Faktapromemoria

Riksdagsår: 2025/26

FPM-nummer: 104

2026-08-13

Ändringar i dataskyddsförordningen för EU:s institutioner, organ och byråer

Justitiedepartementet

COM(2026) 314 Celexnummer 52026PC0314

Förslag till Europaparlamentets och Rådets förordning om ändring av Europaparlamentets och rådets förordning (EU) 2018/1725 om skydd förfysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter

Sammanfattning

Den 23 juni 2026 presenterade kommissionen ett förslag på ändringar i förordning (EU) 2018/1725 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer (EUDPR). Förslaget är en del av ett större lagstiftningspaket från kommissionen på det brottsbekämpande området. Övriga delar av paketet rör framför allt ändringar i förordningarna för Europol och Eurojust.

De föreslagna ändringarna i EUDPR syftar till att förenkla och förbättra reglerna för behandling av personuppgifter för EU:s organ och byråer inom ramen för det straffrättsliga och polisiära samarbetet. Framför allt berörs Europol, Eurojust, Europeiska åklagarmyndigheten (Eppo) och Frontex. Målet är att förenkla och skapa enhetlighet i det dataskyddsrättsliga regelverket för att underlätta utbytet av information och stärka unionens kapacitet att förebygga, upptäcka, utreda och åtala gränsöverskridande brott.

Regeringen stöder ambitionen att underlätta informationsutbytet mellan unionens organ och byråer verksamma inom områdena straffrättsligt samarbete och polissamarbete genom att göra de dataskyddsrättsliga reglerna mer enhetliga. Regeringen är även positiv till ambitionen att göra det dataskyddsrättsliga regelverket för unionens institutioner, organ och byråer mer ändamålsenligt och förutsägbart. Eftersom det aktuella förslaget är en del av ett större lagstiftningspaket och har samband med andra unionsrättsliga regelverk är det viktigt att de föreslagna lagstiftningsåtgärderna hanteras utifrån ett helhetsperspektiv. Regeringen avser att verka för ändamålsenliga och effektiva regler samtidigt som skyddet för den personliga integriteten upprätthålls. Regeringen ska vidare verka för att kostnaderna begränsas både på EU-budgeten och statens budget.

1. Förslaget

1.1 Ärendets bakgrund

Dataskydd är en grundläggande rättighet i EU. Denna rättighet fastställs i artikel 8 i EU:s stadga om de grundläggande rättigheterna och artikel 16 i fördraget om Europeiska unionens funktionssätt (FEUF). EU:s dataskyddslagstiftning består huvudsakligen av EU:s allmänna dataskyddsförordning (förordning [EU] 2016/679, GDPR), EU:s dataskyddsdirektiv (direktiv [EU] 2016/680, LED) och dataskyddsförordningen för EU:s institutioner, organ och byråer (EUDPR).

Till skillnad från vad som gäller i medlemsstaterna är inte GDPR och LED tillämpliga vid EU:s institutioner, organ och byråer. För att skapa ett sammanhängande dataskyddsregelverk för EU:s institutioner, organ och byråer antogs den 23 oktober 2018 EUDPR. I förordningen, som trädde i kraft den 11 december 2018, fastställs regler för behandling av personuppgifter som utförs av EU:s institutioner, organ och byråer. Förordningen är anpassad till GDPR och LED och baseras i stor utsträckning på strukturen och regleringen i GDPR. Utöver EUDPR finns särskilda dataskyddsrättsliga bestämmelser i regelverken för respektive EU-organ.

Kapitel IX i EUDPR reglerar behandlingen av operativa personuppgifter. Med operativa personuppgifter avses personuppgifter som behandlas när unionens organ och byråer utövar verksamhet som omfattas av områdena straffrättsligt samarbete respektive polissamarbete enligt tredje delen avdelning V kapitel 4 och 5 i FEUF. De aktörer som berörs är främst Europol, Eurojust, Eppo och Frontex.

Kommissionen har i uppdrag att se över det dataskyddsrättsliga regelverket som reglerar behandlingen av operativa uppgifter (artikel 98 EUDPR). I en rapport från oktober 2022 pekade kommissionen på behovet av lagstiftningsåtgärder för att minska bl.a. inkonsekvenser mellan kapitel IX och andra bestämmelser i EUDPR samt det förhållandet att Eppo har en helt fristående dataskyddsrättslig reglering.[i]

Kommissionens nu aktuella förslag på ändringar i EUDPR presenterades den
23 juni 2026. Förslaget syftar främst till att förenkla och säkerställa enhetlighet i regelverket, särskilt genom att samordna relevanta regler mellan EU:s organ och byråer som behandlar operativa personuppgifter, samt till att integrera Eppo i förordningen. Förslaget är en del av ett större lagstiftningspaket från kommissionen på det brottsbekämpande området.

1.2 Förslagets innehåll

I det följande redogörs för de fyra huvudsakliga mål som kommissionen lyft fram med förslaget.

1.2.1 Att säkerställa en enhetlig tillämpning

Kommissionen föreslår att tillämpningsområdet för kapitel IX i EUDPR ska utökas så att Eppo omfattas. Eppo har för närvarande en egen förordning vars dataskyddsrättsliga bestämmelser i viss utsträckning avviker från motsvarande bestämmelser i kapitel IX. Avsikten med förslaget är att integrera Eppo i EUDPR utan att det påverkar de specifika och nödvändiga dataskyddsregler som finns i Eppo:s egna förordning. Syftet är att säkerställa att EUDPR kan tillämpas av alla EU:s institutioner, organ och byråer som hanterar operativa personuppgifter inom det brottsbekämpande området för att på så sätt säkerställa enhetlighet i de regler som tillämpas.

1.2.2 Att stärka rättssäkerheten

Det andra målet handlar om att konsolidera reglerna som gäller vid unionsorganens behandling av operativa personuppgifter. För närvarande föreskrivs att endast artikel 3 och kapitel IX är tillämpliga vid behandlingen av operativa personuppgifter. Det har lett till att det utformats olika bestämmelser som rör sådan behandling i rättsakterna för Europol, Eurojust och Eppo. Det har även lett till osäkerhet om och i vilken utsträckning vissa andra bestämmelser i EUDPR, om t.ex. dataskyddsombud, registerföring och samarbete mellan tillsynsmyndigheter, är tillämpliga när motsvarande bestämmelser inte finns i regleringen om operativa personuppgifter i kapitel IX eller i andra rättsakter. Det finns även behov av att anpassa EUDPR till LED genom att skapa gemensamma villkor för överföring av personuppgifter till tredjeländer och internationella organisationer. Enligt kommissionen undergräver avsaknaden av en enhetlig reglering rättssäkerheten och skapar praktiska hinder för ett effektivt samarbete mellan unionens aktörer vid datadelning på det brottsbekämpande området.

1.2.3 Att effektivisera Europeiska datatillsynsmannens tillsyn

För närvarande regleras befogenheterna för Europeiska datatillsynsmannen (EDPS) i de olika rättsakterna för Europol, Eurojust och Eppo medan Frontexs rättsakt saknar motsvarande reglering. Förslaget syftar till att förhindra dubbelreglering och inkonsekvenser genom att skapa en enhetlig reglering för EDPS:s tillsyn över behandlingen av operativa personuppgifter.

1.2.4 Att strömlinjeforma regelverken

Det fjärde och sista målet handlar om att enhetliggöra de dataskyddsrättsliga reglerna för berörda organ och byråer när de behandlar operativa personuppgifter. Det handlar bl.a. om att anpassa EUDPR till grundläggande principer och regler på det dataskyddsrättsliga området. Det handlar även om att EUDPR ska anpassas till de förenklingsförslag i GDPR som förhandlas inom ramen för det s.k. digitala omnibuspaketet [ii]. Förslagen handlar t.ex. om att anpassa regler om automatiserat beslutsfattande och om ändrade krav på när och hur anmälan av en personuppgiftsincident ska göras till EDPS.

1.3 Gällande svenska regler och förslagets effekt på dessa

Förslaget syftar till att reglera behandling av personuppgifter som sker i EU:s institutioner, organ och byråer och inte sådan behandling som sker i medlemsstaterna. Förslaget bedöms bl.a. mot den bakgrunden i nuläget inte ha några effekter på svenska regler, inklusive grundlagarna.

1.4 Budgetära konsekvenser och konsekvensanalys

Förslaget bedöms inte påverka medlemsstaternas eller EU:s budget.

Kommissionen har inte genomfört någon konsekvensanalys eftersom omfattningen av förslaget anses vara begränsat, främst vara av teknisk natur och endast påverka ett mindre antal EU-organ. Kommissionen anger vidare att förslaget förväntas ha minimal påverkan på grundläggande rättigheter liksom inga ekonomiska, sociala eller miljömässiga konsekvenser. Regeringen delar kommissionens bedömning.

2. Ståndpunkter

2.1 Preliminär svensk ståndpunkt

Regeringen har en budgetrestriktiv hållning och anser att eventuella utgiftsökningar inom EU:s budget ska finansieras genom omprioriteringar inom befintliga ramar. Den fleråriga budgetramen för perioden 2028–2034 har ännu inte fastställts och behandlingen av förslaget bör därför inte föregripa de pågående förhandlingarna om nästa fleråriga budgetram. Regeringens ståndpunkter avseende övergripande principer för den fleråriga budgetramen och dess storlek behandlas i Fakta-PM 2025/26:FPM3.

2.2 Medlemsstaternas ståndpunkter

Medlemsstaternas ståndpunkter till förslaget är ännu inte kända.

2.3 Institutionernas ståndpunkter

Institutionernas ståndpunkter till förslaget är ännu inte kända.

2.4 Remissinstansernas och andra intressenters ståndpunkter

Förslaget har inte remitterats.

3. Förslagets förutsättningar

3.1 Rättslig grund och beslutsförfarande

Förslaget har sin rättsliga grund i artikel 16 i FEUF.

Förslaget ska antas genom det ordinarie lagstiftningsförfarandet enligt artikel 294 i FEUF. Europaparlamentet är medbeslutande. Rådet antar sin ståndpunkt med kvalificerad majoritet.

3.2 Subsidiaritets- och proportionalitetsprinciperna

Eftersom endast EU kan anta regler som styr hur EU:s institutioner, organ och byråer behandlar personuppgifter bedömer kommissionen att förslaget inte medför några subsidiaritetsfrågor. Regeringen bedömer att förslaget omfattas av EU:s exklusiva kompetens och att det är förenligt med subsidiaritetsprincipen (jfr även regeringens bedömning i FaktaPM 2016/17:FPM64).

Kommissionen gör ingen bedömning av om förslaget är förenligt med proportionalitetsprincipen.

Målet med förslaget är att förenkla och skapa enhetlighet i det dataskyddsrättsliga regelverket för att underlätta utbytet av information och stärka unionens kapacitet att förebygga, upptäcka, utreda och åtala gränsöverskridande brott. Regeringen anser att de föreslagna ändringarna inte går utöver vad som krävs för att åstadkomma det eftersträvade syftet. Regeringen bedömer således att förslaget är förenligt med proportionalitetsprincipen.

4. Övrigt

4.1 Fortsatt behandling av ärendet

Förslagen kommer att behandlas i rådsarbetsgruppen för dataskydd. Ett första möte hölls den 6 juli 2026 och ytterligare fem möten är inplanerade under 2026.

4.2 Fackuttryck och termer

[i] Communication - First report on the application of the Data Protection Regulation for European Union institutions, bodies, offices and agencies (Regulation 2018/1725).

[ii] Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om ändring av förordningarna (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 och direktiven 2002/58/EG, (EU) 2022/2555 och (EU) 2022/2557 vad gäller förenkling av lagstiftningsramen på det digitala området och om upphävande av förordningarna (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 och direktiv (EU) 2019/1024 (det digitala omnibuspaketet).