Lag- och kulturutskottets betänkande 2/2018-2019
| |
| ||
| Ålands lagting | BETÄNKANDE nr 2/2018-2019 | ||
|
| Datum |
| |
| Lag- och kulturutskottet | 2018-11-08 |
| |
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
| Till Ålands lagting |
| |
|
| |||
|
| |||
|
| |||
|
| |||
Lag- och kulturutskottets betänkande
Dataskydd inom landskaps- och kommunalförvaltningen
· Landskapsregeringens lagförslag nr 14/2017-2018
INNEHÅLL
Sammanfattning
Landskapsregeringens förslag
Inom Europeiska unionen fattades i april 2016 beslut om en dataskyddsreform. Dataskyddsförordningen innehåller allmänna regler om behandlingen av personuppgifter och förordningen ska också tillämpas på Åland från och med den 25 maj 2018. Dataskyddsförordningen är till största delen direkt tillämplig och bestämmelserna ska tillämpas som sådana på Åland. Till andra delar förutsätter eller möjliggör dataskyddsförordningen att det antas kompletterande landskapslagstiftning.
Enligt lagförslaget ska det allmänna skyddet av personuppgifter inom landskaps- och kommunalförvaltningen basera sig på dataskyddsförordningen och en landskapslag som kompletterar förordningens bestämmelser. Tillsynen över behandlingen av personuppgifter inom landskaps- och kommunalförvaltningen ska fortsättningsvis skötas av Datainspektionen. Landskapslagen om behandlingen av personuppgifter inom landskaps- och kommunalförvaltningen och landskapslagen om Datainspektionen ska upphävas. I lagförslagen föreslår landskapsregeringen också att vissa bestämmelser om skyddet av personuppgifter som ingår i enskilda landskapslagar ändras.
Eftersom de flesta av dataskyddsförordningens bestämmelser är direkt tillämpliga ska dessa bestämmelser tillämpas på Åland som sådana från och med den 25 maj 2018. Därför bör den föreslagna allmänna landskapslagen, som ska komplettera tillämpningen av dataskyddsförordningen inom landskaps- och kommunalförvaltningen, och annan föreslagen landskapslagstiftning om dataskydd också träda i kraft den 25 maj 2018. För det fall att detta inte är möjligt föreslår landskapsregeringen att landskapslagstiftningen träder i kraft så snart som möjligt.
Landskapsregeringen kommer senare under 2018 att överlämna ett lagförslag till Ålands lagting innehållande förslag till blankettlag som skulle göra rikets lagstiftning om skydd av personuppgifter gällande till den del landskapets behörighet utsträcks till behandling av personuppgifter som sker inom den privata sektorn och Ålands polismyndighet.
Utskottets förslag
Lag- och kulturutskottet föreslår att lagtinget antar det första lagförslaget med vissa tekniska ändringar samt de övriga lagförslagen i oförändrad lydelse.
Utskottets synpunkter
Allmän motivering
Lag- och kulturutskottet konstaterar att landskapsregeringens förslag om hur EU:s dataskyddsreform ska genomföras på Åland utgår från lagtingets lagstiftningsbehörighet. Lagtinget har lagstiftningsbehörighet gällande skyddet av personuppgifter inom de rättsområden som lagtinget annars också har behörighet över enligt 18§ självstyrelselagen, dvs. behörigheten att skydda personuppgifter följer lagtingets materiella lagstiftningsbehörighet. Handlingsrummet vid utnyttjande av lagstiftningsbehörigheten begränsas också av relevanta bestämmelser i grundlagen, särskilt de grundläggande fri- och rättigheterna och de internationella förpliktelser som gäller skyddet av personuppgifter. En väsentlig förändring vid genomförandet av EU:s dataskyddsreform i åländsk lagstiftning är att dataskyddsförordningen är direkt tillämplig dvs. till skillnad från 1995 års dataskyddsdirektiv ska de flesta bestämmelser tillämpas som sådana på Åland. Även om dataskyddsförordningen är direkt tillämplig på Åland förutsätter en fullständig tillämpning av förordningen att det antas ytterligare lagstiftning.
Utskottet anser inte att det finns orsak att avvika från den allmänna struktur som nuvarande landskapslagstiftning om skyddet av personuppgifter bygger på dvs. att en allmän lag som kompletterar dataskyddsförordningens bestämmelser och som tillämpas inom landskaps- och kommunalförvaltningen ska antas. Tillsynen gällande dataskyddet inom landskaps- och kommunallagstiftningen bör även i fortsättningen skötas av en oberoende myndighet. Det har kommit till utskottets kännedom att utökade resurser kan komma att behövas för tillsynen.
Utskottet konstaterar att landskapsregeringen anser att myndigheter inom landskaps- och kommunalförvaltningen bör undantas från möjligheterna att bli föremål för sanktionsavgifter. Tillsynsmyndighetens övriga befogenheter att vidta åtgärder enligt dataskyddsförordningen vid misstänkt olaglig behandling är tillräckliga. Olaglig behandling av personuppgifter inom landskapsregeringen ska fortsättningsvis aktualisera ett straffrättsligt ansvar och till denna del föreslås en särskild bestämmelse om dataskyddsbrott. Dessutom kan konstateras att myndigheternas ansvar enligt skadeståndslagen kan bli aktuellt.
Utskottet konstaterar att det i dagens läge finns bestämmelser om skydd av personuppgifter i speciallagstiftning. Vissa bestämmelser inom speciallagstiftningen som tillämpas inom landskaps- och kommunallagstiftningen har setts över så att de är förenliga med dataskyddsförordningen och annan dataskyddslagstiftning. Utskottet utgår ifrån att övriga justeringar i lagtexten behandlas i kommande lagstiftningsarbete.
Landskapsregeringen anser att skyddet av personuppgifter utanför landskaps- och kommunallagstiftningen samt inom Ålands polismyndighet fortsättningsvis bör vara enhetligt och att rikslagstiftning bör tillämpas inom landskapets behörighet med stöd av blankettlagstiftning. Utskottet återkommer till de frågeställningarna när lagförslaget har lämnats till lagtinget.
Utskottet föreslår vissa ändringar av teknisk natur vilka närmare motiveras nedan.
Detaljmotivering
2 § Tillämpningsområde.
Utskottet konstaterar att lagen inte tillämpas på lagtingsarbetet eftersom lagen enbart tillämpas på till Ålands lagting ansluten förvaltning med vilket huvudsakligen avses lagtingets kansli och i viss mån lagtingets kanslikommission.
Ändringen av 2 mom. är teknisk till sin natur.
4 § Bestämmelser om offentlighet, sekretess och tystnadsplikt
Utskottet föreslår att lagens 4 § 2 mom. utgår mot bakgrund av grundlagsutskottet påpekanden i utlåtande 26/2018 gällande förslaget till rikslagstiftning för implementering av det s.k. polisdirektivet (RP 31/2018 rd). Grundlagsutskottet pekar på en dubblering av tystnadsplikten eftersom myndigheterna redan är föremål för grunder gällande sekretess och tystnadsplikt i offentlighetslagstiftningen. Utskottet konstaterar att motsvarande problemställning föreligger i lagförslaget och föreslår att bestämmelsen utgår såsom obehövlig.
12 § Behandling som rör fällande domar i brottmål samt överträdelser
Ändringen föreslås i förtydligande syfte.
21 § Information och rätt att utöva tillsyn
I paragrafens 2 mom. föreskrivs det om Datainspektionens rätt att utföra inspektioner i utrymmen som omfattas av hemfriden. Utskottet konstaterar att grundlagsutskottet ansett att möjligheten att ingripa i det grundlagstryggade skyddet för hemfriden för att utreda föga klandervärda förseelser inte uppfyller proportionalitetskravet beträffande en begränsning av en grundläggande fri- eller rättighet. Möjligheten att förrätta inspektion inom området för hemfriden är inte i ett sådant fall motiverad av ett tungt vägande behov. Mindre förseelser ska utredas med hjälp av andra metoder som inte ingriper lika mycket i de grundläggande fri- och rättigheterna (GrUU 26/2018).
Utskottet föreslår därför en ändring av momentet så att i utrymmen som används för boende av permanent natur får inspektion utföras endast om det är nödvändigt för att utreda omständigheter som är föremål för inspektion och om det i det aktuella fallet finns motiverade och specificerade skäl att misstänka att brott skett eller kommer att ske mot bestämmelserna om behandling av personuppgifter så att påföljden kan vara ett fängelsestraff enligt denna lag eller strafflagen.
24 § Klagomål till Datainspektionen
Utskottet föreslår att ett nytt 2 mom. fogas till paragrafen. Enligt momentet ska Datainspektionen kunna avbryta behandlingen av ett ärende, om ett ärende som har samband med det är anhängigt i domstol. Bestämmelsen är allmänt utformad och ger Datainspektionen prövningsrätt i fråga om vad som är motiverat och lämpligt i varje enskilt fall.
Det är i praktiken möjligt att överträdelser av förordningen är anhängiga vid tillsynsmyndigheten och samtidigt vid en domstol. Det kan exempelvis handla om att den registrerade kräver skadestånd genom talan vid domstol eftersom tillsynsmyndigheten inte har behörighet att fastställa en sådan ersättning. Det handlar då om samma registrerad, samma personuppgiftsansvarig eller personuppgiftsbiträde och samma påstådda brott mot dataskyddsförordningen eller dataskyddslagen.
Eftersom det inte är klart hur sådana till varandra kopplade parallella förfaranden ska hanteras föreslår utskottet att det ska föreskrivas om en möjlighet för Datainspektionen att avbryta behandlingen av ett ärende som samtidigt är anhängigt vid domstol. Att ärendet avbryts betyder inte att behandlingen av det upphör, utan Datainspektionen kan fortsätta behandlingen senare.
27 § Administrativa sanktionsavgifter
Se motiveringen till 2 § ovan.
29 § Brott mot tystnadsplikt
Ändringen föranleds av ändringen av 4 §.
37 § Övergångsbestämmelser
Utskottet föreslår att det till paragrafen fogas ett nytt 4 mom. enligt vilket straffbestämmelser i 9 kap. i den gällande åländska personuppgiftslagen tillämpas på gärningar och försummelser som har begåtts före lagens ikraftträdande och att det vid bestämmandet av straffet ska beaktas om tillämpningen av den nya åländska dataskyddslagen och dataskyddsförordningen leder till ett lindrigare resultat.
Utskottet noterar att enligt förslaget till övergångsbestämmelse ska den föreslagna mandatperioden på sex år (sammanlagt 18 år) gälla först när en ny myndighetschef anställs efter att landskapslagen har trätt i kraft. Avsikten är att trygga rättskyddet för dem som anställts före ikraftträdandet. Det är dock oklart om bestämmelsen kommer att tillämpas eftersom tidtabellen för en pågående rekryteringsprocess inte är helt slutlig.
Ärendets behandling
Lagtinget har den 14 mars 2018 inbegärt lag- och kulturutskottets yttrande i ärendet.
Utskottet har i ärendet hört ministern Nina Fellman, lagberedaren Sören Silverström, chefen för Datainspektionen Susanne Björkholm, vd:n för ÅDA Katarina Donning, IT-utvecklingschefen och processutvecklaren vid ÅHS Emil Eriksson respektive Anders Svensson.
I ärendets avgörande behandling deltog ordföranden Harry Jansson, viceordföranden Roger Eriksson, ledamöterna Johan Ehn, Brage Eklund, Bert Häggblom, Mikael Staffas och Tony Wikström.
Utskottets förslag
Med hänvisning till det anförda föreslår utskottet
att lagtinget antar lagförslag nr 1 i lydelsen nedan samt
lagförslag nr 2 – 17 i oförändrad lydelse.
1.
L A N D S K A P S L A G
om dataskydd inom landskaps- och kommunalförvaltningen
1 kap.
Allmänna bestämmelser
1 §
(Lika som i lagförslaget.)
2 §
Tillämpningsområde
(1 mom. lika som i lagförslaget.)
Lagen tillämpas i enlighet med tillämpningsområdet i artikel 2 i dataskyddsförordningen. Med stöd av lagen tillämpas dataskyddsförordningen dessutom i tillämpliga delar och med undantag för artikel 56 och kapitel VII i förordningen på sådan behandling av personuppgifter som utförs i samband med verksamhet som avses i artikel 2.2 a och b i dataskyddsförordningen, om inte något annat föreskrivs i lag. Detsamma gäller tillämpningen av denna lag.
3 §
(Lika som i lagförslaget.)
4 §
Bestämmelser om offentlighet, sekretess och tystnadsplikt
(1 mom. lika som i lagförslaget.)
( 2 mom. utesluts.)
(3 - 4 mom. lika som i lagförslaget. )
2 kap.
Rättslig grund för behandlingen i vissa fall
5 – 11 §§
(Lika som i lagförslaget.)
12 §
Behandling som rör fällande domar i brottmål samt överträdelser
Personuppgifter som avses i artikel 10 i dataskyddsförordningen och som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder får behandlas om
1) behandlingen är nödvändig för att rättsliga anspråk ska kunna utredas, fastställas, göras gällande eller försvaras, eller
2) behandlingen av sådana uppgifter är reglerad i lag.
(2 mom. lika som i lagförslaget.)
13 §
(Lika som i lagförslaget.)
3 kap.
Tillsynsmyndighet
14 – 20 §§
(Lika som i lagförslaget.)
21 §
Information och rätt att utöva tillsyn
(1 mom. lika som i lagförslaget.)
I utrymmen som används för boende av permanent natur får inspektion utföras endast om det är nödvändigt för att utreda omständigheter som är föremål för inspektion och om det i det aktuella fallet finns motiverade och specificerade skäl att misstänka att brott skett eller kommer att ske mot bestämmelserna om behandling av personuppgifter så att påföljden kan vara ett fängelsestraff enligt denna lag eller strafflagen (FFS 39/1889).
22 – 23 §§
(Lika som i lagförslaget.)
4 kap.
Rättsmedel, ansvar och sanktioner
24 §
Klagomål till Datainspektionen
(1 mom. lika som i lagförslaget.)
Datainspektionen kan avbryta behandlingen av ett ärende om ett ärende som har samband med det är anhängigt i domstol.
25 – 28 §§
(Lika som i lagförslaget.)
29 §
Brott mot tystnadsplikt
Den som bryter mot den tystnadsplikt som avses i 4 § 3 mom. ska för brott mot tystnadsplikt enligt landskapslagen om dataskydd inom landskaps- och kommunalförvaltningen dömas till böter eller fängelse högst ett år, om inte strängare straff för gärningen bestäms i någon annan lag.
5 kap.
Särskilda behandlingssituationer
30 – 35 §§
(Lika som i lagförslaget.)
6 kap.
Ikraftträdande- och övergångsbestämmelser
36 §
(Lika som i lagförslaget.)
37 §
Övergångsbestämmelser
(1 - 3 mom. lika som i lagförslaget.)
Straffbestämmelserna i 9 kap. i landskapslagen (2007:88) om behandling av personuppgifter tillämpas på gärningar och försummelser som har begåtts före lagens ikraftträdande. Vid bestämmandet av straffet ska det dock beaktas om tillämpningen av den nya åländska dataskyddslagen och dataskyddsförordningen leder till ett lindrigare resultat.
| Mariehamn den 8 november 2018 | |
|
Ordförande |
Harry Jansson |
|
Sekreterare |
Susanne Eriksson |