RIF, rådspm - dataskyddsförordningen, dp.3

Bilaga till dokument från EU-nämnden 2014/15:2FF015

Rådspromemoria

2014-11-21

Justitiedepartementet

Grundlagsenheten

RIF, dp. 3

RIF, dp. 3

Rådets möte för rättsliga och inrikes frågor (RIF) den 4–5 december 2014

Dagordningspunkt 3.

Rubrik: Förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning)

– Partiell allmän inriktning

– Riktlinjedebatt

Dokument: det har ännu inte presenterats något dokument för behandlingen i rådet

Tidigare dokument:

- KOM (2012) 11 slutlig Förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter

- Faktapromemoria 2011/12:FPM117

Tidigare behandlad vid samråd med EU-nämnden: 2012-10-19, 2012-11-30, 2013-03-01, 2013-05-31, 2013-10-04, 2013-11-29, 2014-02-28, 2014-05-30 och 2014-10-03

Tidigare behandlad vid överläggning med eller information till konstitutionsutskottet och vid information till justitieutskottet:

- konstitutionsutskottet: 2012-02-16, 2012-03-20, 2012-11-20, 2013-01-22, 2013-05-28 och 2013-10-03

- justitieutskottet: 2013-05-30, 2013-10-03, 2014-02-27 och 2014-05-27

Bakgrund

Den viktigaste EU-rättsakten på dataskyddsområdet är det s.k. dataskyddsdirektivet som antogs 1995. Direktivets syfte är dels att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter, dels att underlätta ett fritt flöde av personuppgifter mellan medlemsstaterna. Dataskyddsdirektivet har i svensk rätt genomförts genom personuppgiftslagen och ett antal särregleringar i förhållande till denna lag, t.ex. patientdatalagen och kustbevakningsdatalagen.

Den 25 januari 2012 presenterade kommissionen ett förslag till en genomgripande reform av EU:s regler om skydd för personuppgifter. Förslaget innebär bl.a. att dataskyddsdirektivet ska ersättas av en allmän dataskyddsförordning. Förslaget till förordning har därefter förhandlats i behörig rådsarbetsgrupp.

Förslaget behandlades vid RIF-råden i december 2012 och januari och mars 2013 varvid rådet uttalade sitt stöd för att införa en riskbaserad ansats i regleringen samt för att skapa flexibilitet för den offentliga sektorn. Ministrarna har också gett stöd till en utvidgning av det s.k. hushållsundantaget.

Vid RIF-rådet i juni 2013 diskuterades vissa nyckelfrågor som ordförandeskapet identifierat efter den första läsningen av förordningen. Inför rådsmötet arbetade ordförandeskapet även om stora delar av förslaget, bl.a. för att införa en mer riskbaserad ansats och för att skapa flexibilitet för den offentliga sektorn i regleringen. Dessutom införde ordförandeskapet efter förslag från bl.a. Sverige en särskild artikel om tillgång till allmänna handlingar.

Vid RIF-rådet i juli 2013 diskuterades den s.k. mekanismen för enhetlighet, dvs. den del av regleringen som syftar till att säkerställa en konsekvent och enhetlig tillämpning av dataskyddsreglerna inom EU.

Vid RIF-rådet i oktober 2013 hölls en orienteringsdebatt kring regleringen om behörig tillsynsmyndighet vid gränsöverskridande ärenden.

Vid RIF-rådet i december 2013 diskuterades mekanismen för enhetlighet på nytt.

Vid RIF-rådet i mars 2014 hölls en riktlinjedebatt bl.a. om förordningens territoriella tillämpningsområde och bestämmelserna om överföring av personuppgifter till tredjeland.

Vid RIF-rådet i juni 2014 träffades en överenskommelse om partiell allmän inriktning när det gäller förordningens kapitel V, som innehåller bestämmelser om överföring av personuppgifter till länder och internationella organisationer utanför EU och EES.

Vid RIF-rådet i oktober 2014 träffades en överenskommelse om partiell allmän inriktning när det gäller kapitel IV, som främst innehåller bestämmelser om de personuppgiftsansvarigas skyldigheter.

Som förbehåll för de partiella allmänna inriktningarna har gällt att inget är överenskommet förrän allt är överenskommet, att överenskommelsen inte binder förhandlingarna till några horisontella frågor och att beslutet inte ger ordförandeskapet mandat att inleda triologer med Europaparlamentet.

Vid nu aktuellt rådsmöte är avsikten att nå en överenskommelse om partiell allmän inriktning rörande artiklarna 1(2)a, 6(3) och 21 och hela kapitel 9. De aktuella bestämmelserna reglerar hur förordnings regelverk förhåller sig till den offentliga sektorn och vilket utrymme medlemsstaterna ska ha att i vissa situationer och vid viss personuppgiftsbehandling anta specifika, och även i vissa fall avvikande, bestämmelser i förhållande till förordningens regelverk. Vidare är avsikten att hålla en riktlinjedebatt om ytterligare någon bestämmelse/fråga i förordningen, oklart i nuläget om vad.

Rättslig grund och beslutsförfarande

Den rättsliga grunden för förslaget är artikel 16 i Fördraget om Europeiska unionens funktionssätt (FEUF). Beslut fattas genom det ordinarie beslutsförfarandet, vilket betyder att det krävs kvalificerad majoritet i rådet samt enighet med Europaparlamentet för att anta den föreslagna förordningen.

Svensk ståndpunkt

Regeringen ser mycket positivt på det förslag till reglering i artikel 1(2)a och 6(3) som rådet arbetat fram.

Sveriges grundinställning i förhandlingarna om en ny dataskydds-reglering har från början varit att det är av yttersta vikt att medlemsstaterna i så stor utsträckning som möjligt ges behörighet att i nationell lagstiftning reglera myndigheternas, och andra organ som utför myndighetsutövning, behandling av personuppgifter. Detta är en av flera omständigheter som motiverat Sverige att driva linjen att den aktuella rättsakten ska ges formen av ett direktiv i stället för en förordning.

Det förslag som nu arbetats fram i artikel 1(2)a ger medlemsstaterna stor flexibilitet att i nationell lagstiftning inneha, och anta, specifika bestämmelser för registeransvariga och registerförare i den offentliga verksamheten. Bestämmelsen träffar både myndigheter och privata subjekt som utövar myndighetsutövning. Den ger vidare medlemsstaterna rätt att ha specifika bestämmelser vid behandling av personuppgifter som sker för att uppfylla rättsliga förpliktelser eller när behandlingen utförs för att fullgöra en uppgift av allmänt intresse. I den framarbetade artikel 6(3) ges exempel på vilken typ av specifika bestämmelser medlemsstaterna kan anta inom ramen för den s.k. minimiharmoniseringsbestämmelsen i artikel 1(2)a för den offentliga verksamheten.

Som en ytterligare ansats att utöka medlemsstaterna rätt att anta särskilda bestämmelser i nationell rätt ger det nu framarbetade förslaget till artikel 21 medlemsstaterna möjlighet att begränsa vissa rättigheter och skyldigheter i förordningen genom nationell lagstiftning. Detta under förutsättning att dessa begränsningar utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda

ett viktigt allmänt intresse (t.ex. den nationella säkerheten),

den registrerade, eller

rättigheter och friheter som tillkommer andra enskilda.

Regeringen ser sammantaget mycket positivt på det utrymme som medlemsstaterna ges i de föreslagna regleringarna i artikel 1(2) a, 6 (3) och 21 att anta, inte bara specifika, utan i vissa fall även avvikande nationella bestämmelser i förhållande till förordningen när det gäller den offentliga sektorn.

I kapitel 9, som även det är föremål för beslut om en partiell allmän inriktning av rådet, finns vissa särskilda regler om att medlemsstaterna, t.ex. av hänsyn till yttrandefriheten och offentlighetsprincipen, i vissa fall ska få göra undantag för förordningens regelverk. Det är av yttersta vikt att värna om yttrandefriheten och att det i förordningen tas tillräcklig hänsyn till den svenska offentlighetsprincipen. Regeringen ser positivt på att förordningen ger tydligt stöd för offentlighetsprincipen och att regleringen om yttrandefriheten i någon mån utvidgas i förhållande till vad som gäller i dag. Förhandlingar pågår alltjämt i fråga om den närmare utformningen av denna reglering. För regeringen är det viktigt att regleringen inte kommer i konflikt med våra grundlagar.

I kapitel 9 finns även bestämmelser som reglerar möjligheten för medlemsstaterna att göra undantag från vissa av förordningens regler vid behandling av personuppgifter i anställningsförhållanden och för arkivändamål och statistiska, vetenskapliga och historiska ändamål. Regeringen ser positivt på hur denna reglering har utformats i förslaget. För regeringen är det viktigt att det blir tydligt att vi inom ramen för reglering får förutsättningar att i utökad utsträckning bedriva viktig och relevant registerbaserad forskning. Det är också viktigt att det finns ett utrymme för nationell reglering för behandling av personuppgifter för arkivändamål och för statistiska, vetenskapliga och historiska ändamål.

Europaparlamentets inställning

I Europaparlamentet behandlas dataskyddsförordningen i LIBE-utskottet. Rapportören, Jan Philipp Albrecht, lade fram ett förslag till betänkande i december 2012 och den 22 oktober 2013 röstade LIBE fram ett förslag. Den 12 mars 2014 antog Europarlamentet sin resolution till lagstiftingen (första läsning).

Förslaget

Det huvudsakliga syftet med kommissionens förslag till dataskyddsförordning är att ytterligare harmonisera och effektivisera skyddet av personuppgifter i syfte att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. I och med att regleringen ges formen av en förordning kommer den att bli direkt tillämplig i alla medlemsstater när den trätt i kraft. Om förslaget genomförs kommer förordningen således inte att ersätta bara dataskyddsdirektivet utan även personuppgiftslagen. Förslaget till förordning lämnar dock ett visst utrymme för nationell reglering. Exempelvis är det möjligt att i nationell rätt fastställa vad som är ett allmänt intresse som kan ge rätt att behandla personuppgifter samt att under vissa förutsättningar införa undantag från bestämmelserna i förordningen. Vidare är det möjligt att införa viss nationell reglering inom vissa i förordningen utpekade områden, t.ex. arbetsmarknadsområdet. Kommissionen framhåller att förslaget kommer att undanröja den fragmentariska dataskyddsreglering som nu finns inom EU. Enligt kommissionen kommer detta att både förenkla för företagen och stärka den enskildes rätt till skydd för sina personuppgifter.

Förslaget till förordning baseras till stor del på den struktur och reglering som finns i det nu gällande dataskyddsdirektivet. Förordningen innehåller dock även en rad nyheter jämfört med dataskyddsdirektivet. För en mer utförlig beskrivning av förslaget hänvisas till faktapromemorian.

Gällande svenska regler och förslagets effekter på dessa

Dataskyddsdirektivet har i svensk rätt genomförts dels genom personuppgiftslagen, dels genom ett stort antal författningar som innehåller särregleringar om behandling av personuppgifter för olika myndigheter och sektorer.

Kommissionens förslag innebär att dataskyddsdirektivet ska ersättas av en allmän dataskyddsförordning. Eftersom förordningen kommer att bli direkt tillämplig i medlemsstaterna kommer den, om förslaget genomförs, att ersätta personuppgiftslagen.

Ekonomiska konsekvenser

I dagsläget är det inte möjligt att närmare bedöma vilka budgetära eller samhällsekonomiska konsekvenser ett genomförande av förslaget kommer att få för företag och privatpersoner i Sverige och för svensk offentlig förvaltning. Det bör dock kunna förutsättas att eventuella budgetära konsekvenser inom EU ska kunna finansieras genom omfördelningar inom befintliga budgetramar.