Kommunala lantmäteridagarna november 2015

Transkript

1 Kommunala lantmäteridagarna november 2015 Kommande EU-lagstiftning om persondataskydd och Betänkandet Myndighetsdatalag SOU 2015:39 Sveriges Kommuner och Landsting, Staffan Wikell Lantmäteriet, Malgorzata Drewniak

2 Presentationens innehåll 1. Allmänt om dataskyddsreformen (EU och Sverige) 2. Huvuddragen i - förslaget till EU-förordning om uppgiftsskydd - förslaget till ny Myndighetsdatalag 3. Konsekvenser för s.k. registerförfattningar (t.ex. lagen om fastighetsregister) 4. Konsekvenser för myndigheter som tillämpar PUL

3 Hur ser integritetsskyddsregleringen ut idag? Högre rang har företräde Specialiserad lag har företräde framför en allmän lag

4 Problem med dagens regler? Fragmentering EU:s dataskyddsdirektiv är implementerat på olika sätt inom EU och tillämpas inte enhetligt Sverige har över 200 registerförfattningar som inte är synkroniserade Många är föråldrade Hög detaljnivå på lagnivå

5 Förslaget till EU-förordning om uppgiftsskydd 1 Ska ersätta nu gällande direktiv från Förordningen gäller direkt i medlemsländerna. 2. Tillämpningsområdet blir ungefär som idag. 3. Syftet är att skydda fysiska personer vid behandling av personuppgifter. Men också ett fritt flöde av uppgifter mellan medlemsländerna. 4. Definitionerna, ungefär som idag, men fler. 5. Grunderna för laglig behandling, ungefär som idag. Myndigheter kan inte åberopa intresseavvägning, i sina verksamheter. 6. PuL kommer att upphöra, helt eller delvis

6 Förslag till EU-förordning om uppgiftsskydd viktigaste nyheterna, 1. De registrerades rättigheter stärks. Rätten till information utökas något bl a genom rätt till elektroniskt registerutdrag. 2. Rätt till uppgiftsportabilitet införs 3. Kompletterande lagstiftning på nationell nivå tillåts för specifika sektorer, t ex i myndigheters verksamheter och för arbetsgivares behandling av anställdas uppgifter. 4. Särskild 13-årsgräns för när barn tar i anspråk informationssamhällets tjänster.

7 Förslag till EU-förordning om uppgiftsskydd, viktigaste nyheterna 1. Rätt till rättelse av felaktiga uppgifter och till komplettering 2.Rätt till radering. Återkallande av samtycke eller ej nödvändiga för ändamålet 3. Rätt att bli bortglömd om uppgifterna offentliggjorts så ska rimliga åtgärder vidtas för att underrätta tredje parter om att den registrerade önskar att bli glömd. 4. Den registeransvarige skall, innan nya behandlingsändamål inrättas där det finns större integritetsrisker, självmant utföra en risk- och sårbarhetsanalys.

8 Förslaget till EU-förordning om uppgiftsskydd 1. Myndigheter ska vara skyldiga att ha personuppgiftsombud. Dessa ska ges en självständig ställning i förhållande till den personuppgiftsansvarige. Ombudet ska rapportera till den högsta ledningen. Ombuden ska ges nödvändiga resurser. 2. Vid dataskyddsincidenter (personal data breach)( t ex genom intrång eller oavsiktlig förlust av data), ska den registeransvarige anmäla detta till tillsynsmyndigheten utan onödigt dröjsmål. Samt meddela de registrerade vars uppgifter berörts av händelsen. 3. Nationella tillsynsmyndigheter, ungefär som idag. Ska kunna utfärda administrativa sanktioner - Böter. Maxbelopp oklart, men ett förslag är euro.

9 Förslaget till ny Myndighetsdatalag (MDL) Informationshanteringsutredningens (IHU) slutbetänkande SOU 2015:39 Myndighetsdatalag lämnades den 8 april. Remisstiden pågår till den 20 nov Utredningens uppdrag var att se över den s.k. registerlagstiftningen. Syfte med översynen: tydligare, enhetligare och mer lättillämpat regelverk kring integritetsskydd.

10 Några utgångspunkter för MDL Den nya lagen ska vara en renodlad dataskyddsreglering kunna tillämpas av alla myndigheter Samla regelverket så långt det går i en till lagen anslutande förordning eller bilaga/or Reglera nödvändig särreglering på förordningsnivå istället för lagnivå Stegvis utveckling Initialt blir lagen tillämplig i verksamheter som idag bara tillämpar PUL Registerförfattningar ska anpassas efter hand i ett översynsarbete

11 Förslaget bygger på en stegvis lagutveckling 3 Utredningens förslag Myndighetsdatalagen (MDL) Anpassning av registerförfattningar till myndighetsdatalagen Anpassning av myndighetsdatalagen till ny EU-förordning Har företräde framför PUL Har företräde framför MDL

12 När ska lagen tillämpas? 2-3 Lagen ska tillämpas av statliga och kommunala myndigheter - Undantag: Administrativ verksamhet, uppdrag som personuppgiftsbiträde, brottsbekämpande verksamhet 5-6 Lagen gäller före PUL, men hänvisar i vissa fall till PUL:s bestämmelser, t.ex. avseende definitioner. Den är subsidiär till registerförfattningar.

13 Personuppgiftsansvar 7 En myndighet är personuppgiftsansvarig för den behandling av personuppgifter som den utför. (Omfattar behandling genom direktåtkomst hos annan myndighet.) Tillåten behandling 8 Rättslig grund för behandling: Personuppgifter får behandlas om det är nödvändigt för att en myndighet ska kunna utföra sin verksamhet. (inget krav på samtycke).

14 Känsliga personuppgifter 10 Känsliga personuppgifter får behandlas om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggning av det eller om uppgifterna behandlas endast i löpande text. Informationssäkerhet 14 Krav på risk- och sårbarhetsanalys samt överenskommelser för direktåtkomsttjänster

15 Undantag från informationsskyldigheten 23 - Om uppgiften inte får lämnas ut till den registrerade på grund av sekretess - Om uppgiften inte ingår eller är avsedda att ingå i en strukturerad samling av personuppgifter Korrigering av felaktiga uppgifter och otillåten behandling 24 Felaktig personuppgift ska på begäran rättas eller kompletteras 25 Personuppgift ska på begäran avskiljas från behandling eller utplånas om behandlingen inte får ske enligt denna lag.

16 Konsekvenser för registerförfattningar, exempel Offentlig information Sekretessreglerad information Fastighetsregistret Pantbrevsregistret Lägenhetsregistret Samfällighetsföreningsregistre t Författningar för detta register behöver anpassas men kan antagligen inte ersättas med MDL så länge sekretessreglering finns. Författningar för dessa register skulle kunna ersättas med MDL i de delar som reglerar integritetsskydd, t.ex. ändamålsbestämmelser, sökbegränsningar etc. om inte särskilda skäl talar för att behålla dessa regler

17 Konsekvenser för myndigheter som tillämpar PUL PUL ska inte gälla, med undantag för administrativ verksamhet MDL blir direkt tillämplig när den träder i kraft Ny laglig grund för när behandling av personuppgifter är tillåtet Känsliga personuppgifter, PNR utvidgning jämfört med PUL Särskilda bestämmelser för elektroniskt utlämnande (sekretessreglerad information) Undantag från informationsskyldigheten (registerutdrag, ostrukturerad behandling) Ny bestämmelse om rättelse av felaktiga personuppgifter

18 Tidsplan för reformen EU Mars 2012 Mars 2014 Juni 2015 Hösten 2015 Dec 2015? Förslag från EUkommissionen Parlamentets yttrande Rådets ståndpunkt Trepartsförhandl ingar (EP, rådet, COM) Gemensamt beslut av EP och rådet SE Okt 2011 Apr 2015 Nov ? 2018? Kommittédirektiv IHU Slutbetänkande SOU 2015:39 Förslag till MDL Deadline för remiss Lagrådsremiss och proposition MDL i kraft Anpassad lagstiftning (till EU) ikraft Översyn av registerförfattningar

19 Före och efter Idag Hundratals författningar med delvis samma innehåll men skillnad i struktur, begrepp m.m MDL En samlad lag med generella bestämmelser = minskad regelmassa Till stor del reglering i lag Flera departement ansvar för befintliga registerförfattningar Återstående behov av särreglering kan ofta ges i förordning = färre lagändringar Ett departement ansvarar för MDL

20 Sammanfattning Mer EU-lagstiftning och mindre nationell lagstiftning PUL måste så småningom upphävas helt EU-förordningen kan komma att innebära större förändringar, men det exakta innehållet är fortfarande inte klart Möjlighet till nationell särreglering för offentlig sektor kommer att finnas kvar Förslaget till MDL ersätter PUL men ganska små förändringar i sak för myndigheter MDL lägger grunden för att se över (harmonisera och minska behovet av) registerförfattningar