Finansdepartementet Avdelningen för offentlig förvaltning Föreskriftsrätt för Lantmäteriet enligt förordningen om lägenhetsregister Maj

Transkript

1

2

3

4

5

6

7 Finansdepartementet Avdelningen för offentlig förvaltning Föreskriftsrätt för Lantmäteriet enligt förordningen om lägenhetsregister Maj

8 Innehållsförteckning 1 Förslag till förordning om ändring i förordningen (2007:108) om lägenhetsregister Bakgrund Dataskyddsreformen Personuppgiftsansvarigas roll Personuppgiftsbiträdenas roll Lägenhetsregistret Reglering av personuppgiftsbiträdens hantering av personuppgifter i lägenhetsregistret Ikraftträdande Konsekvenser

9 Sammanfattning Den 25 maj 2018 börjar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) att tillämpas. Genom förordningen införs enhetliga, generella krav på behandling av personuppgifter. I förordningen uppställs nya krav på det avtal eller den rättsakt som reglerar personuppgiftsbiträdens personuppgiftsbehandling. Mot denna bakgrund föreslås i promemorian att Lantmäteriet ska få meddela föreskrifter om personuppgiftsbiträdens hantering av personuppgifter enligt förordningen (2007:108) om lägenhetsregister. Regleringen föreslås träda i kraft den 1 juli

10 1 Förslag till förordning om ändring i förordningen (2007:108) om lägenhetsregister Härigenom föreskrivs i fråga om förordningen (2007:108) om lägenhetsregister dels att nuvarande 10 ska betecknas 11, dels att rubriken närmast före 10 ska sättas närmast före 11, dels att det ska införas en ny paragraf, 10, och närmast före 10 en ny rubrik av följande lydelse. Föreskrifter 10 Lantmäteriet får meddela sådana föreskrifter om personuppgiftsbiträdens hantering av personuppgifter som avses i artikel 28.3 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). Denna förordning träder i kraft den 1 september

11 2 Bakgrund 2.1 Dataskyddsreformen Den nuvarande allmänna regleringen om behandling av personuppgifter inom EU har sin grund i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204), förkortad PUL. Denna lag är subsidiär i förhållande till andra lagar och förordningar och kompletteras av ett stort antal s.k. registerförfattningar. Den 25 maj 2018 kommer en ny EU-förordning om dataskydd att ersätta dataskyddsdirektivet Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). Dataskyddsförordningen kommer att utgöra grunden för den generella personuppgiftsbehandlingen inom EU. Att det är en förordning innebär att reglerna kommer att vara direkt tillämpliga och gälla på samma sätt i alla EU:s medlemsstater. Detta innebär också att PUL och den tillhörande personuppgiftsförordningen (1998:1191), samt de föreskrifter som Datainspektionen meddelat i anslutning till denna reglering, måste upphävas. Dataskyddsförordningen lämnar dessutom utrymme för vissa nationella bestämmelser med ytterligare krav, undantag eller kompletteringar. 2.2 Personuppgiftsansvarigas roll Liksom i dataskyddsdirektivet förutsätts i EU:s dataskyddsförordning att det finns en personuppgiftsansvarig (tidigare registeransvarig) för all personuppgiftsbehandling. Med personuppgiftsansvarig avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Om ändamålen med och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller den nationella rätten (artikel 4.7 i dataskyddsförordningen). Med uppgiften som personuppgiftsansvarig följer vissa skyldigheter enligt dataskyddsförordningen. Dessa skyldigheter är i grunden desamma som i dataskyddsdirektivet. Även dataskyddsförordningen kräver t.ex. att den personuppgiftsansvarige ska se till att behandlingen av personuppgifter sker på ett korrekt och säkert sätt (artikel 5.2), att oriktiga uppgifter rättas (artikel 16) och att den registrerade ersätts för skada som en rättsstridig behandling av personuppgifter har medfört (artikel 82). En nyhet i dataskyddsförordningen är att den personuppgiftsansvarige (och 5

12 personuppgiftsbiträdet, se nedan) i större utsträckning än tidigare är skyldig att utse ett dataskyddsombud (tidigare uppgiftsskyddsombud). 2.3 Personuppgiftsbiträdenas roll Dataskyddsförordningen medför något större förändringar för personuppgiftsbiträdena (tidigare registerförare). Definitionen av personuppgiftsbiträdet är densamma som för dataskyddsdirektivets registerförare, nämligen den som behandlar personuppgifter för den personuppgiftsansvariges räkning (artikel 4.8 i dataskyddsförordningen). Mer långtgående skyldigheter för personuppgiftsbiträdet införs dock genom dataskyddsförordningen. Till exempel får biträdet inte anlita underbiträden utan tillstånd från den personuppgiftsansvarige (artikel 28.2). Av särskild betydelse är att det genom dataskyddsförordningen införs särskilda skyldigheter för personuppgiftsbiträdena. Till exempel är biträdet skyldigt att ha en godtagbar säkerhetsnivå (artikel 32). Vidare kan ett biträde under vissa förutsättningar bli skyldig att betala ersättning till den registrerade vid felaktig personuppgiftsbehandling (artikel 82). Vidare uppställs nya krav på det avtal eller den rättsakt som reglerar biträdets personuppgiftsbehandling (se artikel 28.3). Avtalet eller rättsakten ska vara bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige. 2.4 Lägenhetsregistret Lägenhetsregistret är ett landsomfattande register för bostadslägenheter i Sverige. Registret regleras i lagen (2006:378) om lägenhetsregister och förordningen (2007:108) om lägenhetsregister. Uppgifterna i lägenhetsregistret används för folkbokföringen, framställning av statistik, forskning samt planering, uppföljning och utvärdering av bostadsbestånd och byggande. Det är den statliga lantmäterimyndigheten (Lantmäteriet) som för lägenhetsregistret. Lägenhetsregistret innehåller inte uppgifter som direkt kan hänföras till någon fysisk person, men genom kopplingen med bl.a. lägenhetsnummer innehåller det uppgifter som indirekt kan göra det. Uppgifter i lägenhetsregistret kan därför utgöra personuppgifter. Lantmäteriet är enligt 4 lagen om lägenhetsregister personuppgiftsansvarig för lägenhetsregistret. Uppgifter till registret får enligt 8 lagen om lägenhetsregister hämtas från fastighetsregistret och från fastighetsägare. Av 9 lagen om lägenhetsregister följer att Lantmäteriet och den kommun i vilken en lägenhet är belägen har behörighet att föra in, ändra och ta bort uppgifter i lägenhetsregistret. Kommunens behörighet avser för bostadslägenheter uppgifter om a) lägenhetsnummer, b) antal rum, c) kökstyp, d) bostadsarea, och e) lägenhetskategori. 6

13 För byggnad gäller detta uppgifter om b) byggnadstyp, c) byggnadskategori, d) nybyggnadsår, och e) ombyggnads- eller tillbyggnadsår. Enligt 13 ska kommunen för varje bostadslägenhet i kommunen löpande registrera ändringar och kompletteringar av de ovan nämnda uppgifterna. 3 Reglering av personuppgiftsbiträdens hantering av personuppgifter i lägenhetsregistret Förslag: Lantmäteriet ska få meddela föreskrifter om personuppgiftsbiträdens hantering av personuppgifter. Bedömning: När kommunerna för in eller tar bort uppgifter i lägenhetsregistret är de personuppgiftsbiträden enligt dataskyddsförordningen. Skälen för förslaget och bedömningen: Eftersom Lantmäteriet ensamt är personuppgiftsansvarig är kommunerna personuppgiftsbiträden när de för in eller tar bort uppgifter i lägenhetsregistret. De får då anses behandla personuppgifter för Lantmäteriets räkning (artikel 4.8 i dataskyddsförordningen). Som framgår av avsnitt 3.3 ska det finnas ett biträdesavtal eller en rättsakt som reglerar biträdets hantering av personuppgifter (artikel 28.3 i dataskyddsförordningen). Av författning framgår redan i vilka delar av lägenhetsregistret som kommunerna får föra in och ta bort uppgifter samt vilken art av uppgifter som avses (se 6 1 och 3 b-e lagen om lägenhetsregister). Dataskyddsförordningen ställer emellertid ytterligare krav på avtalet eller rättsakten. Bland annat ska behandlingens varaktighet och den personuppgiftsansvariges skyldigheter och rättigheter anges. I fråga om lägenhetsregistret framstår det som lämpligast att dessa ytterligare krav regleras i en författning, och inte i avtal. Eftersom det är den personuppgiftsansvarige, dvs. Lantmäteriet, som bäst känner till sin egen verksamhet och organisation, är det lämpligast att Lantmäteriet får meddela behövliga föreskrifter i anslutning till artikel Rollen som personuppgiftsbiträde medför åligganden för kommunerna. Detta följer direkt av dataskyddsförordningen. Det hör till regeringens restkompetens att delegera föreskriftsrätten avseende personuppgiftsbiträdenas hantering av personuppgifter till Lantmäteriet. En ny bestämmelse bör mot denna bakgrund införas i förordningen om lägenhetsregistret med innebörden att Lantmäteriet får meddela de föreskrifter som krävs i fråga om lägenhetsregistret med anledning av artikel 28.3 i dataskyddsförordningen. 7

14 4 Ikraftträdande Förslag: Ändringen ska träda i kraft den 1 september Skälen för förslaget: I enlighet med vad som anförts i avsnitt 3 föranleds ändringen av att dataskyddsförordningen börjar tillämpas den 25 maj Ändringen bör därför träda i kraft så snart som möjligt. 5 Konsekvenser Bedömning: Ändringen kan medföra en tillfälligt, marginellt ökad administrativ börda och därmed kostnader för Lantmäteriet. Den eventuella kostnadsökningen ska finansieras inom den nuvarande ramen för Lantmäteriets förvaltningsanslag. Förslaget bedöms inte innebära några kostnader för kommunerna. Skälen för bedömningen: Förslaget kan initialt förväntas leda till en något ökad arbetsbörda för Lantmäteriet, men bör därefter inte kräva några ökade resurser. Den eventuella kostnadsökningen bedöms kunna finansieras inom den nuvarande ramen för Lantmäteriets förvaltningsanslag. Det aktuella förslaget handlar om att anpassa befintligt regelverk till EU:s dataskyddsförordning. Föreskriftsmöjligheten för Lantmäteriet bedöms inte öka kommunernas kostnader. 8