Kompletterande promemoria till betänkandet Ny dataskyddslag (SOU 2017:39)

Ju2017/04264/L6 Kompletterande promemoria till betänkandet Ny

dataskyddslag (SOU 2017:39)

1 Lagförslag

Förslag till lag (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning

1 kap.

2 Promemorians bakgrund och syfte

Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan dataskyddsförordningen, kommer från och med den 25 maj 2018 att utgöra den generella regleringen av personuppgiftsbehandling inom EU. Dataskyddsförordningen kommer att vara direkt tillämplig i medlemsstaterna, men förordningen både förutsätter och tillåter kompletterande bestämmelser på nationell nivå. Mot denna bakgrund har Dataskyddsutredningen (Ju 2016:04) i sitt betänkande Ny dataskyddslag (SOU 2017:39) bland annat föreslagit att personuppgiftslagen (1998:204) ska upphävas och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning ska införas. Betänkandet är för närvarande föremål för remissbehandling (dnr Ju2017/04264/L6). Liknande reglering kommer att införas i andra medlemsstater.

Behandling av personuppgifter är i många fall en gränsöverskridande aktivitet. Det är till exempel inte ovanligt att den som behandlar personuppgifter om personer i Sverige inte själv är etablerad genom ett verksamhetsställe i landet. På motsvarande sätt kan svenska företag och organisationer behandla personuppgifter om individer i andra länder utan att ha något verksamhetsställe där. I dessa situationer uppkommer fråga om vilket lands lag som ska tillämpas – den lag som gäller i den registrerades land (effektlandsprincipen) eller den lag som gäller i det land där den personuppgiftsansvarige är etablerad (etableringslandsprincipen). Dataskyddsförordningen innehåller inte några regler om vilken nationell rätt som ska gälla vid gränsöverskridande personuppgiftsbehandling. Dataskyddsutredningen har inte heller behandlat frågan om dataskyddslagens territoriella tillämpningsområde i det remitterade betänkandet.

Kommissionen har sammankallat en expertgrupp (E03461) om dataskyddsförordningen och Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF. Expertgruppen består av representanter för medlemsstaterna. I expertgruppen har kommissionen framhållit behovet av att medlemsstaterna tar ställning till det territoriella tillämpningsområdet för nationell lagstiftning som kompletterar dataskyddsförordningen. Kommissionen har förordat att etableringslandsprincipen bör gälla som utgångspunkt (dnr Ju2017/01127-14).

Mot denna bakgrund behandlas i denna promemoria frågan om dataskyddslagens territoriella tillämpningsområde. Det bör understrykas att promemorian inte tar ställning till de förslag som Dataskyddsutredningen har lämnat utan endast till behovet av kompletterande bestämmelser om lagens territoriella tillämpningsområde.

3 Personuppgiftslagens och dataskyddsförordningens territoriella tillämpningsområde

Artikel 4 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) anger vilken medlemsstats nationella lag som ska tillämpas i olika fall. Artikeln har genomförts genom 4 § personuppgiftslagen (PUL). Enligt 4 § första stycket gäller lagen för sådana personuppgiftsansvariga som är etablerade i Sverige. Lagen tillämpas enligt andra stycket också när den personuppgiftsansvarige är etablerad i tredjeland men för behandlingen av personuppgifter använder sig av utrustning som finns i Sverige, om inte utrustningen bara används för att överföra uppgifter mellan ett tredjeland och ett annat sådant land.

Dataskyddsförordningen innehåller, till skillnad från dataskyddsdirektivet, inte någon reglering om tillämplig nationell lag. Förordningens territoriella tillämpningsområde anges dock i artikel 3. Enligt artikel 3.1 gäller förordningen vid behandling som sker inom ramen för verksamhet som bedrivs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad i unionen, oavsett om behandlingen utförs i unionen eller inte. Enligt artikel 3.2 gäller förordningen också vid behandling av personuppgifter som avser registrerade som befinner sig i unionen och som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad i unionen, om behandlingen har anknytning till antingen utbjudande av varor eller tjänster till registrerade i unionen, eller övervakning av de registrerades beteende inom unionen. Av artikel 3.3 framgår att förordningen också ska tillämpas på behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerad i unionen, men på en plats där en medlemsstats nationella rätt gäller enligt folkrätten.

Artikel 3.1 i förordningen tar sikte på var den personuppgiftsansvarige är etablerad och ger, i likhet med personuppgiftslagen, uttryck för etableringslandsprincipen. Artikel 3.2, som endast träffar personuppgiftsansvariga och personuppgiftsbiträden som inte är etablerade inom unionen, utgår i stället från var den registrerade fysiskt befinner sig och ger alltså uttryck för effektlandsprincipen. De båda bestämmelserna är alternativa och det räcker att en av dem är uppfylld för att förordningen ska vara tillämplig.

Någon motsvarighet till artikel 3.2, som utgår från var den registrerade befinner sig, finns inte i personuppgiftslagen. Dataskyddsregleringen har alltså hittills haft ett territoriellt tillämpningsområde som enbart omfattar personuppgiftsansvariga som är etablerade eller använder utrustning i landet.

4 Nationella bestämmelser som kompletterar dataskyddsförordningen

Den omständigheten att den nya generella unionsrättsakten om dataskydd är en förordning, och inte ett direktiv, innebär en ytterligare harmonisering av dataskyddsreglerna inom EU. Förordningen kommer från den 25 maj 2018 att vara direkt tillämplig i medlemsstaterna. Detta innebär att personuppgiftsansvariga, som utgångspunkt, kommer att ha att förhålla sig till EU-regleringen och inte till nationell reglering. Mot den bakgrunden kan det framstå som naturligt att förordningen, till skillnad från dataskyddsdirektivet, inte innehåller någon bestämmelse om tillämplig nationell lag.

Dataskyddsförordningen har emellertid i vissa delar en direktivliknande karaktär, på så sätt att ett förhållandevis stort antal artiklar förutsätter eller medger nationella bestämmelser som kompletterar eller föreskriver undantag från förordningens regler. Detta gäller särskilt behandling av personuppgifter som sker inom den offentliga sektorn. Medlemsstaterna får till exempel behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen när det gäller behandling som grundar sig på artikel 6.1 e, dvs. som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Vidare får medlemsstaterna enligt artikel 8 sänka åldersgränsen för när ett barns eget samtycke kan läggas till grund för behandling av personuppgifter vid erbjudande av informationssamhällets tjänster. För vissa angivna syften får medlemsstaterna enligt artikel 23 även begränsa tillämpningsområdet för många av de skyldigheter och rättigheter som regleras i förordningen. Dessutom kräver dataskyddsförordningen att medlemsstaterna inför vissa kompletterande bestämmelser, bland annat avseende rättsmedel.

Regelverket avseende dataskydd kommer således även efter den 25 maj 2018 att i vissa avseenden se olika ut i medlemsstaterna. Detta innebär att det, trots att dataskyddsförordningen är direkt tillämplig i medlemsstaterna, kan finnas ett behov av att reglera det territoriella tillämpningsområdet för nationell lagstiftning som kompletterar förordningen.

5 Överväganden och förslag

Förslag: Dataskyddslagen ska som huvudregel gälla för personuppgiftsansvariga och personuppgiftsbiträden som är etablerade i Sverige, i fråga om behandling av personuppgifter som utförs inom ramen för verksamhet som bedrivs vid verksamhetsställen här i landet. Lagen ska även gälla för personuppgiftsansvariga som inte är etablerade i Sverige, men på en plats där svensk rätt gäller enligt

folkrätten. Lagen ska också gälla för personuppgiftsansvariga och personuppgiftsbiträden som inte är etablerade i Sverige eller ett annat EU-land, om behandlingen har anknytning till utbjudande av varor

eller tjänster till registrerade i Sverige eller övervakning av

registrerades beteende i Sverige.

Dataskyddslagens reglering om barns samtycke till behandling av personuppgifter vid erbjudande av informationssamhällets tjänster ska gälla alla barn som bor i Sverige, oavsett var de personuppgiftsansvariga eller deras biträden är etablerade.

Skälen för förslagen

Det finns ett behov av att reglera dataskyddslagens territoriella

tillämpningsområde

Eftersom förordningen inte reglerar tillämpningsområdet för kompletterande nationell lagstiftning bör medlemsstaterna i princip vara fria att bestämma detta själva. Detta är också den uppfattning som kommissionen och andra medlemsstater gett uttryck för i kommissionens expertgrupp.

Det är ur ett tillämpningsperspektiv viktigt att det står klart i vilka fall dataskyddslagen gäller vid gränsöverskridande behandling av personuppgifter. Utan reglering av det territoriella tillämpningsområdet kommer det att råda osäkerhet i denna fråga. Av rättssäkerhetsskäl bör det därför införas en uttrycklig bestämmelse om det territoriella tillämpningsområdet i dataskyddslagen.

En huvudregel som följer förordningens principer

Frågan är då hur en bestämmelse om det territoriella tillämpningsområdet bör utformas. I detta sammanhang måste beaktas att dataskyddsförordningen har ett dubbelt syfte: dels att stärka skyddet för personuppgifter, dels att underlätta det fria flödet av personuppgifter inom unionen. Således anges i artikel 1.2 att förordningen skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, och i artikel 1.3 att det fria flödet av personuppgifter inom unionen varken får begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter.

Etableringslandsprincipen kan sägas vara utgångspunkten i dataskyddsförordningens reglering om det territoriella tillämpningsområdet (artikel 3.1 och 3.3). Ett val av etableringslandsprincipen som huvudregel för dataskyddslagens tillämpningsområde skulle således harmoniera väl med regleringen i förordningen.

I den svenska språkversionen av dataskyddsförordningen anges i artikel 3.1 att förordningen ska tillämpas på behandling av personuppgifter inom ramen för verksamhet som bedrivs av personuppgiftsansvariga och personuppgiftsbiträden som är etablerade i unionen eller på en plats där en medlemsstats nationella rätt gäller enligt folkrätten,

oavsett om behandlingen utförs i unionen eller inte. Vid en jämförelse med andra språkversioner framgår dock att avsikten är att förordningen endast ska tillämpas vid behandling som sker inom ramen för den verksamhet som bedrivs på verksamhetsställen i unionen. Om en personuppgiftsansvarig är etablerad såväl inom som utanför unionen, ska förordningen således inte tillämpas på den behandling som sker endast inom ramen för den verksamhet som bedrivs vid verksamhetsstället i tredjeland. Justitiedepartementet har mot denna bakgrund gett in en begäran om korrigering av den svenska lydelsen av artikel 3.1 (dnr Ju2016/00482).

Vid mötena i kommissionens expertgrupp har framkommit att kommissionen förordar etableringslandsprincipen samt att flertalet medlemsstater avser att välja denna princip som utgångspunkt för sin nationella kompletteringslagstiftning. Ett val av etableringslandsprincipen innebär därför att risken för normkonflikter vid gränsöverskridande behandling av personuppgifter kan minimeras. Därmed minskar även risken för att det fria flödet av personuppgifter inom unionen hindras.

Det kan också konstateras att personuppgiftslagens reglering om tillämpningsområdet utgår från etableringslandsprincipen. Ett val av denna princip skulle således innebära en kontinuitet i förhållande till den nuvarande regleringen.

Mot denna bakgrund bör etableringslandsprincipen gälla som utgångspunkt för dataskyddslagens territoriella tillämpningsområde, i fråga om behandling som utförs inom ramen för den verksamhet som bedrivs vid ett verksamhetsställe i Sverige. Det saknar därmed betydelse var behandlingen faktiskt utförs och var den registrerade befinner sig. Omvänt kommer lagen, enligt huvudregeln, inte att gälla för personuppgiftsansvariga som saknar verksamhetsställe i Sverige, även om de behandlar uppgifter om personer i Sverige. Lagen kommer inte heller att gälla för behandling som utförs endast inom ramen för verksamhet som den personuppgiftsansvarige bedriver vid ett verksamhetsställe i ett annat EU-land, även om den personuppgiftsansvarige också har ett verksamhetsställe i Sverige.

Dataskyddsförordningen är enligt artikel 3.3 tillämplig på behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerad i unionen, men på en plats där en medlemsstats nationella rätt gäller enligt folkrätten. Som exempel nämns i skäl 25 en medlemsstats diplomatiska beskickning eller konsulat. På motsvarande sätt bör dataskyddslagen vara tillämplig vid behandling av personuppgifter som utförs av personuppgiftsansvariga som inte är etablerade i Sverige, men på en plats där svensk rätt gäller enligt folkrätten, till exempel vid svenska utlandsmyndigheter.

Dataskyddsförordningen är i vissa fall tillämplig även för personuppgiftsansvariga och personuppgiftsbiträden som inte alls är etablerade inom EU. Enligt artikel 3.2 är förordningen tillämplig, trots att etablering inom unionen saknas, om behandlingen avser registrerade i unionen och har anknytning till antingen utbjudande av varor eller tjänster till registrerade i unionen eller övervakning av registrerades beteende i unionen. Enligt dataskyddsförordningen gäller således i dessa fall

effektlandsprincipen. Det framstår som lämpligast att den nationella regleringen utgår från samma princip när det gäller personuppgiftsansvariga och personuppgiftsbiträden som inte är etablerade inom EU. Detta innebär att dataskyddslagen i sådana fall bör gälla vid behandling av personuppgifter som avser registrerade som befinner sig i Sverige, om behandlingen har anknytning till antingen utbjudande av varor eller tjänster till registrerade i Sverige eller övervakning av registrerades beteende i Sverige.

Samma åldersgräns för samtycke bör gälla för alla barn som bor i

Sverige

Dataskyddsutredningen har föreslagit att barn som har fyllt 13 år själva ska kunna lämna samtycke till behandling av personuppgifter vid erbjudande av informationssamhällets tjänster. Den föreslagna bestämmelsen utgör ett undantag från den 16-årsgräns som regleras i artikel 8 i dataskyddsförordningen. Utredningen har inte uttryckligen tagit ställning till vilket territoriellt tillämpningsområde som ett sådant undantag bör ha. Det framgår dock av utredningens resonemang att avsikten har varit att bestämmelsen bara ska gälla för barn i Sverige. Det kan också antas att syftet med artikel 8.1 andra stycket är att medlemsstaterna ska kunna föreskriva en annan åldersgräns om detta är motiverat mot bakgrund av förhållandena i just det landet.

Regeringen har ännu inte tagit ställning till frågan om åldersgränsen för barns samtycke bör sänkas och i så fall till vilken nivå. För det fall att det ska föreskrivas en åldersgräns som avviker från dataskyddsförordningens, bör dock en sådan bestämmelses tillämpningsområde inte följa etableringslandsprincipen. I annat fall skulle det kunna leda till olika åldersgränser för barn i Sverige beroende på vilken åldersgräns som valts i tjänsteleverantörens etableringsland. Det skulle också kunna leda till otillbörliga lättnader för företag och organisationer som är etablerade i Sverige och som riktar sig till barn i andra länder. Dessutom vore det olämpligt av Sverige att införa en sänkt åldersgräns som skulle kunna åberopas vid personuppgiftsbehandling avseende barn i andra medlemsstater, där lagstiftaren gjort en annan bedömning av sakfrågan.

Mot denna bakgrund bör en eventuell bestämmelse om barns samtycke gälla vid behandling av personuppgifter som avser barn som bor i Sverige, oavsett var de personuppgiftsansvariga eller deras biträden är etablerade. Detta hindrar inte det fria flödet av personuppgifter, eftersom en sådan bestämmelse skulle utgöra en lättnad för de personuppgiftsansvariga i förhållande till deras skyldigheter enligt förordningen.

6 Författningskommentar

1 kap. 1a §

Denna lag gäller vid behandling av personuppgifter som utförs av personuppgiftsansvariga eller personuppgiftsbiträden som är etablerade i Sverige, om behandlingen utförs inom ramen för verksamhet som bedrivs vid verksamhetsställen här i landet. Lagen gäller även vid behandling av personuppgifter som utförs av personuppgiftsansvariga som inte är etablerade i Sverige, men på en plats där svensk rätt gäller enligt folkrätten.

Lagen gäller också vid behandling av personuppgifter som avser registrerade som befinner sig i Sverige och som utförs av personuppgiftsansvariga eller personuppgiftsbiträden som endast är etablerade i tredjeland, om behandlingen

har anknytning till

1. utbjudande av varor eller tjänster till registrerade i Sverige, eller 2. övervakning av registrerades beteende i Sverige. Bestämmelsen i 2 kap. 2 § gäller vid behandling av personuppgifter som avser

barn som bor i Sverige, oavsett var de personuppgiftsansvariga eller deras biträden är etablerade.

Paragrafen avser lagens territoriella tillämpningsområde och motsvarar delvis 4 § PUL. Övervägandena finns i avsnitt 5.

Bestämmelserna i paragrafen anger i vilka fall lagens materiella bestämmelser om behandling av personuppgifter, dvs. 1–5 kap., är tillämpliga. Huvudregeln i första stycket första meningen innebär att frågan om lagens tillämplighet avgörs av var de personuppgiftsansvariga eller personuppgiftsbiträdena är etablerade. För att lagen ska vara tillämplig krävs att den aktuella behandlingen av personuppgifter utförs inom ramen för den verksamhet som bedrivs vid det svenska verksamhetsstället. Det saknar däremot betydelse var den faktiska behandlingen sker. Lagen är således, enligt huvudregeln, inte tillämplig vid behandling av personuppgifter som sker endast inom ramen för verksamhet vid ett verksamhetsställe i ett annat EU-land, även om behandlingen avser uppgifter om personer i Sverige. Med begreppet verksamhetsställe avses detsamma som i dataskyddsförordningen (jfr skäl 22 till förordningen). Personuppgiftsansvariga och biträden bör således anses etablerade genom ett verksamhetsställe i Sverige om de bedriver en faktisk och reell verksamhet med hjälp av en stabil struktur här i landet. Den rättsliga formen för en sådan struktur bör inte vara en avgörande faktor. Enligt första stycket andra meningen är etableringskriteriet också uppfyllt i fråga om personuppgiftsansvariga som är etablerade på en plats utanför riket där svensk rätt gäller enligt folkrätten. Med detta begrepp avses detsamma som i dataskyddsförordningen, jfr skäl 25. Det innebär exempelvis att behandling av personuppgifter som sker vid svenska utlandsmyndigheter omfattas av lagens bestämmelser.

Genom andra stycket klargörs att lagen under vissa förutsättningar också gäller för personuppgiftsansvariga och biträden som endast är etablerade i tredjeland, dvs. som saknar verksamhetsställe inom EU, i den mån dessa behandlar personuppgifter om individer som finns i

Sverige. För att lagen ska vara tillämplig krävs att behandlingen rör antingen utbjudande av varor eller tjänster till dessa individer eller övervakning av deras beteende i Sverige. Med övervakning av registrerades beteende avses detsamma som i dataskyddsförordningen, jfr skäl 24. För att avgöra om en viss behandling kan anses övervaka beteendet hos registrerade, bör det fastställas om fysiska personer spåras på internet, i synnerhet för att fatta beslut rörande dessa personer eller för att analysera eller förutsäga deras personliga preferenser, beteende och attityder.

Genom tredje stycket görs undantag från etableringslandsprincipen i fråga om bestämmelsen om barns samtycke i 2 kap. 2 §. Den åldersgräns som anges där gäller i stället oavsett var de personuppgiftsansvariga eller biträdena är etablerade, dock endast vid behandling av personuppgifter som avser barn som bor i Sverige. Bestämmelsen är således inte tillämplig avseende barn som endast är på genomresa eller besök i landet.