Anpassning av valdatabaslagen till EU:s dataskyddsförordning

Betänkande 2017/18:KU24

Konstitutionsutskottets betänkande

2017/18:KU24

Anpassning av valdatabaslagen till EU:s dataskyddsförordning

Sammanfattning

Utskottet föreslår att riksdagen antar regeringens förslag till lag om ändring i lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar.

Genom lagändringarna anpassas lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar till EU:s dataskyddsförordning, som ska börja tillämpas den 25 maj 2018.

Lagändringarna föreslås träda i kraft den 25 maj 2018.

Det har inte väckts någon motion med anledning av propositionen.

I betänkandet finns ett särskilt yttrande (SD).

Behandlade förslag

Proposition 2017/18:115 Anpassning till EU:s dataskyddsförordning av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar.

Innehållsförteckning

Utskottets förslag till riksdagsbeslut

Redogörelse för ärendet

Ärendet och dess beredning

Bakgrund och propositionens huvudsakliga innehåll

Utskottets överväganden

Anpassning av valdatabaslagen till EU:s dataskyddsförordning

Särskilt yttrande

Anpassning av valdatabaslagen till EU:s dataskyddsförordning (SD)

Bilaga 1
Förteckning över behandlade förslag

Propositionen

Bilaga 2
Regeringens lagförslag

Utskottets förslag till riksdagsbeslut

Anpassning av valdatabaslagen till EU:s dataskyddsförordning

Riksdagen antar regeringens förslag till lag om ändring i lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar.

Därmed bifaller riksdagen proposition 2017/18:115.

Stockholm den 10 april 2018

På konstitutionsutskottets vägnar

Andreas Norlén

Följande ledamöter har deltagit i beslutet: Andreas Norlén (M), Björn von Sydow (S), Hans Ekström (S), Annicka Engblom (M), Veronica Lindholm (S), Jonas Millard (SD), Marta Obminska (M), Jonas Gunnarsson (S), Per-Ingvar Johnsson (C), Agneta Börjesson (MP), Dag Klackenberg (M), Fredrik Eriksson (SD), Tina Acketoft (L), Mia Sydow Mölleby (V), Tuve Skånberg (KD), Laila Naraghi (S) och Ida Karkiainen (S).

Redogörelse för ärendet

Ärendet och dess beredning

Den 27 april 2016 utfärdades Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. Dataskyddsförordningen börjar tillämpas den 25 maj 2018.

Förordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och ersätter Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, nedan kallat dataskyddsdirektivet. Detta innebär bl.a. att personuppgiftslagen (1998:204), förkortad PUL, måste upphävas och att nationell lagstiftning som i dag hänvisar eller förhåller sig till PUL:s bestämmelser behöver ses över och anpassas till den nya EU-regleringen.

I proposition 2017/18:115 finns förslag till anpassningar av lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar, nedan kallad valdatabaslagen, till dataskyddsförordningen.

Justitiedepartementet har i en promemoria lämnat förslag till ändringar i valdatabaslagen för att anpassa lagen till dataskyddsförordningen. Promemorian har remissbehandlats. Remissvaren finns tillgängliga hos Justitiedepartementet (Ju2017/05728/L6).

Lagrådet har granskat lagförslaget och hade inga invändningar. I förhållande till förslaget i lagrådsremissen har vissa språkliga och redaktionella ändringar gjorts.

En förteckning över de behandlade förslagen finns i bilaga 1. Regeringens lagförslag finns i bilaga 2.

Bakgrund och propositionens huvudsakliga innehåll

Den generella regleringen om behandling av personuppgifter inom EU finns i dag i dataskyddsdirektivet. Direktivet har genomförts i svensk rätt huvudsakligen genom PUL.

PUL, som i princip följer direktivets struktur, är tillämplig även utanför EU-rättens område och gäller både för myndigheter och för enskilda som behandlar personuppgifter. Lagen är samtidigt subsidiär, vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning.

Det finns en stor mängd sådana sektorsspecifika författningar, s.k. registerförfattningar, som främst reglerar hur olika myndigheter får behandla personuppgifter. Valdatabaslagen är ett exempel på sådan sektorsspecifik reglering.

Dataskyddsförordningen är direkt tillämplig i Sverige. Förordningen kräver dock, som nämns i det föregående, att svenska författningar anpassas för att säkerställa både att förordningen får ett effektivt genomslag och att svensk rätt inte strider mot förordningen.

I propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås bl.a. att PUL ska upphävas och att de i förhållande till dataskyddsförordningen kompletterande bestämmelser som är av generell karaktär ska samlas i en ny övergripande lag om dataskydd, nedan kallad dataskyddslagen. Dataskyddslagen föreslås vara subsidiär i förhållande till annan lag eller förordning och möjliggör därmed avvikande bestämmelser i registerförfattningar. Propositionen Ny dataskyddslag behandlas i konstitutionsutskottets betänkande 2017/18:KU23.

I denna proposition (prop. 2017/18:115) finns förslag till anpassningar av valdatabaslagen till dataskyddsförordningen. Förslagen utgår från att den svenska generella dataskyddsregleringen i framtiden i allt väsentligt kommer att ha den utformning som föreslås i propositionen Ny dataskyddslag.

Utskottets överväganden

Anpassning av valdatabaslagen till EU:s dataskyddsförordning

Utskottets förslag i korthet

Riksdagen antar regeringens förslag till lag om ändring i lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar.

Jämför det särskilda yttrandet (SD).

Gällande rätt

Valdatabaslagen tillämpas vid behandling av personuppgifter i den centrala valmyndighetens och länsstyrelsernas verksamhet med val och folkomröstningar enligt vallagen (2005:837), folkomröstningslagen (1979:369) och lagen (1994:692) om kommunala folkomröstningar. Lagen är också tillämplig vid personuppgiftsbehandling i den centrala valmyndighetens, Sametingets och länsstyrelsens verksamhet med val enligt sametingslagen (1992:1433). Bestämmelserna i lagen är tillämpliga om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. (Se 1 kap. 1 § valdatabaslagen.)

Lagen gäller i stället för PUL med vissa undantag som anges i 1 kap. 3 § och 3 kap.

Till valdatabaslagen hör förordningen (2002:61) om behandling av personuppgifter i verksamhet med val, som bl.a. innehåller vissa bestämmelser om överföring av personuppgifter till tredjeland och utlämnande av uppgifter till enskilda på medier för automatiserad behandling.

Propositionen

Det huvudsakliga syftet med propositionen är, som redan har framgått, att föreslå de anpassningar som är nödvändiga i valdatabaslagen med anledning av den nya dataskyddsregleringen. Det innebär att merparten av bestämmelserna i valdatabaslagen kvarstår oförändrade och att flera bestämmelser anpassas till dataskyddsförordningen utan att det sakliga innehållet förändras på ett avgörande sätt. I framställningen nedan redogörs för regeringens överväganden när det gäller vissa bestämmelser i lagförslaget. Förslagen innebär bl.a. att ett antal hänvisningar till PUL ska upphävas och att dataskyddsförordningens bestämmelser i stället ska gälla.

Utöver de bestämmelser som redovisas nedan behandlas i propositionen även frågor om personuppgiftsansvar (avsnitt 5.5), behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser (avsnitt 5.6), automatiserat beslutsfattande (avsnitt 5.8), avgifter (avsnitt 5.9) samt behovet av ett särskilt författningsstöd vid behandling av personuppgifter i medborgar- och folkinitiativ (avsnitt 6).

Valdatabaslagen behålls

Regeringen konstaterar att regleringen i dataskyddsförordningen innebär att det även fortsättningsvis finns ett utrymme för sådan sektorsspecifik särreglering om behandling av personuppgifter som finns i de svenska registerförfattningarna, däribland valdatabaslagen.

Det anförs att den behandling av personuppgifter som regleras i valdatabaslagen är nödvändig för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (jfr artikel 6.1 c och 6.1 e i dataskyddsförordningen). Vidare konstateras att den rättsliga grunden för personuppgiftsbehandlingen är författningsreglerad i svensk rätt (jfr artikel 6.3 i dataskyddsförordningen).

Regeringen bedömer således dels att det finns utrymme för att behålla nationell reglering av myndigheters personuppgiftsbehandling, dels att det finns rättslig grund för den behandling av personuppgifter som regleras i valdatabaslagen.

Förhållandet till den generella dataskyddsregleringen tydliggörs

I valdatabaslagen finns bestämmelser som hänvisar till PUL (se t.ex. 1 kap. 2 § första stycket, 1 kap. 3 och 7 §§ och 3 kap.). I propositionen konstateras att bestämmelserna om hur valdatabaslagen förhåller sig till den generella dataskyddsregleringen måste ändras med anledning av att dataskyddsförordningen börjar tillämpas den 25 maj 2018 och att PUL då upphävs.

Regeringen föreslår därför att 1 kap. 2 § valdatabaslagen ändras så att det klargörs att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Vidare föreslås att det i 1 kap. 3 § upplyses om hur valdatabaslagen förhåller sig till dataskyddslagen och föreskrifter som har utfärdats i anslutning till den lagen.

Ny ändamålsbestämmelse som hänvisar till finalitetsprincipen

En allmän dataskyddsrättslig princip är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt den s.k. finalitetsprincipen får uppgifterna inte senare behandlas för något annat ändamål som är oförenligt med insamlingsändamålen. Detta kommer till uttryck bl.a. i 9 § första stycket c och d PUL. När dataskyddsförordningen börjar tillämpas kommer dessa principer att följa av artikel 5.1 b i förordningen.

Mot bakgrund av att PUL kommer att upphöra och av tydlighetsskäl föreslås i propositionen att det införs en ny ändamålsbestämmelse, 1 kap. 5 a §, i valdatabaslagen som också ger uttryck för finalitetsprincipen.

Vissa förändringar när det gäller enskildas rättigheter

I valdatabaslagen finns vissa bestämmelser som tar sikte på enskildas rättigheter. Av 1 kap. 2 § andra stycket framgår att den registrerade inte har rätt att motsätta sig sådan behandling som är tillåten enligt lagen, och i 3 kap. regleras rätten till information, rättelse, skadestånd och överklagande.

Nedan redogörs för regeringens överväganden i fråga om dessa bestämmelser i valdatabaslagen.

Registrerade ska fortsatt inte ha rätt att motsätta sig personuppgiftsbehandling enligt valdatabaslagen

När det gäller frågan om begränsning i registrerades rätt att motsätta sig behandling av personuppgifter bedömer regeringen, efter en genomgång av relevanta regler i dataskyddsförordningen, att bestämmelsen i 1 kap. 2 § valdatabaslagen i princip kan behållas, men att bestämmelsen behöver anpassas språkligt till dataskyddsförordningen. Regeringen föreslår därför att bestämmelsen omformuleras och förs in som en ny bestämmelse, 1 kap. 8 §, i valdatabaslagen.

Registrerades rätt till information och tillgång till personuppgifter ska inte begränsas i valdatabaslagen

Regeringen konstaterar att dataskyddsförordningen innehåller en omfattande reglering av registrerades rättigheter. Mot bakgrund av den regleringen bör enligt regeringens bedömning den registrerades rätt till information och rätt att få tillgång till personuppgifter inte begränsas i valdatabaslagen. I propositionen föreslås därför att bestämmelserna i 3 kap. 1 och 2 §§ valdatabaslagen ska upphävas.

Bestämmelserna i valdatabaslagen om rättelse, skadestånd och överklagande upphävs

Regeringen konstaterar att dataskyddsförordningens bestämmelse om rättelse kommer att bli direkt tillämplig även vid sådan personuppgiftsbehandling som sker enligt valdatabaslagen.

När det gäller skadestånd hänvisar regeringen till dataskyddsförordningens reglering om rätten till ersättning och anför att enligt förslaget till dataskyddslag ska rätten till ersättning enligt förordningen gälla även vid överträdelser av författningar som kompletterar dataskyddsförordningen.

Vad slutligen gäller rätten att överklaga beslut som fattats av en personuppgiftsansvarig myndighet noterar regeringen att dataskyddslagen innehåller förslag om detta och att dataskyddslagens överklagandebestämmelser kommer att vara generellt tillämpliga.

Regeringen konstaterar mot bakgrund av ovanstående att det inte finns något behov av särskilda bestämmelser i valdatabaslagen om rättelse, skadestånd eller överklagande. Regeringen föreslår därför att dessa bestämmelser i valdatabaslagen ska upphävas.

Utskottets ställningstagande

Utskottet anser att riksdagen av de skäl som anförs i propositionen bör anta regeringens lagförslag.

Särskilt yttrande

Anpassning av valdatabaslagen till EU:s dataskyddsförordning (SD)

Jonas Millard (SD) och Fredrik Eriksson (SD) anför:

Sverigedemokraterna saknade representation i Europaparlamentet och rådet när originalförslaget till EU:s dataskyddsförordning introducerades. Vi har därför inte haft möjlighet att lägga fram ändringsförslag eller reservationer. När slutkompromissen var uppe för beslut i Europaparlamentets utskott för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor röstade Sverigedemokraterna nej till förordningen.

Medan Sverigedemokraterna ställer sig positiva till en ökad reglering kring användningen av personuppgifter är vi oroade över dataskyddsförordningens komplexitet när det gäller framför allt små och medelstora företag. Vi ställer oss därutöver kritiska till den maktförflyttning som dataskyddsförordningen och liknande EU-förordningar med tydliga överstatliga och federala inslag innebär och anser bestämt att detta bör motarbetas.

Givet de förutsättningar som antagandet inom EU av dataskyddsförordningen innebär motsätter vi oss dock inte regeringens förslag i nu aktuell proposition.

Bilaga 1

Förteckning över behandlade förslag

Propositionen

Proposition 2017/18:115 Anpassning till EU:s dataskyddsförordning av lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar:

Riksdagen antar regeringens förslag till lag om ändring i lagen (2001:183) om behandling av personuppgifter i verksamhet med val och folkomröstningar.

Bilaga 2

Regeringens lagförslag