse enligt 3 kap. 3 a § första stycket 2 lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet där det är fråga om uppgifter som är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser. Bestämmelsen om överklagande i 3 kap. 4 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet omfattar även beslut om rättelse enligt 129

3 kap. 3 a § första stycket 2. För att det tydligt ska framgå att även dessa beslut får överklagas bör en överklagandebestämmelse finnas kvar i den berörda lagen. I bestämmelsen bör upplysas om att det finns vissa bestämmelser om överklagande i dataskyddslagen. Bestämmelsen bör också formuleras så att det framgår att även beslut om rättelse på grund av uppgifter som är missvisande i fråga om den registrerades vilja eller förmåga att uppfylla sina ekonomiska förpliktelser får överklagas till allmän förvaltningsdomstol. Liksom vid överklagande enligt dataskyddslagen bör det krävas prövningstillstånd vid överklagande till kammarrätten. Som tidigare nämnts innehåller lagen om behandling av identitetskort för folkbokförda i Sverige bestämmelser om ansökan, utfärdande och återkallelse av identitetskort. Överklagandebestämmelser i lagen om identitetskort omfattar samtliga beslut som fattas med stöd av lagen. Rätten till rättelse m.m. vid behandling av personuppgifter som omfattas av lagen kommer i fortsättningen att regleras i dataskyddsförordningen. Bestämmelser om överklagande av bl.a. sådana beslut finns i dataskyddslagen. Någon ändring av den lagens överklagandebestämmelse bör inte göras. Förslaget genomförs genom att 3 kap. 4 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 3 kap. 4 § lagen om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet och 3 kap. 4 § lagen om behandling av uppgifter i Tullverkets verksamhet samt vissa rubriker upphör att gälla och genom ändringar i 3 kap. 4 § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet.

7.17 Hänvisning till 2013 års lag

Promemorians förslag: Bestämmelsen i lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet som reglerar förhållandet mellan den lagen, personuppgiftslagen och lagen med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen ska tas bort.

Skälen för promemorians förslag

Nuvarande reglering Lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet hänvisar till lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen, härefter kallad 2013 års lag. I 1 kap. 3 a § anges att 2013 års lag, och i föreskrifter som regeringen har meddelat i anslutning till den lagen, finns det särskilda bestämmelser om behandling av personuppgifter som inom ramen för polissamarbete eller straffrättsligt samarbete har överförts från eller gjorts tillgängliga av 1. en stat som är medlem i Europeiska unionen (EU), 2. Island, Norge, Schweiz eller Liechtenstein, 3. ett EU-organ, eller 4. ett EU-informationssystem. Om det i de författningar som anges i första stycket finns avvikande 130

bestämmelser, ska de tillämpas i stället för bestämmelserna i denna lag och personuppgiftslagen. I bestämmelsen hänvisas alltså till personuppgiftslagen. Eftersom den lagen kommer att upphävas behöver alla hänvisningar till den tas bort, se t.ex. avsnitt 7.2. Detta innebär att även denna bestämmelse behöver ses över. Bestämmelsen har dock samband med Utredningen om 2016 års dataskyddsdirektiv. Utredningen har i uppdrag att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt. Utredningen föreslår i delbetänkandet Brottsdatalag att 2013 års lag ska upphävas när brottsdatalagen träder i kraft (SOU 2017:29 s. 145 f.). I registerförfattningarna för brottsbekämpande myndigheter finns det likadana bestämmelser som i 1 kap. 3 a § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet, som alltså hänvisar till att bestämmelserna i 2013 års lag ska tillämpas i stället för bestämmelserna i respektive författning och personuppgiftslagen. I slutbetänkandet ska utredningen presentera de författningsförslag i registerförfattningar som berörs av den nya brottsdatalagen, i vilket väntas ingå att, som en konsekvens av att 2013 års lag upphävs, också hänvisningarna till den lagen upphävs. För att promemorians förslag avseende hänvisningar till personuppgiftslagen i de författningar som omfattas av översynen ska bli heltäckande och då 2013 års lag ändå avses att upphävas, föreslås att bestämmelsen i lagen om behandlingen av uppgifter i Kronofogdemyndigheten tas bort. Den kommer inte längre att fylla någon funktion. Förslaget genomförs genom att 1 kap. 3 a § lagen om behandling av uppgifter i Kronofogdemyndighetens verksamhet ska upphöra att gälla.

7.18 Övriga bestämmelser i registerförfattningarna behöver inte ändras

Promemorians bedömning: Övriga bestämmelser i registerförfattningarna behöver inte ändras.

Skälen för promemorians bedömning: I registerförfattningarna som omfattas av denna översyn finns fler slag av bestämmelser än som behandlats hittills. Det gäller t.ex. bestämmelser om verkställighetsföreskrifter och om definitioner. Enligt promemorians bedömning föranleder dataskyddsförordningen inga justeringar i dessa slag av bestämmelser.

8 Tredjelandsöverföringar

Promemorians bedömning: Bestämmelser om att uppgifter får överföras till tredjeland kan behållas. Promemorians förslag: Bestämmelser som anger att uppgifter får överföras utan hinder av 33 § personuppgiftslagen ska justeras så att 131

det framgår att uppgifter får överföras till tredjeland även om det inte föreligger något beslut om adekvat skyddsnivå enligt artikel 45.3 i dataskyddsförordningen eller lämpliga skyddsåtgärder enligt artikel 46 i samma förordning. I förordningen om internationellt tullsamarbete ska det anges att det gäller särskilda bestämmelser i brottsdatalagen vid sådan behandling av personuppgifter som omfattas av det nya dataskyddsdirektivet.

Skälen för promemorians bedömning och förslag

Nuvarande reglering Utgångspunkten i personuppgiftslagen (1998:204), PUL, är att det är förbjudet att överföra personuppgifter som är under behandling till tredjeland, om landet inte har en adekvat nivå för skyddet av personuppgifterna. Förbudet, som framgår av 33 § PUL, gäller också överföring av personuppgifter för behandling i tredjeland. Enligt 33 § andra stycket PUL ska frågan om en skyddsnivå är adekvat bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredjelandet. I 34 § PUL regleras ett antal undantag från förbudet i 33 §. Vidare ges i 35 § bemyndiganden att meddela vissa föreskrifter om undantag från förbudet. Enligt 35 § andra stycket får t.ex. regeringen eller den myndighet som regeringen bestämmer meddela undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse, eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Bestämmelserna i 33–35 §§ PUL genomför artikel 25 och 26 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Enligt artikel 26.1 ska medlemsstaterna, om det inte finns tvingande regler om detta i deras lagstiftning, föreskriva att överföring av personuppgifter till ett tredjeland som inte har en adekvat skyddsnivå i den mening som avses i artikel 25.2 i direktivet får ske bl.a. om överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänintressen. I de registerförfattningar som omfattas av denna översyn som pekar ut vilka bestämmelser i personuppgiftslagen som ska gälla hänvisas till 33– 35 §§ PUL. Sådana hänvisningar finns i 1 kap. 3 § lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 1 kap. 3 § lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, 1 kap. 3 § lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet och 1 kap. 3 § lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet. Sverige har ingått ett stort antal överenskommelser på skatte-, tull- och exekutionsområdet som innebär att uppgifter behöver överföras till tredjeland. Avtal om informationsutbyte i skatteärenden innehåller

exempelvis typiskt sett bestämmelser om hur överförda uppgifter får användas och om sekretess för uppgifter. I lag och förordning finns ett antal bestämmelser som innebär att uppgifter i vissa situationer får överföras till tredjeland utan hinder av 33 § PUL. Av en sådan bestämmelse kan t.ex. framgå att vissa uppgifter ska lämnas ut till ett visst utpekat land. Den typen av bestämmelser finns t.ex. i de skatteavtal och informationsutbytesavtal som Sverige har ingått och som enligt ett flertal olika lagar gäller som svensk rätt och i lagen (2015:63) om utbyte av upplysningar med anledning av FATCA-avtalet. Det finns dock även bestämmelser med mer generell räckvidd, som innebär att personuppgifter får överföras till tredjeland när det behövs för att fullgöra skyldigheter som följer av internationella överenskommelser. Bestämmelserna täcker också in sådant utlämnande som är särskilt reglerat, t.ex. genom ett skatteavtal eller informationsutbytesavtal som gäller som svensk rätt. I 2 § förordningen (1990:320) om ömsesidig handräckning i skatteärenden anges att personuppgifter får överföras till tredjeland vid handräckning enligt lagen (1990:314) om ömsesidig handräckning i skatteärenden och den tillhörande förordningen, trots bestämmelserna i 33 § PUL. Lagen om ömsesidig handräckning i skatteärenden innehåller bestämmelser om handräckning dels i Sverige åt främmande stat, dels i främmande stat åt svensk myndighet. Med handräckning avses utbyte av upplysningar (inbegripet samtidiga skatteutredningar och deltagande i skatteutredning), bistånd vid indrivning (inbegripet säkringsåtgärder) samt delgivning av handlingar (3 §). I 4 § anges att utländsk myndighet ska lämnas biträde med handräckning i skatteärende i den mån överenskommelse härom föreligger mellan Sverige och främmande stat. En liknande bestämmelse finns i 3 § förordningen (2000:1222) om internationellt tullsamarbete. Enligt den bestämmelsen får Tullverket eller annan behörig svensk myndighet utan hinder av 33 § PUL överföra personuppgifter till tredjeland, om det behövs för att uppfylla skyldigheter som följer av överenskommelse som avses i 1 kap. 1 § första stycket lagen (2000:1219) om internationellt tullsamarbete. I den bestämmelsen avses en internationell överenskommelse med en annan stat eller mellanfolklig organisation som Sverige har tillträtt eller annars är förpliktat att följa och som har till syfte att förhindra, upptäcka, utreda eller beivra överträdelser av tullbestämmelser.

Dataskyddsförordningens bestämmelser om överföring av uppgifter till tredjeland Bestämmelser om överföring av personuppgifter till tredjeländer eller internationella organisationer finns i dataskyddsförordningens, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), femte kapitel. Av artikel 44 framgår att överföring av personuppgifter som är under behandling eller är avsedda att behandlas efter det att de överförts till ett tredjeland eller internationell organisation bara får ske under förutsätt-

ning att den personuppgiftsansvarige och personuppgiftsbiträdet uppfyller villkoren i kapitlet. Utgångspunkten är att personuppgifter får föras över till tredjeland eller en internationell organisation endast om kommissionen i enlighet med artikel 45 har beslutat att tredjelandet, ett territorium eller en eller flera specificerade sektorer i tredjelandet, eller den internationella organisationen i fråga säkerställer en adekvat skyddsnivå för uppgifterna. I avsaknad av ett beslut från kommissionen får en personuppgiftsansvarig eller ett personuppgiftsbiträde enligt artikel 46 i dataskyddsförordningen endast överföra personuppgifter till ett tredjeland eller en internationell organisation efter att ha vidtagit lämpliga skyddsåtgärder, och på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga. I artikel 46 finns bestämmelser om formen för de lämpliga skyddsåtgärderna. I artikel 49 regleras vissa undantag från kraven i artikel 45 och 46. Artikeln innebär att om det inte finns något beslut om adekvat skyddsnivå enligt artikel 45.3 eller vidtagna lämpliga skyddsåtgärder enligt artikel 46, får personuppgifter överföras till ett tredjeland eller en internationell organisation endast om minst ett av flera – i artikeln angivna – villkor är uppfyllt. Överföring får bl.a. ske om överföringen är nödvändig av viktiga skäl som rör allmänna intressen (artikel 49.1 d). I skäl 112 anges att undantagen främst bör vara tillämpliga på uppgiftsöverföringar som krävs och är nödvändiga med hänsyn till viktiga allmänintressen, exempelvis vid internationella utbyten av uppgifter mellan konkurrensmyndigheter, skatte- eller tullmyndigheter, finanstillsynsmyndigheter, socialförsäkringsmyndigheter eller hälsovårdsmyndigheter. En nyhet jämfört med motsvarande bestämmelser i dataskyddsdirektivet är att allmänintresset, om överföringen sker för att den är nödvändig av viktiga skäl som rör allmänintresset, enligt artikel 49.4 ska vara erkänt i unionsrätten eller i den nationella rätt som den personuppgiftsansvarige omfattas av. Som framgår av avsnitt 4.2 gäller enligt artikel 96 i dataskyddsförordningen att de internationella avtal som rör överföring av personuppgifter till tredjeländer eller internationella organisationer som ingicks av medlemsstaterna före den 24 maj 2016 och som är förenliga med unionsrätten i dess lydelse innan detta datum, ska fortsätta att gälla tills de ändras, ersätts eller återkallas.

Justeringar bör göras i vissa bestämmelser Det utbyte av uppgifter som regleras i de aktuella bestämmelserna i förordningen om ömsesidig handräckning i skatteärenden och i förordningen om internationellt tullsamarbete sker för att tillgodose viktiga allmänna intressen, såsom internationellt samarbete rörande beskattning, tull och indrivning. Utbytet är nödvändigt av sådana skäl. De allmänintressen som föranleder utbytet är erkända i unionsrätten och i svensk rätt. Bestämmelser som tillåter utlämnandet är därför förenliga med artikel 49 i dataskyddsförordningen. Bestämmelserna i de aktuella författningarna är efter att dataskyddsförordningen börjar tillämpas i och för sig inte längre nödvändiga. Av artikel 49.1 d i dataskyddsförordningen följer att överföringen får ske även utan sådana bestämmelser. 134

Promemorians bedömning är dock att det av tydlighetsskäl är lämpligt att behålla en reglering som klargör att förutsättningarna för att överföra uppgifter till tredjeland är uppfyllda i vissa situationer. En sådan klargörande bestämmelse är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Promemorians bedömning är därför att bestämmelserna bör vara kvar. Eftersom de i dag hänvisar till 33 § PUL behöver de dock justeras. Bestämmelserna bör formuleras så att det framgår att överföring får ske till tredjeland även om det inte föreligger något beslut om adekvat skyddsnivå enligt artikel 45.3 dataskyddsförordningen eller lämpliga skyddsåtgärder enligt artikel 46 samma förordning. Lagen och förordningen om internationellt tullsamarbete omfattar utlämnande som sker både i den brottsbekämpande verksamheten hos Tullverket och i verksamheten under Effektiv handel. När utlämnande i enlighet med en internationell överenskommelse sker i den brottsbekämpande verksamheten för sådana syften som omfattas av Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF kommer det att finnas särskilda bestämmelser (se avsnitt 4.2 om direktivets tillämpningsområde). Utredningen om 2016 års dataskyddsdirektiv föreslår i sitt delbetänkande att bestämmelser som genomför direktivet tas in i en ny brottsdatalag (Betänkandet Brottsdatalag, SOU 2017:29). I förslaget till brottsdatalag finns bl.a. bestämmelser om i vilka situationer uppgifter får överföras till tredjeland. För att klargöra att det är de bestämmelserna som ska tillämpas i vissa fall föreslås att det i förordningen om internationellt tullsamarbete också anges att det gäller särskilda bestämmelser i brottsdatalagen vid sådan behandling av personuppgifter som omfattas av det nya dataskyddsdirektivet. För det fall utredningens förslag inte leder till lagstiftning utan får en annan utformning i det fortsatta lagstiftningsarbetet, bör detta förslag anpassas därefter. Förslagen genomförs genom ändringar i 2 § förordningen om ömsesidig handräckning i skatteärenden och 3 § förordningen om internationellt tullsamarbete.

9 Bestämmelser om att myndigheter ska eller får lämna ut uppgifter

Promemorians bedömning: Dataskyddsförordningen föranleder inga ändringar i bestämmelser om att myndigheter ska eller får lämna ut uppgifter.

Skälen för promemorians bedömning

Befintliga bestämmelser om utlämnande I de författningar som berörs av översynen finns ett flertal bestämmelser som innebär att uppgifter ska lämnas ut till olika aktörer i vissa fall. En uppgiftsskyldighet – en skyldighet enligt lag eller förordning att lämna uppgifter till en viss mottagare – innebär enligt 10 kap. 28 § offentlighets- och sekretesslagen (2009:400), OSL, att utlämnandet av uppgifter kan ske utan hinder av sekretess när det görs till en myndighet. Sådana bestämmelser om uppgiftsskyldighet ligger ofta till grund för rutinmässiga överföringar mellan myndigheter. Uppgiftsskyldigheter för Skatteverket, Tullverket och Kronofogdemyndigheten, och i vissa fall för andra myndigheter, finns bl.a. i tullagen (2016:253), skatteförfarandelagen (2011:1244), skatteförfarandeförordningen (2011:1261), förordningen (2001:588) om behandling av uppgifter i Skatteverkets beskattningsverksamhet och i författningar om internationellt informationsutbyte. Det förekommer också bestämmelser som anger att uppgifter får lämnas ut till en viss mottagare. Sådana bestämmelser tar ofta sikte på utlämnande till utländska myndigheter och mellanfolkliga organisationer. Av 8 kap. 3 § OSL följer att bestämmelser om att uppgifter får lämnas ut till sådana mottagare har sekretessbrytande verkan.

Dataskyddsförordningens bestämmelser och dataskyddsutredningen De bestämmelser som i första hand aktualiseras är artikel 6, artikel 5.1 b och artikel 9 i dataskyddsförordningen, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). Dessa bestämmelser har redogjorts för tidigare. Dataskyddsutredningen uttalar sig inte specifikt om utlämnande av uppgifter.

Bestämmelserna är förenliga med dataskyddsförordningen Ett utlämnande av personuppgifter ur ett elektroniskt system medför en automatiserad behandling av personuppgifter i och med att personuppgifterna tas ut ur systemet, oavsett om överföringen av personuppgifter till mottagaren är automatiserad eller manuell. I de fall där skyldigheten gäller personuppgifter som hos den som skyldigheten riktar sig till redan behandlas på ett sätt som omfattas av dataskyddsförordningen, måste förstås dataskyddsförordningens bestämmelser följas vid uppgiftslämnandet. Detsamma gäller om den som ska fullgöra skyldigheten i andra fall väljer att göra det genom att behandla personuppgifter på ett sätt som omfattas av dataskyddsförordningen, t.ex. genom att först skanna in och sedan mejla uppgifterna. I avsnitt 5.1 görs bedömningen att den behandling som omfattas av de berörda författningarna har rättslig grund på det sätt som krävs i artikel 6. Utgångspunkten enligt artikel 5.1 b är vidare att personuppgifter inte får behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). Det kan förekomma att det 136

tycks oklart om en bestämmelse om att uppgifter ska eller får lämnas ut är förenlig med finalitetsprincipen. Enligt dataskyddsförordningen finns dock, i likhet med vad som gäller enligt Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet), möjlighet att införa bestämmelser som medger att insamlade personuppgifter vidarebehandlas även om det nya ändamålet är oförenligt med insamlingsändamålet. I avsnitt 5.2 görs bl.a. mot den bakgrunden bedömningen att befintliga bestämmelser om behandling av personuppgifter för andra ändamål än det ändamål för vilket uppgifterna samlats in är förenliga med dataskyddsförordningen. För det fall att ett utlämnande avser känsliga personuppgifter krävs också att behandlingen omfattas av de undantagssituationer som anges i artikel 9 i dataskyddsförordningen. Som anges i avsnitt 7.6.1 motsvarar undantagen i artikel 9 i princip de undantagssituationer som anges i artikel 8 i dataskyddsdirektivet. Känsliga personuppgifter får t.ex. behandlas om behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse på grundval av unionsrätten eller medlemsstaternas nationella rätt. Det ställs också vissa krav i fråga om skyddsåtgärder. Det får förutsättas att de skyddsåtgärder som i ett specifikt fall har bedömts vara lämpliga har beaktats vid lagstiftningsarbetet i samband med att det införs en bestämmelse som medger undantag från förbudet att behandla känsliga personuppgifter. Sådana skyddsåtgärder finns t.ex. i de registerförfattningar som är tillämpliga hos den som mottar uppgifterna. I dessa författningar regleras hur uppgifter får användas. Skyddsåtgärder kan även vara inbyggda i själva bestämmelserna om utlämnande av uppgifter, t.ex. genom att det regleras vilka uppgifter som ska lämnas ut, för vilka ändamål utlämnande ska ske eller i vilka fall uppgifter inte ska lämnas ut. I dataskyddsförordningen ställs vidare krav på att lagstiftningen vid undantag med hänsyn till ett viktigt allmänt intresse står i proportion till det eftersträvade syftet och är förenligt med det väsentliga innehållet i rätten till dataskydd. Det måste förutsättas att lagstiftaren har bedömt att införda bestämmelser uppfyller dessa krav, även om kraven inte anges i uttryckligen i dataskyddsdirektivet. Mot bakgrund av det sagda görs bedömningen att de bestämmelser om myndigheters utlämnande som finns i de författningar som omfattas av översynen är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Någon ändring av dem med anledning av dataskyddsförordningen behövs därför inte.

10 Automatiserade beslut

Promemorians bedömning: Dataskyddsförordningens bestämmelser om automatiserat beslutsfattande föranleder inga författnings- 137

ändringar. Bestämmelser om automatiserat beslutsfattande kan behållas.

Skälen för promemorians bedömning

Nuvarande reglering En rätt att motsätta sig automatiskt individuellt beslutsfattande finns i artikel 15 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet), som i svensk rätt har genomförts genom 29 § personuppgiftslagen (1998:204), PUL. I 29 § första stycket PUL anges att om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för den fysiska personen, grundas enbart på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos personen, ska den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. I 29 § andra stycket anges att var och en som varit föremål för ett sådant beslut som avses i första stycket har rätt att på ansökan få information från den personuppgiftsansvarige om vad som har styrt den automatiserade behandling som lett fram till beslutet. Bestämmelsen gäller för registerförfattningarna där personuppgiftslagen gäller, men inte för de registerförfattningar som gäller i stället för personuppgiftslagen, då det i dessa inte finns någon hänvisning till bestämmelsen. Detta gäller t.ex. lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet. På området för skatt, tull och exekution förekommer automatiserat beslutsfattande, men det finns inga regler om sådant i registerförfattningarna. I propositionen Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33) anges följande angående frågan om det i de författningar som behandlas i propositionen fanns skäl att ange en hänvisning till 29 § PUL: ”För att 29 § personuppgiftslagen skall vara tillämplig krävs att de uppgifter på vilka den automatiserade behandlingen grundas är sådana som är avsedda att bedöma vissa personliga egenskaper hos den som är föremål för beslutet, t.ex. arbetsprestationer, kreditvärdighet, pålitlighet och uppträdande. Beslut om taxering och betalning m.m. av skatt får i vissa fall fattas helt automatiserat. Sådana beslut kan dock inte anses vara avsedda att bedöma personliga egenskaper hos den skattskyldige. Det torde heller inte på övriga områden komma i fråga att fatta sådana beslut helt automatiserat. Något behov av att hänvisa till 29 § personuppgiftslagen finns därför inte. Det bör också framhållas att det i de lagar som reglerar förfarandet på ifrågavarande områden redan finns föreskrifter om rätt till omprövning av beslut” (s. 94). Som exempel på författningar som innehåller uttryckliga bestämmelser om automatiserade beslut kan följande nämnas. Beslut om trängselskatt enligt lagen (2004:629) om trängselskatt fattas automatiskt, vilket görs antingen av Transportstyrelsen eller beskattningsmyndigheten (2 och 15 §§). Lagen innehåller bestämmelser om bl.a. rättelse, omprövning och överklagande av beslut. Vid Transportstyrelsens behandling av personuppgifter tillämpas bestämmelserna i personuppgiftslagen på personupp- 138

gifter i vägtrafikregistret i den mån det inte finns några avvikande bestämmelser i lagen om vägtrafikregister eller i en förordning som har beslutats med stöd av den, 2 § jämfört med 7 § lagen (2001:558) om vägtrafikregister. Även lagen (2011:1245) om särskilda ordningar för mervärdesskatt för telekommunikationstjänster, radio och tv-sändningar och elektroniska tjänster och fastighetstaxeringslagen (1979:1152) innehåller bestämmelser om automatiserade beslut (16 § respektive 20 kap. 2 a §). Såväl vid beslut som fattas med stöd av tullagen (2016:253) som skatteförfarandelagen (2011:1244) saknas uttryckliga bestämmelser om att beslut får fattas automatiskt. Däremot anges i respektive myndighetsinstruktion att myndigheten inte ska tillämpa 21 § 3–5 i myndighetsförordningen (2007:515) om myndighetens beslut när det gäller beslut som fattas genom automatiserad behandling, 22 § förordningen (2016:1332) med instruktion för Tullverket och 39 § förordningen (2017:154) med instruktion för Skatteverket. Enligt 21 § 3–5 myndighetsförordningen ska för varje beslut i ett ärende visas vem som fattat beslut, varit föredragande och varit med den i slutliga handläggningen utan att delta i avgörandet. Samma ordning gäller förordningen (2016:1333) med instruktion för Kronofogdemyndigheten (22 §).

Dataskyddsförordningens bestämmelser om automatiserade beslut Huvudregeln enligt artikel 22.1 i dataskyddsförordningen, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), är att den registrerade ska ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. I artikeln föreskrivs undantagssituationer och villkor för sådant förfarande. Enligt artikel 22.2 b ska punkt 1 inte tillämpas bl.a. om beslutet tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen. Beslut får enligt artikel 22.4 inte grunda sig på känsliga personuppgifter såvida inte artikel 9.2 a (samtycke) eller g (viktigt allmänt intresse) gäller och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits. I artikel 4.4 i dataskyddsförordningen finns en definition av profilering, nämligen ”varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar”. Skäl 71 utvecklar frågan om automatiskt beslutsfattande. Den registrerade bör ha rätt att inte bli föremål för ett beslut, vilket kan inbegripa en åtgärd, med bedömning av personliga aspekter rörande honom eller henne, vilket enbart grundas på automatiserad behandling 139

och medför rättsverkan för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, såsom ett automatiserat avslag på en kreditansökan online eller e-rekrytering utan personlig kontakt. Sådan behandling omfattar ”profilering” i form av automatisk behandling av personuppgifter med bedömning av personliga aspekter rörande en fysisk person, särskilt för att analysera eller förutse aspekter avseende den registrerades arbetsprestation, ekonomiska situation, hälsa, personliga preferenser eller intressen, pålitlighet eller beteende, vistelseort eller förflyttningar, i den mån dessa har rättsverkan rörande honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. Beslutsfattande grundat på sådan behandling, inbegripet profilering, bör dock tillåtas när det uttryckligen beviljas genom unionsrätten eller medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av, inbegripet för sådan övervakning och sådant förebyggande av bedrägerier och skatteundandragande som genomförs i enlighet med unionsinstitutionernas eller de nationella tillsynsorganens bestämmelser, standarder och rekommendationer samt för att sörja för tillförlitlighet hos en tjänst som tillhandahålls av den personuppgiftsansvarige, eller när det krävs för ingående eller genomförande av ett avtal mellan den registrerade och en personuppgiftsansvarig eller den registrerade har gett sitt uttryckliga samtycke. Denna form av uppgiftsbehandling bör under alla omständigheter omgärdas av lämpliga skyddsåtgärder, som bör inkludera specifik information till den registrerade och rätt till mänskligt ingripande, att framföra sina synpunkter, att erhålla en förklaring till det beslut som fattas efter sådan bedömning och att överklaga beslutet. Sådana åtgärder bör enligt skälet inte omfatta barn.

Dataskyddsutredningen Dataskyddsutredningen har inga förslag eller överväganden om automatiskt beslutsfattande.

Det behövs inga författningsändringar Som framgår av beskrivningen ovan finns i dag dataskyddsreglering om automatiserade beslut som i viss utsträckning gäller i verksamhet hos myndigheter som omfattas av denna översyn, nämligen genom att 29 § PUL är tillämplig för vissa registerförfattningar. Då det inte finns några hänvisningar till bestämmelsen behövs inga justeringar i författningar på grund av att personuppgiftslagen kommer att upphävas. Som framgår av förarbetsuttalandena ovan bedömdes en hänvisning till 29 § PUL inte behöva införas i registerförfattningarna på området för skatt, tull och exekution då de helt automatiserade besluten som förekom inte kunde anses vara avsedda att bedöma personliga egenskaper hos den skattskyldige. Vid bedömningen av dataskyddsförordningens bestämmelser om automatiserat beslutsfattande kan det, särskilt med anledning av denna bedömning, vara relevant att bedöma om det finns någon skillnad mellan dataskyddsdirektivets och dataskyddsförordningens bestämmelse när det gäller vilket slag av beslutsfattande som avses. Artikel 15.1 i dataskyddsdirektivet omfattar enbart beslut som grundas på profilering, ”som enbart grundas på automatisk behandling av 140

uppgifter som är avsedda att bedöma vissa personliga egenskaper hos honom…”. Formuleringen i artikel 22.1 i dataskyddsförordningen är något mindre tydlig, ”beslut som enbart grundas på automatiserad behandling, inbegripet profilering”. Formuleringen ”inbegripet” skulle kunna tolkas som att artikeln omfattar även andra beslut än de som grundas på profilering. Skäl 71 är inte heller helt tydligt men tyder enligt promemorians bedömning på att det är profilering som avses. Vidare nämns i skäl 73 i uppräkningen av rättigheter som kan begränsas enligt artikel 23 endast ”profileringsbaserade beslut”. Enligt promemorians bedömning avser artikel 22 i dataskyddsförordningen endast automatiserade beslut som innefattar profilering. Det är således bara när det är fråga om profilering som det uppställs särskilda villkor för automatiskt beslutsfattande. Denna bedömning innebär att artikel 22 avser samma slag av beslutsfattande som dataskyddsdirektivet. Det kan nämnas att det dock finns andra skillnader, då ett automatiserat beslut enligt dataskyddsförordningen kan fattas med stöd av samtycke från den registrerade och då det finns en begränsning i fråga om känsliga personuppgifter. Det automatiserade beslutsfattande som förekommer och som har antingen uttryckligt eller ett indirekt författningsstöd vid de myndigheter som omfattas av denna översyn eller som regleras i författningar som omfattas av denna översyn inbegriper enligt promemorians bedömning inte profilering, i likhet med tidigare bedömning av regeringen. Det är inte fråga om automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person (se definitionen i artikel 4.4 i dataskyddsförordningen). Därmed är inte artikel 22 tillämplig på de former av automatiskt beslutsfattande som förekommer på området som omfattas av denna översyn. Skulle bestämmelsen i artikel 22.1 ändå bedömas omfatta det automatiska beslutsfattande som förekommer på området som omfattas av denna översyn, t.ex. genom att förbudet skulle anses täcka mer än sådant automatiskt beslutsfattande som inbegriper profilering, kan det framhållas att det finns författningsstöd, direkt eller indirekt, för detta beslutsfattande, vilket framgår av beskrivningen ovan. Det finns också möjlighet till omprövning eller överklagande av besluten. Förutsättningarna för att inte tillämpa förbudet är således uppfyllda, då beslutet tillåts enligt den nationella rätten, och det finns lämpliga skyddsåtgärder (jfr artikel 22.2 b). Besluten fattas inte heller på grundval av känsliga personuppgifter (jfr artikel 22.4). Därmed innebär inte artikel 22.1 detta slag av beslutsfattande. Promemorians bedömning innebär sammantaget att det inte finns skäl för några justeringar i författningarna med hänvisning till artikel 22 i dataskyddsförordningen. Det har inte heller framkommit andra skäl till ändring av bestämmelserna eller möjligheterna till automatiskt beslutsfattande, varför inga ändringar föreslås. Det kan nämnas att i propositionen En modern och rättssäker förvaltning – ny förvaltningslag, 2016/17:180, föreslås en bestämmelse om automatiserade beslut: Ett beslut kan fattas av en befattningshavare ensam eller av flera gemensamt eller automatiserat (28 § första stycket förslaget till förvaltningslag). Regeringen anför i propositionen att det finns anledning att i lagen tydliggöra att förvaltningsbeslut kan fattas på 141

automatiserad väg. Regeringen konstaterar att automatiseringen av beslut under senare år har kommit att bli en allt vanligare företeelse inom delar av den förvaltning som hanterar ett mycket stort antal ärenden årligen, t.ex. i Försäkringskassans verksamhet. Genom att det i lagen slås fast att beslut kan fattas automatiserat tydliggörs att det inte behövs en reglering i en specialförfattning för att en myndighet ska kunna använda denna beslutsform (s. 179). Regeringens förslag i detta avseende medför inte några ändringsförslag i denna promemoria.

11 Uppgiftsskyldighet och dokumentationsskyldighet för enskilda

Promemorians bedömning: Dataskyddsförordningen föranleder inga författningsändringar i bestämmelser som ger enskilda skyldigheter att lämna uppgifter till myndigheter eller att dokumentera och bevara uppgifter.

Skälen för promemorians bedömning: Författningarna som omfattas av denna översyn innehåller ett stort antal bestämmelser som ålägger enskilda att lämna uppgifter till myndigheter. Sådant uppgiftslämnande regleras t.ex. i skatteförfarandelagen (2011:1244), SFL, som innehåller bestämmelser om förfarandet vid uttag av skatter och avgifter, och i tullagen (2016:253), som innehåller bestämmelser om tullförfarandet. I vissa fall kan bestämmelserna innebära att uppgifter måste behandlas av enskilda aktörer på ett sådant sätt att dataskyddsförordningen, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), blir tillämplig. Det förekommer också att det föreskrivs att uppgifter måste lämnas till myndigheten på elektronisk väg. I författningarna finns också bestämmelser som ålägger enskilda aktörer att dokumentera och bevara uppgifter. I vissa fall kan ett fullgörande av dessa skyldigheter innebära en sådan behandling av personuppgifter som omfattas av dataskyddsförordningen. Bestämmelser om dokumentationsskyldighet finns t.ex. i 39 kap. skatteförfarandelagen. I 39 kap. 3 § SFL regleras en generell dokumentationsskyldighet. Enligt bestämmelsen ska den som är uppgiftsskyldig enligt 15–35 kap. i skälig omfattning genom räkenskaper, anteckningar eller annan lämplig dokumentation se till att det finns underlag för att fullgöra uppgiftsskyldigheten samt för kontroll av uppgiftsskyldigheten och beskattningen. I kapitlet finns också bl.a. bestämmelser om skyldighet för vissa företag att dokumentera uppgifter i en personalliggare ( 11–12 §§) . I personalliggare ska bl.a. antecknas uppgifter om personer som är verksamma i den aktuella näringsverksamheten. Inom byggbranschen gäller krav på att personalliggare ska vara elektronisk (11 a §). I 9 kap.

skatteförfarandeförordningen (2011:1261) finns bestämmelser om hur länge de dokumenterade uppgifterna ska bevaras. I avsnitt 5.1 görs bedömningen att den behandling av personuppgifter som får utföras enligt bestämmelser i de berörda författningarna eller som måste utföras med anledning av bestämmelser i dem har rättslig grund på det sätt som krävs i artikel 6. I avsnitt 5.2 görs också bedömningen att befintliga bestämmelser om behandling av personuppgifter för andra ändamål än det ändamål för vilket uppgifterna samlats in är förenliga med dataskyddsförordningen. Det bedöms som ovanligt att den behandling som avses i de berörda bestämmelserna omfattar känsliga personuppgifter. Bestämmelserna rör uppgifter som behövs t.ex. för att en korrekt beskattning ska åstadkommas eller för att Kronofogdemyndigheten ska få tillgång till uppgifter om vilka tillgångar en gäldenär har. Dataskyddsförordningen innebär inte att möjligheten att behandla känsliga personuppgifter i de aktuella situationerna har minskat. I de fall t.ex. ett visst uppgiftslämnande innefattar behandling av känsliga personuppgifter bör behandlingen i de allra flesta fallen omfattas av artikel 9.2 f i dataskyddsförordningen, dvs. behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk. Det är dessutom regelmässigt fråga om behandling som är nödvändig av hänsyn till sådana viktiga, allmänna intressen som avses i artikel 9.2 g. I de fall en bestämmelse om uppgiftshantering kan omfatta behandling av känsliga personuppgifter är dessa viktiga allmänna intressen fastställda i den nationella rätten, som måste förutsättas uppfylla kravet på proportionalitet, förenlighet med det väsentliga innehållet i rätten till dataskydd och lämpliga och särskilda skyddsåtgärder (jfr de bedömningar som görs i avsnitt 7.6.1 och 9). Dataskyddsförordningen innebär således inget hinder mot att känsliga personuppgifter behandlas i de fall de uppgifter som behöver lämnas enligt de berörda författningarna skulle kunna utgöra känsliga personuppgifter. Bestämmelserna i dataskyddsförordningen innebär inte heller några nyheter som påverkar möjligheten att dokumentera och bevara personuppgifter enligt de aktuella bestämmelserna (se bl.a. avsnitt 7.10). Slutsatsen av det anförda är att bestämmelser i de berörda författningarna om skyldighet för enskilda att lämna uppgifter till myndigheter inte står i konflikt med dataskyddsförordningen.

12 Skyldighet att anmäla behandling till tillsynsmyndigheten

Promemorians förslag: Bestämmelsen i skatteförfarandeförordningen som anger att skyldigheten enligt 36 § första stycket personuppgiftslagen inte gäller ska tas bort.

Skälen för promemorians förslag: Enligt 36 § första stycket personuppgiftslagen (1998:204), PUL, gäller att behandling av 143

personuppgifter som är helt eller delvis automatiserad omfattas av anmälningsskyldighet. Anmälan ska göras till tillsynsmyndigheten. I 10 kap. 6 § skatteförfarandeförordningen (2011:1261) anges att anmälningsskyldigheten i 36 § första stycket PUL inte gäller för Skatteverkets behandling av personuppgifter hos en reviderad person. Eftersom personuppgiftslagen föreslås upphävas, behöver även denna bestämmelse tas bort. Dataskyddsförordningen, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), innehåller inte någon allmän anmälningsskyldighet motsvarande 36 § PUL. Något fortsatt behov av en motsvarande undantagsbestämmelse finns därför inte.

13 Ikraftträdande- och övergångsbestämmelser

Promemorians förslag: Författningsändringarna ska träda i kraft den 25 maj 2018. För registerförfattningarna som idag gäller i stället för personuppgiftslagen ska det införas en övergångsbestämmelse som innebär att äldre föreskrifter om straff gäller för överträdelser som har skett före ikraftträdandet. Promemorians bedömning: Några andra övergångsbestämmelser behövs inte.

Skälen för promemorians förslag och bedömning

Dataskyddsförordningens krav Av artikel 99.1 i dataskyddsförordningen, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), följer att förordningen träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning, vilket skedde den 4 maj 2016. Av artikel 99.2 följer att förordningen ska tillämpas från och med den 25 maj 2018. I artikel 94 anges vidare att dataskyddsdirektivet (Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter) ska upphöra att gälla med verkan från och med den 25 maj 2018 och att hänvisningar till det upphävda direktivet ska anses som hänvisningar till förordningen.

Dataskyddsutredningens förslag Dataskyddsutredningen föreslår att dataskyddslagen ska träda i kraft den 25 maj 2018 och att personuppgiftslagen (1998:204), PUL, 144 därigenom ska upphävas. Personuppgiftslagen föreslås dock fortfarande

gälla i den utsträckning som det i en annan lag eller förordning finns bestämmelser som innehåller hänvisningar till den. Vidare föreslås dels att äldre föreskrifter fortfarande ska gälla för ärenden hos Datainspektionen som har inletts men inte avgjorts före ikraftträdandet, dels att äldre föreskrifter fortfarande ska gälla för överklagande av beslut som har meddelats med stöd av dessa föreskrifter. Det föreslås också att äldre föreskrifter om skadestånd fortfarande ska gälla för skada som har orsakats före ikraftträdandet och att äldre föreskrifter fortfarande ska gälla för överträdelser som har skett före ikraftträdandet. Vad gäller förslaget till övergångsbestämmelser avseende personuppgiftslagen anför Dataskyddsutredningen bl.a. följande. Eftersom dataskyddsförordningen är direkt tillämplig från och med den 25 maj 2018 och personuppgiftslagen samtidigt kommer att upphävas är det naturligtvis av stor betydelse att de hänvisningar som finns i gällande författningar till den nuvarande personuppgiftslagen så snart som möjligt ändras och anpassas till dataskyddslagen och förordningen. Ett omfattande översynsarbete pågår just nu i utredningar och inom Regeringskansliet, men arbetet med att se över de följdändringar som kan behövas i både lag och förordning kommer att bli omfattande och ta tid. Utredningen bedömer därför att någon form av övergångsreglering när det gäller befintliga hänvisningar till personuppgiftslagen behövs. För att undvika osäkerhet med brister i integritetsskyddet som följd talar, enligt utredningens mening, övervägande skäl för att låta den nuvarande personuppgiftslagen övergångsvis fortsätta att gälla i den utsträckning som det fortfarande finns hänvisningar kvar till den lagen (Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsförordning, SOU 2017:39 s. 341). Vad gäller förslaget om Datainspektionens ärenden framför utredningen att det är lämpligt att sådana ärenden handläggs enligt personuppgiftslagen till dess de är avgjorda och ser därför ett behov av en övergångsbestämmelse som tydliggör att ärenden som har inletts hos Datainspektionen före ikraftträdandet av dataskyddslagen men som vid den tidpunkten ännu inte har avgjorts, ska handläggas enligt personuppgiftslagen och föreskrifter som meddelats med stöd av den lagen. Detsamma bör gälla för överklagande av beslut som har meddelats med stöd av äldre föreskrifter (s. 342). Vad gäller övergångsbestämmelsen om skadestånd anför utredningen att i 48 § PUL finns bestämmelser om skadeståndsskyldighet för personuppgiftsansvariga och möjlighet att jämka sådan ersättningsskyldighet i vissa fall. Dessa bestämmelser bör enligt utredningen fortsätta att gälla för skada som har orsakats före upphävandet av personuppgiftslagen. I svensk rätt har det ansetts att det följer av allmänna rättsgrundsatser att nya skadeståndsbestämmelser blir tillämpliga i fråga om skadestånd till följd av skadefall som inträffar efter ikraftträdandet, och att det inte behöver regleras i särskilda övergångsbestämmelser. Avsaknad av en övergångsbestämmelse i detta avseende riskerar dock enligt utredningen att orsaka osäkerhet om förhållandet mellan dataskyddsförordningens och personuppgiftslagens bestämmelser om skadestånd. Det förhållandet att ett stort antal sektorsspecifika författningar innehåller hänvisningar till 48 § PUL gör också att det är 145

lämpligt med en så tydlig reglering som möjligt och utredningen menar mot denna bakgrund att det bör införas en särskild övergångsbestämmelse om detta (s. 342–343). Vad gäller övergångsbestämmelsen om överträdelser som har begåtts före ikraftträdandet anges att eftersom utredningens förslag innebär att den straffrättsliga regleringen upphävs och i praktiken ersätts med en administrativ sanktionsavgift, uppkommer frågan om vad som ska gälla för straffbelagda gärningar som har begåtts vid behandling som upphört före den 25 maj 2018 men där överträdelsen inte lagförts innan de nya reglerna ska börja tillämpas. Utredningen resonerar kring frågan om den lindrigaste lagens princip är tillämplig i dessa fall eller inte. När det gäller dataskyddsförordningens och dataskyddslagens system med kraftfulla sanktionsavgifter torde detta i många fall enligt utredningen anses som en svårare sanktion än exempelvis ett bötesstraff enligt regleringen i personuppgiftslagen. Huvudsyftet med att överträdelser mot dataskyddsregleringen föreslås avkriminaliseras är framför allt effektivisering, och ska inte ses som ett uttryck för att överträdelserna ska bedömas lindrigare än tidigare. Utredningen menar därför att den lindrigaste lagens princip inte gör sig gällande i detta fall och föreslår därför en bestämmelse om att äldre bestämmelser bör tillämpas på överträdelser som skett före dataskyddslagens ikraftträdande (s. 343– 344).

Ändringarna bör träda i kraft den 25 maj 2018 I enlighet med vad Dataskyddsutredningen anger pågår ett omfattande arbete inom Regeringskansliet med att anpassa författningar till dataskyddsreformen, varav denna promemoria är en del. Det pågår såväl ett stort antal utredningar som internt arbete inom Regeringskansliet. Detta innebär en risk att samtliga ändringar inte är genomförda vid en sådan tidpunkt att de kan träda i kraft den 25 maj 2018. Som framgår ovan föreslår Dataskyddsutredningen att dataskyddslagen ska träda i kraft den 25 maj 2018 och personuppgiftslagen samtidigt ska upphävas. Utredningen föreslår dock, med anledning av det omfattande översynsarbetet och därmed sammanhängande riskerna avseende tidsaspekten, en övergångsbestämmelse som innebär att personuppgiftslagen fortfarande ska gälla i den utsträckning som det i en annan lag eller förordning finns bestämmelser som innehåller hänvisningar till den. Ändringarna som föreslås i denna promemoria bör enligt promemorians bedömning träda i kraft samtidigt som dataskyddsförordningen börjar tillämpas, dvs. den 25 maj 2018. Det föreslås därför att de i promemorian föreslagna ändringarna ska träda i kraft den 25 maj 2018.

Vissa övergångsbestämmelser föreslås Vad gäller frågan om skada som har inträffat och överträdelser som har skett före ikraftträdandet kan följande lyftas fram. När det gäller skadestånd bör äldre bestämmelser gälla, dvs. om skadan har orsakats före den 25 maj 2018. Att så är fallet följer av allmänna rättsgrundsatser, varför det inte finns något egentligt behov av övergångsbestämmelser i det avseendet (se prop. 1972:5 s. 593), även om Dataskyddsutredningen 146

föreslår en uttrycklig bestämmelse om detta av tydlighetsskäl. Någon sådan föreslås dock inte för nu aktuella författningar. När det gäller straffbestämmelsen i 49 § PUL gäller den direkt för de registerförfattningar där personuppgiftslagen gäller. För de författningar som gäller i stället för personuppgiftslagen gäller den genom att den pekas ut. Dataskyddsutredningen föreslår som framgår ovan en bestämmelse om att äldre bestämmelser gäller för överträdelser som skett före dataskyddslagens ikraftträdande. Denna ordning bör gälla även för nu aktuella registerförfattningar. För att säkerställa att det kommer att gälla även för de författningar som gäller i stället för personuppgiftslagen, föreslås en övergångsbestämmelse med motsvarande innebörd i dessa författningar. Några andra övergångsbestämmelser bedöms inte behövas.

14 Konsekvenser

Promemorians bedömning: Förslagen medför att Skatteverkets, Tullverkets och Kronofogdemyndighetens regler om personuppgiftsbehandling anpassas till dataskyddsförordningen, med beaktande av myndigheternas behov. De ekonomiska konsekvenserna för myndigheterna är ytterst begränsade. Eventuella kostnader ryms inom myndigheternas befintliga ekonomiska ramar. Förslagen medför inte några offentligfinansiella effekter.

Skälen för promemorians bedömning

Dataskyddsreformen innebär bl.a. att Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) kommer att träda i stället för personuppgiftslagen (1998:204). Vidare avses en generell lag att på nationell nivå komplettera dataskyddsförordningen, dataskyddslagen (se betänkandet Ny dataskyddslag Kompletterande bestämmelser till EU:s dataskyddsförordning, SOU 2017:39). I denna promemoria föreslås vissa specifika anpassningar av lagstiftning på området för skatt, tull och exekution som bedöms behövas eller vara lämpliga som en följd av ovan nämnda reglering, samt vissa ytterligare justeringar som inte har direkt samband med dataskyddsreformen. De flesta förslagen är rena följder av eller anpassningar till dataskyddsförordningen och till att personuppgiftslagen upphävs. Det gäller t.ex. slopade hänvisningar till personuppgiftslagen eller slopade bestämmelser avseende sådant som regleras direkt i dataskyddsförordningen eller i den föreslagna dataskyddslagen, och att hänvisningar görs till dataskyddsförordningens definition av känsliga personuppgifter i stället för till personuppgiftslagens. Dessa förslag, och de förslag som anger författningarnas förhållande till dataskyddsförordningen och dataskyddslagen, bidrar till att minska eventuell dubbelreglering och klargör de olika 147

regleringarnas förhållande till varandra. Andra förslag medför inte någon ändring i förhållande till dagens reglering, t.ex. justerade bestämmelser om att rätten att göra invändningar mot behandling inte ska gälla. I promemorian görs bedömningar att särskilda bestämmelser som innebär avsteg från eller specificeringar av dataskyddsförordningens eller dataskyddslagens bestämmelser och som är anpassade efter de särskilda behov som Skatteverket, Tullverket eller Kronofogdemyndigheten har, t.ex. bestämmelser om tillåtna ändamål och när det är tillåtet att behandla vissa kategorier av personuppgifter, kan behållas. Genom dessa särbestämmelser säkerställs att myndigheterna har lämpliga verktyg för den personuppgiftsbehandling som deras verksamhet kräver och som den nya dataskyddsregleringen tillåter. De förslag som inte har direkt samband med dataskyddsreformen är t.ex. att vissa bestämmelser flyttas eller formuleras om, såsom att s.k. primära och sekundära ändamålsbestämmelser förtydligas. Detta medför att regleringen blir enklare att tillämpa. De ekonomiska konsekvenserna av de i denna promemoria föreslagna ändringarna bedöms bli ytterst begränsade. De bedöms inte medföra några nämnvärda kostnader för myndigheterna t.ex. i form av ITutveckling eller liknande. Som framgår ovan utgörs den stora förändringen av den nya regleringen på EU-nivå, som är direkt tillämplig. De omställningar och anpassningar av verksamheten som myndigheterna kan behöva genomgå orsakas således till allra största delen av annan reglering än den som presenteras i denna promemoria. Skulle förslagen i denna promemoria medföra vissa kostnader, bör dessa hanteras inom myndigheternas befintliga ekonomiska ramar. Förslagen bedöms inte medföra några offentligfinansiella effekter eller samhällsekonomiska konsekvenser. Förslagen bedöms inte ha någon påverkan på vare sig jämställdheten mellan kvinnor och män eller möjligheten att nå de integrationspolitiska målen. Förslagen bedöms inte ha några sociala eller miljömässiga konsekvenser.

15 Författningskommentar

15.1 Förslaget till lag om ändring i lagen (1998:527) om det statliga personadressregistret

2 § Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), kallad dataskyddsförordningen, och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, kallad dataskyddslagen (SOU 2017:39). I första stycket upplyses om att det finns bestämmelser om behandling av personuppgifter i dataskyddsförordningen och att lagen innehåller 148

kompletterande bestämmelser om sådan behandling. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och är direkt tillämplig. Denna lag utgör således ett komplement till dataskyddsförordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket delvis finns i denna lag. Genom andra stycket klargörs att även dataskyddslagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till den. I likhet med vad som anges i första stycket utgör lagen således ett komplement till dataskyddslagen. Till skillnad från dataskyddsförordningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestämmelser gäller endast om denna lag eller tillhörande föreskrifter inte innehåller några avvikande bestämmelser. Den nya utformningen innebär också att hänvisningarna till personuppgiftslagen (1998:204) har tagits bort. Övervägandena finns i avsnitt 7.2.

3 a § I paragrafen, som är ny, görs i första stycket ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskyddsförordningen. Undantaget utgör en sådan begränsning i den nationella rätten som tillåts enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar i artikel 21.1. I artikel 21.2 i dataskyddsförordningen ges en rätt för den registrerade att invända mot behandling av personuppgifter för direkt marknadsföring. Den rätten gäller vid sådan behandling som omfattas av lagen. I andra stycket ges en upplysning om att en sådan rätt finns artikel i 21.2 i dataskyddsförordningen. Övervägandena finns i avsnitt 7.11.4.

15.2 Förslaget till lag om ändring i lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet

1 kap.

2 § Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), kallad dataskyddsförordningen. I paragrafen upplyses om att det finns bestämmelser om behandling av personuppgifter i dataskyddsförordningen och att lagen innehåller kompletterande bestämmelser om sådan behandling. Dataskydds- 149

förordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och den är direkt tillämplig. Denna lag utgör således ett komplement till dataskyddsförordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket delvis finns i denna lag. Den nya utformningen innebär också att hänvisningarna till personuppgiftslagen (1998:204), PUL, har tagits bort. Vidare har bestämmelsen i andra stycket utgått och en liknande bestämmelse införts i 3 kap. 3 §, se kommentaren till den bestämmelsen. Övervägandena finns i avsnitt 7.2.

3 § Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, kallad dataskyddslagen (SOU 2017:39). Genom paragrafen klargörs att även dataskyddslagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till den. I likhet med vad som anges i 2 § utgör denna lag således ett komplement till dataskyddslagen. Till skillnad från dataskyddsförordningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestämmelser gäller endast om denna lag eller tillhörande föreskrifter inte innehåller några avvikande bestämmelser. Den nya utformningen innebär också att hänvisningarna till personuppgiftslagen har tagits bort. Övervägandena finns i avsnitt 7.2.

4 § Paragrafen reglerar de ändamål i Skatteverkets verksamhet för vilka uppgifter får behandlas enligt lagen. Paragrafen har ändrats genom att det andra stycket , som rör behandling av uppgifter för tillhandahållande av information som behövs i Skatteverkets brottsbekämpande verksamhet, har flyttats till 5 §. Ändringen innebär att paragrafen endast omfattar ändamål som avser sådan verksamhet inom Skatteverket som omfattas av lagens tillämpningsområde och för vilka uppgifter får samlas in i verksamheten, s.k. primära ändamål. De sekundära ändamålen har samlats i 5 § (se kommentaren till den paragrafen). I första stycket har vissa redaktionella ändringar gjorts. Övervägandena finns i avsnitt 7.5.

5 § I paragrafen finns bestämmelser om s.k. sekundära ändamål. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter, som myndigheten har samlat in för ett primärt ändamål, får behandlas för att lämnas ut till annan verksamhet inom den egna myndigheten, till enskilda eller till andra myndigheter för att tillgodose deras behov. Genom ändringarna i första stycket klargörs att det endast är sådana uppgifter som redan behandlas med stöd av 4 § som får behandlas för de sekundära ändamålen i paragrafen. Uppgifter får alltså inte samlas in för 150 att behandlas endast för de ändamål som anges i paragrafen.

Det nya andra stycket har flyttats från 4 § andra stycket (se kommentaren till den paragrafen). Ändringen medför att de sekundära ändamålen samlas i en paragraf. Vissa mindre ändringar har också gjorts i förtydligande syfte. Det nya tredje stycket motsvarar till stor del det tidigare andra stycket. Genom ändringarna klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande. I det nya fjärde stycket tydliggörs att behandling får ske även för andra ändamål som inte är oförenliga med insamlingsändamålen. Övervägandena finns i avsnitt 7.5.

7 § I första stycket har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Eftersom dataskyddsförordningens definition är något vidare än personuppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter. Hänvisningen till personuppgiftslagens definition av lagöverträdelser har ersatts med en uppräkning av de lagöverträdelser som motsvarar personuppgiftslagens definition. Denna ändring innebär ingen ändring i sak. Övervägandena finns i avsnitt 7.6.

2 kap.

14 § I paragrafen, som behandlar möjligheten för Skatteverket att ta ut avgifter för att lämna ut uppgifter ur beskattningsdatabasen, har andra stycket fått en ny struktur och en ny andra punkt. I den nya punkten 2 upplyses om att rätten att ta ut avgifter enligt första stycket inte innebär någon inskränkning i den registrerades rätt till kostnadsfri information och kommunikation m.m. enligt artikel 12.5 i dataskyddsförordningen. Övervägandena finns i avsnitt 7.11.2.

3 kap.

2 § I paragrafen finns bestämmelser om att information som på begäran ska ges till den registrerade i vissa fall inte behöver omfatta uppgifter i en handling. Rätten att få information efter ansökan enligt 26 § PUL motsvaras av rätten i artikel 15 i dataskyddsförordningen. I första stycket har därför hänvisningen till 26 § PUL ersatts med en hänvisning till artikel 15 i dataskyddsförordningen. Vissa redaktionella ändringar har också gjorts i första och andra stycket . Övervägandena finns i avsnitt 7.11.2.

2 a § I paragrafen görs undantag från vissa av den registrerades rättigheter och den personuppgiftsansvariges skyldigheter när personuppgifter behandlas pga. samarbete enligt lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning. Hänvisningarna till 23, 25, 26, 28 och 42 §§ PUL har ersatts med hänvisningar till artikel 13 och 15–19 i dataskyddsförordningen. I stället för att hänvisa till intressen som anges i 8 a § f PUL har det skrivits ut i paragrafen att de aktuella artiklarna inte ska tillämpas om sådana begränsningar är nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen. Övervägandena finns i avsnitt 7.11.2 och 7.11.3.

3 § I paragrafen, som har fått ett nytt innehåll, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskyddsförordningen. Undantaget utgör en sådan begränsning i den nationella rätten som tillåts enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar i artikel 21.1. Bestämmelsen har flyttats från 1 kap. 2 § andra stycket och har anpassats till regleringen i dataskyddsförordningen genom en ny lydelse. Övervägandena finns i avsnitt 7.11.4.

15.3 Förslaget till lag om ändring i lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet

1 kap.

2 § Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), kallad dataskyddsförordningen. I paragrafen upplyses om att det finns bestämmelser om behandling av personuppgifter i dataskyddsförordningen och att lagen innehåller kompletterande bestämmelser om sådan behandling. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och den är direkt tillämplig. Denna lag utgör således ett komplement till dataskyddsförordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket delvis finns i denna lag. Den nya utformningen innebär också att hänvisningarna till personuppgiftslagen (1998:204), PUL, har tagits bort. Vidare har bestämmelsen 152

i andra stycket utgått och en liknande bestämmelse införts i 3 kap. 3 §, se kommentaren till den bestämmelsen. Övervägandena finns i avsnitt 7.2.

3 § Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, kallad dataskyddslagen (SOU 2017:39). Genom paragrafen klargörs att även dataskyddslagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till den. I likhet med vad som anges i 2 § utgör denna lag således ett komplement till dataskyddslagen. Till skillnad från dataskyddsförordningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestämmelser gäller endast om denna lag eller tillhörande föreskrifter inte innehåller några avvikande bestämmelser. Den nya utformningen innebär också att hänvisningarna till personuppgiftslagen har tagits bort. Övervägandena finns i avsnitt 7.2.

4 § I paragrafen finns bestämmelser om ändamål för vilka personuppgifter får behandlas enligt lagen. I andra stycket klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande. Det tydliggörs också att behandling får ske även för andra ändamål som inte är oförenliga med insamlingsändamålen. Övervägandena finns i avsnitt 7.5.

6 § I första stycket har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Eftersom dataskyddsförordningens definition är något vidare än personuppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter. Hänvisningen till personuppgiftslagens definition av lagöverträdelser har ersatts med en uppräkning av de lagöverträdelser som motsvarar personuppgiftslagens definition. Denna ändring innebär ingen ändring i sak. Övervägandena finns i avsnitt 7.6.

2 kap.

12 § I paragrafen, som behandlar möjligheten för Skatteverket att ta ut avgifter för att lämna ut uppgifter ur folkbokföringsdatabasen, har andra stycket fått en ny struktur och en ny andra punkt. I den nya punkten 2 upplyses om att rätten att ta ut avgifter enligt första stycket inte innebär 153

någon inskränkning i den registrerades rätt till kostnadsfri information och kommunikation m.m. enligt artikel 12.5 i dataskyddsförordningen. Övervägandena finns i avsnitt 7.11.2.

3 kap.

2 § I paragrafen finns bestämmelser om att information som på begäran ska ges till den registrerade i vissa fall inte behöver omfatta uppgifter i en handling. Rätten att få information efter ansökan enligt 26 § PUL motsvaras av rätten i artikel 15 i dataskyddsförordningen. I första stycket har därför hänvisningen till 26 § PUL ersatts med en hänvisning till artikel 15 i dataskyddsförordningen. Vissa redaktionella ändringar har också gjorts i första och andra stycket . Övervägandena finns i avsnitt 7.11.2.

3 § I paragrafen, som har fått ett nytt innehåll, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskyddsförordningen. Undantaget utgör en sådan begränsning i den nationella rätten som tillåts enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar i artikel 21.1. Bestämmelsen har flyttats från 1 kap. 2 § andra stycket och har anpassats till regleringen i dataskyddsförordningen genom en ny lydelse. Övervägandena finns i avsnitt 7.11.4.

15.4 Förslaget till lag om ändring i lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet

1 kap.

2 § Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), kallad dataskyddsförordningen. I paragrafen upplyses om att det finns bestämmelser om behandling av personuppgifter i dataskyddsförordningen och att lagen innehåller kompletterande bestämmelser om sådan behandling. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och den är direkt tillämplig. Denna lag utgör således ett komplement till dataskyddsförordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket delvis finns i denna lag. 154

Den nya utformningen innebär också att hänvisningarna till personuppgiftslagen (1998:204), PUL, har tagits bort. Vidare har bestämmelsen i andra stycket utgått och en liknande bestämmelse införts i 3 kap. 3 a §, se kommentaren till den bestämmelsen. Övervägandena finns i avsnitt 7.2.

3 § Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, kallad dataskyddslagen (SOU 2017:39). Genom paragrafen klargörs att även dataskyddslagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till den. I likhet med vad som anges i 2 § utgör denna lag således ett komplement till dataskyddslagen. Till skillnad från dataskyddsförordningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestämmelser gäller endast om denna lag eller tillhörande föreskrifter inte innehåller några avvikande bestämmelser. Den nya utformningen innebär också att hänvisningarna till personuppgiftslagen har tagits bort. Övervägandena finns i avsnitt 7.2.

6 § I första stycket har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Eftersom dataskyddsförordningens definition är något vidare än personuppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter. Hänvisningen till personuppgiftslagens definition av lagöverträdelser har ersatts med en uppräkning av de lagöverträdelser som motsvarar personuppgiftslagens definition. Denna ändring innebär ingen ändring i sak. Övervägandena finns i avsnitt 7.6.

2 kap.

2 § I paragrafen regleras ändamål med utsöknings- och indrivningsdatabasen. Paragrafen har ändrats genom att det andra stycket , som rör behandling av uppgifter för tillhandahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F–skuldsanering, har flyttats till 3 §. Ändringen innebär att paragrafen endast omfattar de s.k. primära ändamålen, för vilka uppgifter får föras in i utsöknings- och indrivningsdatabasen. De sekundära ändamålen har samlats i 3 § (se kommentaren till den paragrafen). I första stycket har vissa redaktionella ändringar gjorts. Övervägandena finns i avsnitt 7.5.

3 § I paragrafen regleras ändamål för vilka uppgifter får behandlas för att tillhandahållas utanför den verksamhet som utsöknings- och indrivningsdatabasen förs inom, de s.k. sekundära ändamålen med databasen. Genom ändringarna i första stycket klargörs att det endast är sådana uppgifter som redan behandlas i utsöknings- och indrivningsdatabasen med stöd av 2 § som får behandlas i databasen för de sekundära ändamålen i paragrafen. Uppgifter får alltså inte föras in i databasen endast för de ändamål som anges i paragrafen. Det nya andra stycket har flyttats från 2 § andra stycket (se kommentaren till den paragrafen). Ändringen medför att de sekundära ändamålen samlas i en paragraf. Vissa mindre ändringar har också gjorts i förtydligande syfte. Det nya tredje stycket motsvarar till stor del det tidigare andra stycket. Genom ändringarna klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande. I det nya fjärde stycket tydliggörs att behandling får ske även för andra ändamål som inte är oförenliga med insamlingsändamålen. Övervägandena finns i avsnitt 7.5.

8 § I paragrafen regleras ändamål med betalningsföreläggande- och handräckningsdatabasen. Paragrafen har ändrats genom att det andra stycket , som rör behandling av uppgifter för tillhandahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F–skuldsanering, har flyttats till 9 §. Ändringen innebär att paragrafen endast omfattar de s.k. primära ändamålen, för vilka uppgifter får föras in i betalningsföreläggande- och handräckningsdatabasen. De sekundära ändamålen har samlats i 9 § (se kommentaren till den paragrafen). I första stycket har vissa redaktionella ändringar gjorts. Övervägandena finns i avsnitt 7.5.

9 § I paragrafen regleras ändamål för vilka uppgifter får behandlas för att tillhandahållas utanför den verksamhet som betalningsföreläggande- och handräckningsdatabasen förs inom, de s.k. sekundära ändamålen med databasen. Genom ändringarna i första stycket klargörs att det endast är sådana uppgifter som redan behandlas i betalningsföreläggande- och handräckningsdatabasen med stöd av 8 § som får behandlas i databasen för de sekundära ändamålen i paragrafen. Uppgifter får alltså inte föras in i databasen endast för de ändamål som anges i paragrafen. Det nya andra stycket har flyttats från 8 § andra stycket (se kommentaren till den paragrafen). Ändringen medför att de sekundära ändamålen samlas i en paragraf. Vissa mindre ändringar har också gjorts i förtydligande syfte. 156

Det nya tredje stycket motsvarar till stor del det tidigare andra stycket. Genom ändringarna klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande. I det nya fjärde stycket tydliggörs att behandling får ske även för andra ändamål som inte är oförenliga med insamlingsändamålen. Övervägandena finns i avsnitt 7.5.

14 § I paragrafen har vissa redaktionella ändringar gjorts.

15 § I paragrafen regleras ändamål för vilka uppgifter får behandlas för att tillhandahållas utanför den verksamhet som skuldsaneringsdatabasen förs inom, de s.k. sekundära ändamålen med databasen. Genom ändringarna i första stycket klargörs att det endast är sådana uppgifter som redan behandlas i skuldsaneringsdatabasen med stöd av 14 § som får behandlas i databasen för de sekundära ändamålen i paragrafen. Uppgifter får alltså inte föras in i databasen endast för de ändamål som anges i paragrafen. Genom ändringarna i det andra stycket klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande. I det nya tredje stycket tydliggörs att behandling får ske även för andra ändamål som inte är oförenliga med insamlingsändamålen. Övervägandena finns i avsnitt 7.5.

20 § I paragrafen regleras ändamål med konkurstillsynsdatabasen. Paragrafen har ändrats genom att det andra stycket , som rör behandling av uppgifter för tillhandahållande av information som behövs i Kronofogdemyndighetens verksamhet för handläggning av ärenden om skuldsanering och F– skuldsanering, har flyttats till 20 a §. Ändringen innebär att paragrafen endast omfattar de s.k. primära ändamålen, för vilka uppgifter får föras in i konkurstillsynsdatabasen. De sekundära ändamålen har samlats i 20 a § (se kommentaren till den paragrafen). I första stycket har vissa redaktionella ändringar gjorts. Övervägandena finns i avsnitt 7.5.

20 a § I paragrafen regleras ändamål för vilka uppgifter får behandlas för att tillhandahållas utanför den verksamhet som konkurstillsynsdatabasen förs inom, de s.k. sekundära ändamålen med databasen. Det nya första stycket har flyttats från 20 § andra stycket (se kommentaren till den paragrafen). Ändringen medför att de sekundära ändamålen har samlats i en paragraf. Vissa mindre ändringar har också gjorts i förtydligande syfte. 157

Det nya andra stycket motsvarar till stor del det tidigare första stycket. Genom ändringarna klargörs att uppgifter får behandlas inte bara för att tillhandahålla information i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande. I det nya tredje stycket tydliggörs att behandling får ske även för andra ändamål som inte är oförenliga med insamlingsändamålen. Övervägandena finns i avsnitt 7.5.

30 § I paragrafen, som behandlar möjligheten för Kronofogdemyndigheten att ta ut avgifter för att lämna ut uppgifter ur Kronofogdemyndighetens databaser, har andra stycket fått en ny struktur och en ny andra punkt. I den nya punkten 2 upplyses om att rätten att ta ut avgifter enligt första stycket inte innebär någon inskränkning i den registrerades rätt till kostnadsfri information och kommunikation m.m. enligt artikel 12.5 i dataskyddsförordningen. Övervägandena finns i avsnitt 7.11.2.

3 kap.

2 § I paragrafen finns bestämmelser om att information som på begäran ska ges till den registrerade i vissa fall inte behöver omfatta uppgifter i en handling. Rätten att få information efter ansökan enligt 26 § PUL motsvaras av rätten i artikel 15 i dataskyddsförordningen. I första stycket har därför hänvisningen till 26 § PUL ersatts med en hänvisning till artikel 15 i dataskyddsförordningen. Övervägandena finns i avsnitt 7.11.2.

3 § Paragrafen innehåller bestämmelser om rättelse m.m. när uppgifter behandlas i Kronofogdemyndighetens verksamhet. Bestämmelserna innebär i vissa avseenden utökade rättigheter för den registrerade och utökade skyldigheter för den personuppgiftsansvarige i förhållande till dataskyddsförordningen. Av 1 kap. 1 § andra stycket följer vidare att bestämmelsen är tillämplig även vid behandling av uppgifter om juridiska personer och avlidna. I det nya andra stycket ges en upplysning om att det i fråga om personuppgifter finns bestämmelser om rättelse m.m. också i dataskyddsförordningen. Vid behandling av personuppgifter får bestämmelsen i första stycket praktisk betydelse endast i de fall den ger rättigheter eller skyldigheter som går utöver de rättigheter och skyldigheter som följer av dataskyddsförordningen. Övervägandena finns i avsnitt 7.11.3.

3 a § I paragrafen, som är ny, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskydds- 158 förordningen. Undantaget utgör en sådan begränsning i den nationella

rätten som tillåts enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar i artikel 21.1. Bestämmelsen motsvarar 1 kap. 2 § andra stycket, som har tagits bort, men har anpassats till regleringen i dataskyddsförordningen genom en ny lydelse. Övervägandena finns i avsnitt 7.11.4.

4 § Överklagandebestämmelsen i paragrafen har ersatts med en upplysning i första stycket om att det finns bestämmelser om att vissa beslut får överklagas i dataskyddslagen. Av det nya andra stycket följer att även beslut om beslut om rättelse enligt 3 kap. 3 § andra stycket 2 får överklagas till allmän förvaltningsdomstol. Det tidigare andra stycket har flyttats till ett tredje stycke. Övervägandena finns i avsnitt 7.16.

15.5 Förslaget till lag om ändring i lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet

1 kap.

2 § Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), kallad dataskyddsförordningen. I paragrafen upplyses om att det finns bestämmelser om behandling av personuppgifter i dataskyddsförordningen och att lagen innehåller kompletterande bestämmelser om sådan behandling. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och den är direkt tillämplig. Denna lag utgör således ett komplement till dataskyddsförordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket delvis finns i denna lag. Den nya utformningen innebär också att hänvisningarna till personuppgiftslagen (1998:204), PUL, har tagits bort. Vidare har bestämmelsen i andra stycket utgått och en liknande bestämmelse införts i 3 kap. 3 §, se kommentaren till den bestämmelsen. Övervägandena finns i avsnitt 7.2.

3 § Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, kallad dataskyddslagen (SOU 2017:39). 159

Genom paragrafen klargörs att även dataskyddslagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till den. I likhet med vad som anges i 2 § utgör denna lag således ett komplement till dataskyddslagen. Till skillnad från dataskyddsförordningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestämmelser gäller endast om denna lag eller tillhörande föreskrifter inte innehåller några avvikande bestämmelser. Den nya utformningen innebär också att hänvisningarna till personuppgiftslagen har tagits bort. Övervägandena finns i avsnitt 7.2.

4 § Paragrafen reglerar ändamål i Tullverkets verksamhet för vilka uppgifter får behandlas enligt lagen. Paragrafen har ändrats genom att det andra stycket , som rör behandling av uppgifter för tillhandahållande av information som behövs i Tullverkets brottsbekämpande verksamhet, har flyttats till 5 §. Ändringen innebär att paragrafen endast omfattar ändamål som avser sådan verksamhet inom Tullverket som omfattas av lagens tillämpningsområde och för vilka uppgifter får samlas in i verksamheten, s.k. primära ändamål. De s.k. sekundära ändamålen har samlats i 5 § (se kommentaren till den paragrafen). I första stycket har vissa redaktionella ändringar gjorts. Övervägandena finns i avsnitt 7.5.

5 § I paragrafen finns bestämmelser om ändamål för vilka uppgifter får behandlas för att tillhandahållas utanför den verksamhet som lagens tillämpningsområde omfattar, s.k. sekundära ändamål. Genom ändringarna i första stycket klargörs att det endast är sådana uppgifter som redan behandlas med stöd av 4 § som får behandlas för de sekundära ändamålen i paragrafen. Uppgifter får alltså inte samlas in för att behandlas endast för de ändamål som anges i paragrafen. Det nya andra stycket har flyttats från 4 § andra stycket (se kommentaren till den paragrafen). Ändringen medför att de sekundära ändamålen samlas i en paragraf. Det nya tredje stycket motsvarar till stor del det tidigare andra stycket. Genom ändringarna klargörs att uppgifter får behandlas för att tillhandahålla information inte bara i de fall det finns en skyldighet att lämna ut uppgifter, utan även i andra fall då det finns en bestämmelse i lag eller förordning som tillåter uppgiftslämnande. I det nya fjärde stycket tydliggörs att behandling får ske även för andra ändamål som inte är oförenliga med insamlingsändamålen. Övervägandena finns i avsnitt 7.5.

7 § I första stycket har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Eftersom dataskyddsförordningens definition är något vidare än 160 personuppgiftslagens, innebär ändringen att något fler kategorier av

uppgifter kringgärdas av restriktioner för behandling av personuppgifter. Hänvisningen till personuppgiftslagens definition av lagöverträdelser har ersatts med en uppräkning av de lagöverträdelser som motsvarar personuppgiftslagens definition. Denna ändring innebär ingen ändring i sak. Övervägandena finns i avsnitt 7.6.

2 kap.

11 § I paragrafen, som behandlar möjligheten för Tullverket att ta ut avgifter för att lämna ut uppgifter ur tulldatabasen, har andra stycket fått en ny struktur och en ny andra punkt. I den nya punkten 2 upplyses om att rätten att ta ut avgifter enligt första stycket inte innebär någon inskränkning i den registrerades rätt till kostnadsfri information och kommunikation m.m. enligt artikel 12.5 i dataskyddsförordningen. Övervägandena finns i avsnitt 7.11.2.

3 kap.

2 § I paragrafen finns bestämmelser om att information som på begäran ska ges till den registrerade i vissa fall inte behöver omfatta uppgifter i en handling. Rätten att få information efter ansökan enligt 26 § PUL motsvaras av rätten i artikel 15 i dataskyddsförordningen. I första stycket har därför hänvisningen till 26 § PUL ersatts med en hänvisning till artikel 15 i dataskyddsförordningen. Vissa redaktionella ändringar har också gjorts i första och andra stycket . Övervägandena finns i avsnitt 7.11.2.

3 § I paragrafen, som har fått ett nytt innehåll, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskyddsförordningen. Undantaget utgör en sådan begränsning i den nationella rätten som tillåts enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar i artikel 21.1. Bestämmelsen har flyttats från 1 kap. 2 § andra stycket och har anpassats till regleringen i dataskyddsförordningen genom en ny lydelse. Övervägandena finns i avsnitt 7.11.4.

15.6 Förslaget till lag om ändring i lagen (2015:898) om behandling av personuppgifter i Skatteverkets äktenskapsregister- och bouppteckningsverksamheter

4 § Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), kallad dataskyddsförordningen, och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, kallad dataskyddslagen (SOU 2017:39). I första stycket upplyses om att det finns bestämmelser om behandling av personuppgifter i dataskyddsförordningen och att lagen innehåller kompletterande bestämmelser om sådan behandling. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och är direkt tillämplig. Denna lag utgör således ett komplement till dataskyddsförordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket delvis finns i denna lag. Genom andra stycket klargörs att även dataskyddslagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till den. I likhet med vad som anges i första stycket utgör lagen således ett komplement till dataskyddslagen. Till skillnad från dataskyddsförordningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestämmelser gäller endast om denna lag eller tillhörande föreskrifter inte innehåller några avvikande bestämmelser. Den nya utformningen innebär också att hänvisningarna till personuppgiftslagen (1998:204), PUL, har tagits bort. Övervägandena finns i avsnitt 7.2.

6 § I paragrafen regleras för vilka ändamål uppgifter får behandlas. I andra stycket har hänvisningen till 9 § första stycket d och andra stycket PUL ersatts med en bestämmelse som tydliggör att uppgifter får behandlas även för andra ändamål som inte är oförenliga med insamlingsändamålen. Övervägandena finns i avsnitt 7.5.

7 § I paragrafen har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Eftersom dataskyddsförordningens definition är något vidare än personuppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter. Övervägandena finns i avsnitt 7.6.1. 162

10 § I paragrafen, som har fått ett nytt innehåll, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskyddsförordningen. Undantaget utgör en sådan begränsning i den nationella rätten som tillåts enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar i artikel 21.1. Bestämmelsen har flyttats från 3 § och har anpassats till regleringen i dataskyddsförordningen genom en ny lydelse. Övervägandena finns i avsnitt 7.11.4.

15.7 Förslaget till lag om ändring i lagen (2015:899) om identitetskort för folkbokförda i Sverige

10 § Paragrafen har fått ett nytt innehåll och klargör lagens förhållande till Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), kallad dataskyddsförordningen, och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning, kallad dataskyddslagen (SOU 2017:39). I första stycket upplyses om att det finns bestämmelser om behandling av personuppgifter i dataskyddsförordningen och att lagen innehåller kompletterande bestämmelser om sådan behandling. Dataskyddsförordningen är den huvudsakliga rättsakten på området för personuppgiftsbehandling och är direkt tillämplig. Denna lag utgör således ett komplement till dataskyddsförordningen. Dataskyddsförordningen både möjliggör och förutsätter nationell reglering, vilket delvis finns i denna lag. Genom andra stycket klargörs att även dataskyddslagen gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till den. I likhet med vad som anges i första stycket utgör lagen således ett komplement till dataskyddslagen. Till skillnad från dataskyddsförordningen är dataskyddslagen dock subsidiär, och dataskyddslagens bestämmelser gäller endast om denna lag inte innehåller några avvikande bestämmelser. Den nya utformningen innebär också att hänvisningarna till personuppgiftslagen (1998:204), PUL, har tagits bort. Övervägandena finns i avsnitt 7.2.

12 § I paragrafen regleras för vilka ändamål uppgifter får behandlas. I andra stycket har hänvisningen till 9 § första stycket d och andra stycket PUL ersatts med en bestämmelse som tydliggör att behandling får ske även för andra ändamål som inte är oförenliga med insamlingsändamålen. 163

Övervägandena finns i avsnitt 7.5.

13 § I paragrafen har hänvisningen till personuppgiftslagens definition av känsliga personuppgifter ersatts med dataskyddsförordningens definition. Eftersom dataskyddsförordningens definition är något vidare än personuppgiftslagens, innebär ändringen att något fler kategorier av uppgifter kringgärdas av restriktioner för behandling av personuppgifter. Övervägandena finns i avsnitt 7.6.1.

17 § I andra stycket har hänvisningen till personuppgiftslagens definition av lagöverträdelser ersatts med en uppräkning av de lagöverträdelser som motsvarar personuppgiftslagens definition. Denna ändring innebär ingen ändring i sak. Övervägandena finns i avsnitt 7.6.2.

18 § I paragrafen, som har fått ett nytt innehåll, görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskyddsförordningen. Undantaget utgör en sådan begränsning i den nationella rätten som tillåts enligt artikel 23 i dataskyddsförordningen. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller inte rätten att göra invändningar i artikel 21.1. Bestämmelsen har flyttats från 9 § och har anpassats till regleringen i dataskyddsförordningen genom en ny lydelse. Övervägandena finns i avsnitt 7.11.4.