1.1  Dataskyddslag

1 kap. Allmänna bestämmelser

1 §.Lagens syfte. Paragrafen anger lagens syfte. Enligt bestämmelsen är syftet med lagen att precisera och komplettera den allmänna dataskyddsförordningen. Eftersom den allmänna dataskyddsförordningen nationellt är direkt tillämplig lagstiftning, kan den nationella tillämpningen av dataskyddsförordningen endast preciseras genom dataskyddslagen när det behövs eller är nödvändigt för att komplettera den allmänna dataskyddsförordningen. Den nationella lagstiftningen kan precisera förordningen endast inom ramen för det nationella spelrum som ges i den allmänna dataskyddsförordningen.  

Syftet med den gällande personuppgiftslagen är att vid behandling av personuppgifter tillgodose skyddet för privatlivet och andra grundläggande fri- och rättigheter som tryggar integritetsskyddet samt att främja utveckling och iakttagande av god informationshantering. Genom personuppgiftslagen genomfördes personuppgiftsdirektivet, vars syfte bland annat var att trygga individens grundläggande fri- och rättigheter, särskilt rätten till privatliv vid behandlingen av personuppgifter. På grund av detta och reformen av de grundläggande fri- och rättigheterna är även personuppgiftslagens centrala syfte att tillgodose skyddet för privatlivet och andra grundläggande fri- och rättigheter som tryggar integritetsskyddet vid behandlingen av personuppgifter.  

I artikel 1 i den allmänna dataskyddsförordningen föreskrivs om syftet med förordningen. Syftet med den allmänna dataskyddsförordningen är att skydda de grundläggande fri- och rättigheterna på ett allmännare plan, inte enbart att trygga individers rätt till privatliv vid behandlingen av personuppgifter. Genom den allmänna dataskyddsförordningen fastställs reglerna för skydd för fysiska personer vid behandling av personuppgifter samt de regler som gäller den fria rörligheten för personuppgifter. Genom förordningen skyddas fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd för personuppgifter. Europeiska unionens stadga om de grundläggande rättigheterna som trädde i kraft efter att personuppgiftsdirektivet utfärdades har stärkt ställningen för skyddet för personuppgifter som en självständig grundläggande rättighet. Personuppgifter skyddas inte längre endast som en del av integritetsskyddet. Trots detta har skyddet för personuppgifter ofta utvärderats i samband med integritetsskyddet i Europeiska unionens domstols rättspraxis (t.ex. de förenade målen C-293/12 och C-594/12).  

I artikel 1 i förordningen betonas dessutom att det fria flödet av personuppgifter inom unionen varken får begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter.  

När den nationella tillämpningen av den allmänna dataskyddsförordningen preciseras genom dataskyddslagen har målen i den allmänna dataskyddsförordningen en omedelbar inverkan även på syftet med dataskyddslagen. När den nationella tillämpningen av den allmänna dataskyddsförordningen preciseras ska det ske i enlighet med målen i förordningen.  

2 §.Tillämpningsområde. I 1 mom. anges lagens tillämpningsområde. I 1 mom. i paragrafen som gäller tillämpningsområdet konstateras att lagen tillämpas i enlighet med tillämpningsområdet för artikel 2 i dataskyddsförordningen. Enligt artikel 2 i den allmänna dataskyddsförordningen ska förordningen tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. I artikel 2.2 i den allmänna dataskyddsförordningen undantas sådan behandling av personuppgifter från förordningens tillämpningsområde som utgör ett led i en verksamhet som inte omfattas av unionsrätten och behandling som medlemsstaterna utför när de bedriver verksamhet som omfattas av avdelning V kapitel 2 i EU-fördraget. Behandling av personuppgifter som hör till tillämpningsområdet för dataskyddsdirektivet för brottsbekämpande myndigheter har undantagits från dataskyddsförordningens tillämpningsområde, likaså sådan behandling av personuppgifter som en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. Dessutom har behandling av personuppgifter som sker i unionens institutioner, organ och byråer undantagits från dataskyddsförordningens tillämpningsområde.  

I artikel 2.4 i den allmänna dataskyddsförordningen förtydligas även att förordningen inte påverkar tillämpningen av direktiv 2000/31/EG, särskilt bestämmelserna om tjänstelevererande mellanhänders ansvar i artiklarna 12—15 i det direktivet. 

Dataskyddslagen tillämpas som ett komplement till den allmänna dataskyddsförordningen. Dataskyddslagen tillämpas således inte på sådan behandling av personuppgifter som en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll eller behandling av personuppgifter som omfattas av dataskyddsdirektivet för brottsbekämpande myndigheter. I paragrafen föreskrivs dessutom att den allmänna dataskyddsförordningen ska tillämpas på sådan behandling av personuppgifter som inte omfattas av tillämpningsområdet för unionsrätten samt på behandling av personuppgifter som utförs i samband med den gemensamma utrikes- och säkerhetspolitik som avses i avdelning V kapitel 2 i EU-fördraget.  

När den allmänna dataskyddsförordningen i princip tillämpas på sådan behandling av personuppgifter som har undantagits från dess tillämpningsområde, ska en del av bestämmelserna i den allmänna dataskyddsförordningen undantas från tillämpningen.  

Kapitel VI—VIII i den allmänna dataskyddsförordningen ska ställas utanför tillämpningsområdet i den mån det är fråga om den så kallade mekanismen för en lucka och mekanismen för enhetlighet. Exempelvis i kapitel VI artikel 56 i den allmänna dataskyddsförordningen föreskrivs om den ansvariga tillsynsmyndighetens behörighet. Artiklarna som gäller mekanismen för en lucka och mekanismen för enhetlighet ska inte tillämpas eftersom de gäller situationer där den personuppgiftsansvarige behandlar personuppgifter inom flera medlemsländer och målet är att den allmänna dataskyddsförordningen ska tillämpas enhetligt inom EU. Behörig myndighet är då dataskyddsmyndigheten på den personuppgiftsansvariges huvudsakliga verksamhetsställe och flera medlemsstaters dataskyddsmyndigheter deltar i beslutsfattandet. Beslut som fattats inom ramen för systemet är bindande för den nationella dataskyddsmyndigheten. När det i princip är fråga om sådan behandling av personuppgifter som blir utanför dataskyddsförordningens tillämpningsområde behöver sådana ärenden inte bedömas i ett övernationellt beslutsförfarande, Det finns inte heller förutsättningar för en sådan bedömning eftersom det i princip handlar om frågor med starka nationell prägel.  

Utvidgningen av den allmänna dataskyddsförordningens tillämpningsområde ska inte gälla situationer där det gäller andra bestämmelser i nationell lag i ett ärende som inte omfattas av unionsrättens tillämpningsområde.  

I 2 mom. föreskrivs som komplettering till 1 mom. att dataskyddslagen inte tillämpas på sådan behandling av personuppgifter, om vilken föreskrivs i lagen om behandling av personuppgifter i brottmål och vid upprätthållande av den nationella säkerheten (xx/2018). Avsikten är att genom lagen genomföra Europaparlamentets och rådets direktiv (EU) 2016/680 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter. Nämnda lag ska också tillämpas på sådan behandling av personuppgifter som inte omfattas av tillämpningsområdet för ovan nämnda direktiv. Avsikten är att nämnda lag också ska gälla sådan behandling av personuppgifter som hänför sig till polisens, gränsbevakningsväsendets och försvarsmaktens uppgifter inom den nationella säkerheten. Därför behövs det i 2 mom. ett förtydligande att dataskyddslagen inte ska tillämpas på sådan behandling av personuppgifter om vilken föreskrivs genom ovan nämnda lag. När det gäller organisationen i tillsynssystemet stöder sig förslaget som gäller genomförandet av dataskyddsdirektivet för brottsbekämpande myndigheter dock direkt på förslaget till dataskyddslag.  

Till exempel den nationella säkerheten blir i princip utanför unionsrättens tillämpningsområde. Avsikten är att den aktuella lagen enligt 1 § 2 mom. 2 punkten i lagen om behandling av personuppgifter i brottmål och vid upprätthållande av den nationella säkerheten ska tillämpas på sådan behandling av personuppgifter som utförs av polisen när uppgifter behandlas i en sådan uppgift som avses i 1 § 1 mom. i polislagen och som har samband med skyddet för den nationella säkerheten. Polisens uppgift är enligt 1 kap. 1 § 1 mom. i polislagen att trygga rätts- och samhällsordningen, upprätthålla allmän ordning och säkerhet samt att förebygga brott, avslöja och utreda brott och föra brott till åtalsprövning. Polisen ska upprätthålla säkerheten i samarbete med andra myndigheter.  

När skyddspolisen behandlar personuppgifter för att utföra sin uppgift, dvs. skydda den nationella säkerheten, omfattas dess behandling av personuppgifter inte av unionsrättens tillämpningsområde. Den nationella säkerheten har undantagits från EU:s behörighet i fördraget om Europeiska unionen. Därför ska bestämmelser om personuppgifter som ska behandlas på grundval av den nationella säkerheten utfärdas i den nationella lagstiftningen. Den lag som avses i 2 mom. tillämpas även på sådan behandling av personuppgifter som utförs av en annan polisenhet, när uppgifter behandlas i en sådan uppgift som avses i 1 § 1 mom. i polislagen och har samband med skyddet för den nationella säkerheten. 

Enligt 1 § 2 mom. 3 punkten i lagen om behandling av personuppgifter i brottmål och vid upprätthållande av den nationella säkerheten ska lagen tillämpas även på sådan behandling av personuppgifter som utförs av Gränsbevakningsväsendet, när uppgifter behandlas i samband med skyddet för den nationella säkerheten. I 3 § i gränsbevakningslagen föreskrivs om Gränsbevakningsväsendets uppgifter. Av dem hänför sig i synnerhet vissa tillsynsuppgifter och uppgifter inom det militära försvaret till skyddet för den nationella säkerheten.  

Enligt 1 § 2 mom. 1 punkten i lagen om lagen om behandling av personuppgifter i brottmål och vid upprätthållande av den nationella säkerheten ska lagen dessutom tillämpas så sådan behandling av personuppgifter som utförs av Försvarsmakten och för Försvarsmaktens räkning och som utförs för att utföra de uppgifter som anges i nämnda punkter i 2 § 1 mom. i lagen om försvarsmakten.  

3 §.Tillämplig lag. I paragrafen föreskrivs om tillämplig lag för behandling av personuppgifter. I dataskyddsförordningen finns inga bestämmelser om lagval. Bestämmelserna om lagval lämpar sig för situationer med koppling till två eller flera medlemsstater. Så är fallet till exempel när den personuppgiftsansvarige är etablerad inom en medlemsstat och de registrerade vars personuppgifter behandlas är bosatta i en annan medlemsstat. Lagvalsregleringen har i praktiken betydelse endast i den mån det är fråga om lagstiftning som kompletterar den allmänna dataskyddsförordningen och utfärdas inom ramen för medlemsstatens prövningsrätt. Om det inte finns sådan reglering i den medlemsstat som anges av lagvalsregeln, tillämpas endast den allmänna dataskyddsförordningen.  

Enligt 1 mom. ska finsk lag tillämpas, om den personuppgiftsansvariges verksamhetsställe finns i Finland. Behandling av personuppgifter inom ramen för verksamheten vid ett verksamhetsställe förutsätter inte att den aktuella behandlingen av personuppgifter utförs vid verksamhetsstället i fråga.  

I 2 mom. föreskrivs om tillämpliga skyddsåtgärder i en situation där personuppgifter behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Genom dataskyddslagen föreslås bestämmelser om omfattande möjligheter att avvika från vissa av den registrerades rättigheter när personuppgifter behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.  

Med stöd av 2 mom. ska 31 § som gäller skyddsåtgärder för den registrerades rättigheter tillämpas även i det fall att en främmande stats lag annars ska tillämpas på behandlingen av personuppgifter. Lagens 31 § är till sin karaktär därmed så kallad internationellt tvingande reglering som ska tillämpas oberoende av lagvalet. Om det med stöd av tillämplig lag är möjligt att göra ett undantag från den registrerades rättigheter, kan ett undantag från dem göras endast under förutsättning att skyddsåtgärderna i 31 § i den lag som nu föreslås iakttas.  

Lagvalsregleringen inverkar inte på hur behörig myndighet eller behörig domstol bestäms. Bestämmelser om myndighetens behörighet och hur den bestäms föreskrivs i den allmänna dataskyddsförordningen.  

2 kap. Rättslig grund för behandling av personuppgifter i vissa fall

Enligt artikel 6.3 i den allmänna dataskyddsförordningen ska grunden för behandlingen fastställas antingen i enlighet med unionsrätten eller med en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av om behandlingen behövs (i förordningens svenska version används ordet nödvändig) för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige och om behandlingen behövs för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Behandling av särskilda kategorier av personuppgifter förutsätter dessutom att någon av förutsättningarna i artikel 9.2 i dataskyddsförordningen uppfylls. I kapitlet tas in bestämmelser om grunden för behandlingen när det gäller den nationella preciseringen av den allmänna dataskyddsförordningen i fråga om artiklarna 6, 9 och 10.  

4 §.Laglig behandling av personuppgifter. I paragrafen preciseras lagenligheten för behandling av personuppgifter inom ramen för det nationella spelrum som möjliggörs av den nationella dataskyddsförordningen i situationer enligt artikel 6.1 e där behandlingen av personuppgifter behövs (i förordningens svenska version används ordet nödvändig) för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Enligt den är behandling av personuppgifter laglig endast om något av villkoren i artikel 6.1 uppfylls.  

I punkt 1 i paragrafen föreskrivs om den rättsliga grunden för behandling av personuppgifter i situationer där det är fråga om uppgifter som beskriver en persons ställning, uppgifter och skötseln av dessa uppgifter inom ett offentligt samfund, näringslivet, organisationsverksamhet eller någon annan motsvarande verksamhet i den mån som syftet med behandlingen är förenligt med allmänt intresse och behandlingen är proportionell mot det legitima mål som eftersträvas på det sätt som förutsätts i den allmänna dataskyddsförordningen. 

I 8 § 1 mom. 8 punkten i den gällande personuppgiftslagen föreskrivs huvudsakligen om motsvarande allmänna förutsättning för behandling av personuppgifter. Denna grund för behandling av personuppgifter har ansetts vara möjlig med stöd av artikel 7 f i det gamla dataskyddsdirektivet som gäller berättigade intressen hos den registeransvarige. Behandlingsgrunden i personuppgiftslagen för sådan behandling av personuppgifter som avses i 1 mom. 1 punkten följer av den behandlingsgrund för att utföra en uppgift av allmänt intresse som ingår i artikel 6.1 e i den allmänna dataskyddsförordningen och möjliggör nationellt spelrum. Behandlingsgrunden för en persons ställning, uppgifter och skötseln av dessa uppgifter breddas jämfört med den nuvarande formuleringen genom att ”någon annan motsvarande verksamhet” fogas till behandlingsgrunden och orden ”allmänt tillgänglig uppgift” stryks i den.  

Någon annan motsvarande verksamhet utvidgar med avseende på motsvarande punkt i personuppgiftslagen behandlingsgrundens tillämpningsområde så att den även gäller andra än offentliga samfund eller näringslivet. Det behandlingsvillkor som gäller en persons ställning, uppgifter eller skötseln av dessa uppgifter i den gällande personuppgiftslagen förutsätter inte att den personuppgiftsansvarige bedömer om behandlingen av personuppgifter är förenlig med allmänt intresse och proportionell mot det legitima mål som eftersträvas. Det har ansetts att de intressen som tryggar integritetsskyddet inte åsidosätter den registeransvariges/personuppgiftsansvariges eller en utomståendes intressen i situationer som avses i 8 § 1 mom. 8 punkten i personuppgiftslagen, eftersom det är fråga om uppgifter som beskriver en persons ställning, uppgifter och skötseln av dessa uppgifter inom ett offentligt samfund eller inom näringslivet och uppgifterna är allmänt tillgängliga. I lagrummet förutsätts dock att behandlingen är förenlig med allmänt intresse och proportionell mot det legitima mål som eftersträvas. Detta villkor följer av artikel 6.3 i den allmänna dataskyddsförordningen. Behandlingsgrunden ger inte rätt till behandling av sådana personuppgifter som avses där för vilket ändamål som helst. Exempelvis en lista som på osakliga grunder samlats in med personuppgifter om offentliga personer kan inte berättigas med denna rättsliga grund för behandling av personuppgifter.  

Proportionalitet bedöms förutom med stöd av mängden insamlade personuppgifter bland annat med stöd av behandlingsåtgärder. Paragrafens 1 mom. 1 punkt ger inte rätt att hålla personuppgifter tillgängliga för allmänheten. Sådan behandling av personuppgifter som avses i punkten ska också i alla andra avseende motsvarar de krav som ställs på personuppgiftsansvariga i den allmänna dataskyddsförordningen. Även den registrerades rättigheter enligt den allmänna dataskyddsförordningen ska tillämpas fullt ut. Den registrerade har enligt artikel 17 i den allmänna dataskyddsförordningen t.ex. rätt till radering (rätten att bli bortglömd) och enligt artikel 21 rätt att göra invändningar. 

I paragrafens 2 punkt föreskrivs om den rättsliga grunden för behandlingen av personuppgifter för att utföra en uppgift av allmänt intresse i myndighetens verksamhet. I bestämmelsen förtydligas också att behandlingen ska behövas och vara proportionell. Syftet med bestämmelsen är att göra det möjligt för myndigheter att behandla personuppgifter när rätten till behandling inte direkt kan härledas från en uppgifts- och behörighetsbestämmelse som gäller myndigheten eller från mera detaljerad specialreglering, om sådan finns. Eftersom bestämmelsen förutsätter att behandlingen behövs i myndighetens verksamhet, möjliggör bestämmelsen sådan behandling av personuppgifter som är ändamålsenligt motiverad med avseende på myndighetens uppgifter och behörighet. Behandlingen ska dessutom stå i proportion till utförandet av myndighetens uppgift. Detta skulle klargöra att myndigheten alltid från fall till fall ska bedöma om en aktuell behandling av personuppgifter kan anses vara proportionell med hänsyn till syftet med behandlingen. Som i all behandling av personuppgifter ska även i denna bedömning tas hänsyn till principerna för behandling av personuppgifter i artikel 5 i den allmänna dataskyddsförordningen, t.ex. principen om uppgiftsminimering, enligt vilken personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Den personuppgiftsansvarige ska också bedöma behandlingens proportionalitet i förhållande till den registrerades intressen och grundläggande rättigheter. När den personuppgiftsansvarige behandlar personuppgifter med stöd av den personuppgiftsansvariges berättigade intressen i artikel 6.1 f i dataskyddsförordningen ska den personuppgiftsansvarige ta särskild hänsyn till om den registrerade är ett barn. På motsvarande sätt ska den personuppgiftsansvarige ta hänsyn till detta vid behandlingen av personuppgifter i enlighet med det föreslagna 2 mom.  

Genom nationell lag kan fastställas och närmare ange för vilka uppgifter och syften ytterligare behandling av personuppgifter bör betraktas som förenlig och laglig, om behandlingen behövs för att fullgöra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra. Syftet med uppgiften är inte att skapa en rättslig grund för sådan ytterligare behandling av personuppgifter som står i strid med de ursprungliga ändamålen med behandlingen av personuppgifter. Om behandlingen är förenlig med de ändamål för vilka personuppgifterna ursprungligen samlats in, krävs det inte någon annan separat rättslig grund för behandlingen än den med stöd av vilken insamlingen av personuppgifter medgavs. Det är alltså inte fråga om en sådan situation som avses i skäl 50 i den allmänna dataskyddsförordningen där det i unionsrätten eller medlemsstaternas nationella rätt kan fastställas och närmare anges för vilka uppgifter och syften ytterligare behandling bör betraktas som förenlig och laglig. När det föreskrivs om en sådan rättslig grund för behandlingen ska denna enligt artikel 6.4 i den allmänna dataskyddsförordningen bedömas med tanke på skyddet för de mål som ställs i artikel 23.1 i den allmänna dataskyddsförordningen. När det i någon annan lag föreskrivs om en rättslig grund för behandling av personuppgifter med stöd av vilken sådan ytterligare behandling av personuppgifter som står i strid med ändamålen är möjlig, ska denna alltid motiveras i detalj med särskild hänsyn till artikel 23 i den allmänna dataskyddsförordningen.  

Den rättsliga grund för behandlingen som föreskrivs i lagrummet ska endast gälla myndigheters behandling av personuppgifter. När privaträttsliga samfund sköter offentliga förvaltningsuppgifter, ska antingen artikel 6.1 c eller f i den allmänna dataskyddsförordningen, enligt vilken personuppgifter får behandlas för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen. Led f i artikeln ska dock inte gälla för behandling som utförs av myndigheter när de fullgör sina uppgifter. Den föreslagna 3 § 2 punkten behövs därmed för att myndigheterna ska kunna behandla personuppgifter för att fullgöra andra uppgifter än sina lagstadgade skyldigheter. En sådan uppgift kan t.ex. vara myndigheternas planerings- och utredningsuppgifter.  

Med stöd av lagrummet kan personuppgifter behandlas t.ex. för myndigheternas planerings- och utredningsuppgifter också i framtiden. För närvarande innehåller 16 § i personuppgiftslagen bestämmelser om myndigheternas möjligheter att på andra grunder än de som nämns i 8 § 1 mom. i personuppgiftslagen samla in och registrera personuppgifter i myndighetens personregister för planerings- och utredningsuppgifter. Det register som avses i 16 § i personuppgiftslagen får endast föras under en viss tid. När det gäller att samla in och registrera personuppgifter ska i tillämpliga delar då iakttas bestämmelserna i 14 § i personuppgiftslagen om behandling av personuppgifter för historisk eller vetenskaplig forskning. Bestämmelsen i personuppgiftslagen har ansetts behövlig därför att myndigheternas där avsedda planerings- och utredningsuppgift i allmänhet inte kan vara sådan historisk eller vetenskaplig forskning som avses i 14 §. En sådan planerings- och utredningsuppgift som avses i personuppgiftslagen kan anknyta till ett nytt fenomen som uppstått i samband med den samhälleliga utvecklingen, och skötseln av uppgifter i anknytning till fenomenet hör inte ännu klart till någon myndighets lagstadgade uppgifter och personuppgifter har därmed inte kunnat behandlas med stöd av 8 § 1 mom. 4 punkten i personuppgiftslagen. Sådana planeringsuppgifter och utredningar har ansetts motiverade av allmänt intresse. Då kan det finnas ett behov av att samla in och registrera även personuppgifter.  

Paragraf 16 § i personuppgiftslagen har ansetts vara möjlig förutom med stöd av artikel 7 f i det gamla dataskyddsdirektivet även med stöd av led e i artikeln. Artikel 7 e i det gamla dataskyddsdirektivet tillåter behandling av personuppgifter när den behövs (i förordningens svenska version används ordet nödvändig) för att utföra en arbetsuppgift av allmänt intresse eller är ett led i myndighetsutövning som utförs av den registeransvarige. Medan det vid insamling och registrering av personuppgifter med stöd av 16 § i personuppgiftslagen i tillämpliga delar ska iakttas de krav för behandling av personuppgifter för historiska och vetenskaplig forskning som ställs i 14 §, har det i förarbetena till lagen ansetts att den registrerades rättigheter och friheter beaktas i den aktuella paragrafen så som det gamla dataskyddsdirektivet förutsätter. Med personuppgiftslagens rättsliga grund för behandling av personuppgifter som gäller myndigheternas utredningsuppgifter har dessutom genomförts artikel 7 f i det gamla dataskyddsdirektivet. Artikel 7 e i det gamla dataskyddsdirektivet motsvarar den föreslagna rättsliga grunden för behandling. Den rättsliga grunden för behandling följer alltså av artikel 6.1. e i den allmänna dataskyddsförordningen. Behandlingen av personuppgifter för att utföra en myndighets planerings- och utredningsuppgifter behövs för att utföra en uppgift av allmänt intresse. Vid behandlingen av personuppgifter med stöd av artikel 6.1 e i den allmänna dataskyddsförordningen har den registrerade med stöd av artikel 21 i den allmänna dataskyddsförordningen rätt att göra invändningar mot behandlingen av hans eller hennes personuppgifter. För närvarande innehåller personuppgiftslagen inte någon motsvarande möjlighet att göra invändningar mot behandlingen av personuppgifter när myndigheterna behandlar personuppgifter för planerings- eller utredningsuppgifter.  

I 3 punkten föreskrivs om behandling av personuppgifter för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i den allmänna dataskyddsförordningen för vetenskaplig eller historisk forskning eller för statistikföring. Bestämmelsen grundar sig på bemyndigandet i artikel 6.2 i den allmänna dataskyddsförordningen enligt vilken det är möjligt att genom nationell lagstiftning specificera artikel 6.1 e i den allmänna dataskyddsförordningen i synnerhet i fråga om behandlingssituationerna i kap. IX. Genom den föreslagna bestämmelsen genomförs också kravet enligt artikel 6.3 i den allmänna dataskyddsförordningen att nationellt föreskriva om grunden för behandling enligt artikel 6.1 e. Bestämmelsen kompletterar och specificerar förordningen. Genom den specificeras innehållet i artikel 6.1 e vad gäller forskningssystemet och rättssystemet i Finland.  

Bestämmelsen begränsar inte den krets av aktörer som kan åberopa denna behandlingsgrund. Personuppgifter kan med stöd av bestämmelsen behandlas av fysiska personer samt av offentliga och privata juridiska personer.  

Behandling av personuppgifter för vetenskapliga eller historiska ändamål eller för statistikföring förutsätter att någon av behandlingsgrunderna enligt artikel 6.1 i den allmänna dataskyddsförordningen uppfylls. Utöver det föreslagna lagrummet kan personuppgifter därmed också behandlas i ovan nämnda situationer, om någon annan av behandlingsgrunderna enligt artikel 6.1 i den allmänna dataskyddsförordningen uppfylls. Behandling av personuppgifter för vetenskapliga forskningsändamål är således möjlig om t.ex. den registrerade har gett sitt samtycke till behandlingen eller det är fråga om ett sådant berättigat intresse för den personuppgiftsansvarige som avses i artikel 6.1 f i den allmänna dataskyddsförordningen.  

Personuppgifter kan med stöd av lagrummet behandlas för vetenskaplig eller historisk forskning eller för statistikföring, om behandlingen behövs och står i proportion till det mål av allmänt intresse som eftersträvas. Vid bedömningen av behövlighet och proportionalitet ska särskild hänsyn i synnerhet tas till artikel 5 c och e i den allmänna dataskyddsförordningen som gäller principerna för behandling av personuppgifter. Den personuppgiftsansvarige har ansvarsskyldighet enligt artikel 5.1 f i den allmänna dataskyddsförordningen. Den personuppgiftsansvarige ska således kunna visa att behandlingen behövs och är proportionell. Ytterligare behandling av personuppgifter för sådana ändamål som avses i den föreslagna bestämmelsen ska alltid bedömas separat. Vid bedömningen ska t.ex. tas hänsyn till villkoren i forskningstillståndet för materialet och tidigare samtycken som getts i anknytning till materialet. Enligt skäl 33 i den allmänna dataskyddsförordningen är det ofta inte möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter. Därför bör registrerade kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när vedertagna etiska standarder för vetenskaplig forskning iakttas. Registrerade bör ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta.  

Sådan behandling av personuppgifter för statistiska ändamål som avses i lagrummet kan t.ex. vara lönestatistik. 

I 4 punkten föreskrivs om behandling av personuppgifter för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i den allmänna dataskyddsförordningen, om behandling av forskningsmaterial och kulturarvsmaterial som innehåller personuppgifter samt av personuppgifter i anknytning till beskrivningar av innehållet i dessa material behövs för arkivändamål och står i proportion till det mål av allmänt intresse som eftersträvas och den registrerades rättigheter. 

Bestämmelsen grundar sig på bemyndigandet i artikel 6.2 i den allmänna dataskyddsförordningen enligt vilken det är möjligt att genom nationell lagstiftning specificera artikel 6.1 e i den allmänna dataskyddsförordningen i synnerhet i fråga om behandlingssituationerna i kap. IX. Genom den föreslagna bestämmelsen genomförs också kravet enligt artikel 6.3 i den allmänna dataskyddsförordningen att nationellt föreskriva om grunden för behandling enligt artikel 6.1 e. Bestämmelsen kompletterar och specificerar förordningen. Genom den specificeras innehållet i artikel 6.1 e vad gäller förhållandena i forskningssystemet och rättssystemet i Finland, där det t.ex. inte finns lagstiftning om samtliga betydande arkivaktörers ställning. Avsikten är dock inte att genom bestämmelsen begränsa området för behandling av personuppgifter i vetenskapliga och historiska forskningsändamål jämfört med vad det är direkt med stöd av artikel 6.1 e i den allmänna dataskyddsförordningen.  

Genom bestämmelsen strävas inte heller efter att definiera omfattningen av sådan användning som följer av arkivändamål av allmänt intresse. Den slås i sista hand fast i EU-domstolens tolkningspraxis. Den kan i varje fall anses omfatta även annan behandling av material än förvaring. Arkivering av allmänt intresse inbegriper åtminstone organisering av material, definition av metadata och statistisk sammanställning. 

Behandling av personuppgifter för arkivändamål förutsätter att åtminstone en av behandlingsgrunderna enligt artikel 6.1 i den allmänna dataskyddsförordningen uppfylls. Alla behandlingsgrunder i artikeln är likvärdiga. Arkivering är således möjlig, om någon av dessa behandlingsgrunder uppfylls. I den mån det ändå görs undantag från principen om ändamålsbegränsning för behandling av personuppgifter eller om lagringsminimering som avses i artikel 5 i den allmänna dataskyddsförordningen, förutsätter den allmänna dataskyddsförordningen att det är fråga om ett arkivändamål av allmänt intresse. Förvaring av personuppgifter för arkivändamål längre än deras ursprungliga användningsändamål är därmed möjlig endast om arkiveringen är av allmänt intresse. Vilken rättslig grund i artikel 6.1 behandlingen av personuppgifter baserar sig på har även inverkan på vilka rättigheter den registrerade har. I det föreslagna lagrummet specificeras hur behandlingsgrunden enligt artikel 6.1 e uppfylls när det gäller arkivändamål av allmänt intresse. 

Kulturarvsmaterial registreras ofta i många olika minnesorganisationer: i bil, arkiv och museer. Dessa aktörer kan vara både myndigheter och privata aktörer. Bestämmelsen begränsar inte kretsen av sådana aktörer som kan behandla personuppgifter med stöd av behandlingsgrunden i punkt 4. Behandling av personuppgifter är således enligt den föreslagna punkten möjlig för såväl fysiska personer som för offentliga eller privata juridiska personer. Verksamhet av allmänt intresse och dess förhållande till den registrerades rättigheter är väsentlig. När det gäller myndigheter föreskrivs dock genom lag om arkiveringsuppgift. Forskningsmaterial uppstår i synnerhet i högskolornas och forskningsinstitutens verksamhet. Förutsättningarna för behandling av dessa material är de samma som för kulturarvsmaterial. Arkiveringen av dem förutsätter således behovsprövning och bedömning av proportionaliteten.  

Behandlingen av personuppgifter innefattar tanken på personuppgifternas livscykel där det måste definieras en början och ett slut för ett personregister och för behandlingen av personuppgifter. Mot slutet av livscykeln kan materialet förstöras, anonymiseras eller arkiveras, om det finns sakliga grunder för arkiveringen. Utgångspunkten är dock att behandlingen av personuppgifter ska betjäna det primära ändamålet, och endast i undantagsfall kan materialet anses så betydande att det är motiverat att förvara det för något annat ändamål. Den personuppgiftsansvariges ansvar för att behandla arkiverat material som innehåller personuppgifter i enlighet med den allmänna dataskyddsförordningen består trots arkiveringen.  

Med kravet i lagrummet på att behandlingen ska behövas och vara proportionell avses att legitimiteten för lagring av personuppgifter för varje personuppgift eller kategori av personuppgifter ska bedömas regelbundet i förhållande till ett arkiveringsbehov av allmänt intresse. På arkiveringsbehovet inverkar i synnerhet en eventuell användning av informationen för forskning eller något annat värde i anknytning till kulturarvet. Vid bedömningen ska särskild hänsyn i synnerhet tas till artikel 5 c och e i den allmänna dataskyddsförordningen som gäller principerna för behandling av personuppgifter. Artikel 5 c i förordningen innehåller principen om uppgiftsminimering enligt vilken personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Enligt artikel 5.1 e i den allmänna dataskyddsförordningen ska personuppgifter förvaras i en form som möjliggör identifiering av den registrerade endast så länge som det behövs för att iaktta ändamålen med behandlingen. Personuppgifter kan förvaras längre tider, om personuppgifter behandlas endast för arkivändamål av allmänt intresse enligt artikel 89.1 förutsatt att de ändamålsenliga tekniska och organisatoriska åtgärder som krävs i den allmänna dataskyddsförordningen har genomförts för att skydda den registrerades rättigheter och friheter.  

Regleringen ska gälla både kulturarvsmaterial som uppkommer i samband med annan verksamhet och forskningsmaterial som samlas inom ramen för forskning. Det finns ett brett spektrum av kulturarvsmaterial. De kan förutom material som samlats i människors verksamhet och berättar om verksamhetens historia och betydelse dessutom innehålla bland annat information om naturarv och konst. Kulturarvsmaterial kan t.ex. vara dokument, föremål, trycksaker, konstverk, naturvetenskapligt material, bilder och audiovisuellt material samt dokumentmaterial och enkätmaterial. Tillämpningen av den allmänna dataskyddsförordningen och den föreslagna dataskyddslagen förutsätter dock att kulturarvsmaterial eller innehålls- och referensinformationen som gäller sådant material innehåller personuppgifter. Med beskrivning av innehållet avses referensuppgifter och andra definitioner som gör att materialet kan sammanföras med ärenden och personer och syftar till att göra materialet mera informativt och tillgängligt.  

Den föreslagna grunden för behandling av personuppgifter inbegriper också en möjlighet att behandla kulturarvsmaterial i syfte att göra materialen tillgängliga. Den personuppgiftsansvarige ska även för detta ändamål bedöma om behandlingen är behövlig och står i proportion till det eftersträvade målet. Den personuppgiftsansvarige ska vid bedömningen av om behandlingen är proportionell beakta den registrerades rättigheter och de allmänna principerna för behandling av personuppgifter. Om det har gjorts undantag från den registrerades rättigheter med stöd av 33 § i lagen, ska den personuppgiftsansvarige särskilt notera detta vid bedömningen av om behandlingen är proportionell. När t.ex. omfattande fotografimaterial görs tillgängliga kan den personuppgiftsansvarige t.ex. fästa uppmärksamhet vid materialets ålder och vid i vilken omfattning materialet görs tillgängligt.  

5 §.Åldersgräns som tillämpas när informationssamhällets tjänster erbjuds till barn. I paragrafen föreskrivs att behandlingen av ett barns personuppgifter när informationssamhällets tjänster tillhandahålls ska vara lagenlig endast om barnet är minst 13 år. Om barnet är under 13 år ska sådan behandling vara lagenlig endast om och i den mån samtycke ges eller godkänns av den person som har föräldraansvar för barnet. Bestämmelser om åldersgräns för barn kan utfärdas med stöd av artikel 8.1 i den allmänna dataskyddsförordningen. Om det inte utfärdas nationella bestämmelser om åldersgränsen för barn bestäms den direkt med stöd av artikel 8 i dataskyddsförordningen till 16 år. Den åldersgräns som anges i paragrafen ska endast gälla sådan behandling av personuppgifter där den rättsliga behandlingsgrunden för behandlingen är artikel 6.1.a i den allmänna dataskyddsförordningen, dvs. den registrerades samtycke. 

Med person med föräldraansvar avses t.ex. enligt Bryssel II-förordningen (rådets förordning nr 2201/2003 av den 27 november 2003 om domstols behörighet och om erkännande och verkställighet av domar i äktenskapsmål och mål om föräldraansvar samt om upphävande av förordning (EG) nr 1347/2000) varje person som har föräldraansvar för ett barn. Med föräldraansvar avses enlig Bryssel II-förordningen alla rättigheter och skyldigheter som en fysisk eller juridisk person har tillerkänts genom en dom, på grund av lag eller genom en överenskommelse med rättslig verkan, med avseende på ett barn eller dess egendom. Föräldraansvar omfattar bland annat vårdnad och umgänge. Nationellt har personer med föräldraansvar i allmänhet ansetts vara barnets vårdnadshavare och intressebevakare. 

Med informationssamhällets tjänster avses med stöd av artikel 4.25 i den allmänna dataskyddsförordningen alla tjänster enligt definitionen i artikel 1.1 b i Europaparlamentets och rådets direktiv (EU) 2015/1535. Enligt nämnda bestämmelse avses med informationssamhällets tjänster som vanligtvis utförs mot ersättning på distans, på elektronisk väg och på individuell begäran av en tjänstemottagare. Med ’på distans’ avses tjänster som tillhandahålls utan att parterna är närvarande samtidigt. Med ’på elektronisk väg’ avses en tjänst som sänds vid utgångspunkten och tas emot vid slutpunkten med hjälp av utrustning för elektronisk behandling och lagring av uppgifter, och som i sin helhet sänds, befordras och tas emot genom tråd, radio, optiska medel eller andra elektromagnetiska medel. Med ’på individuell begäran av en tjänstmottagare’ avses en tjänst som tillhandahålls genom överföring av uppgifter på individuell begäran.  

I enlighet med artikel 8.3 i den allmänna dataskyddsförordningen påverkar de villkor som tillämpas på ett barns samtycke i fråga om informationssamhällets tjänster inte den nationella avtals- eller obligationsrätten, t.ex. ett barns behörighet att över huvud taget företa rättshandlingar. 

6 §.Behandling av särskilda kategorier av personuppgifter. I paragrafen föreskrivs om behandling av särskilda kategorier av personuppgifter. I de situationer som föreskrivs i paragrafen är det möjligt att behandla personuppgifter som hör till särskilda kategorier av personuppgifter. På behandling av personuppgifter tillämpas således inte i de situationer som avses i paragrafen artikel 9.1 i den allmänna dataskyddsförordningen där behandling av sådana uppgifter förbjuds.  

I artikel 9.2 i den allmänna dataskyddsförordningen föreskrivs om situationer där personuppgifter som hör till särskilda kategorier av personuppgifter kan behandlas. Vissa av strecksatserna i artikel 9.2 är direkt tillämpliga, vissa kräver lagstiftning i medlemsstaten. Inte heller då kan krav och principer som följer av den allmänna dataskyddsförordningen förbigås genom nationell lagstiftning. I den föreslagna 6 § föreskrivs om situationer enligt 12 § i den gällande personuppgiftslagen där känsliga personuppgifter får behandlas i den mån den aktuella behandlingen av personuppgifter inte är möjlig direkt med stöd av artikel 9.2 i den allmänna dataskyddsförordningen. Den allmänna dataskyddsförordningen förutsätter att medlemsstatens lagstiftning då innehåller även bestämmelser om lämpliga och särskilda åtgärder för att skydda den registrerades grundläggande fri- och rättigheter och intressen.  

Vissa ändringar som gäller 12 § i personuppgiftslagen följer dock av att särskilda kategorier av personuppgifter inte innefattar uppgifter om brottsliga gärningar, straff eller andra påföljder för ett brott. Enligt personuppgiftslagen är ovan nämnda uppgifter känsliga uppgifter. Artikel 10 i förordningen innehåller bestämmelser om behandling av personuppgifter som rör fällande domar i brottmål samt överträdelser. I särskilda kategorier av personuppgifter ingår inte heller uppgifter som enligt den gällande personuppgiftslagen är känsliga och rör uppgifter om någons behov av socialvård eller de socialvårdstjänster, stödåtgärder och andra förmåner inom socialvården som någon erhållit. Det ska inte längre föreskrivas om sådan behandling av känsliga personuppgifter enligt 12 § 13 punkten i den gällande personuppgiftslagen som är möjlig med datasekretessnämndens tillstånd.  

I det föreslagna 6 § 2 mom. föreskrivs om lämpliga och särskilda åtgärder för att skydda den registrerades grundläggande fri- och rättigheter och intressen. Utöver den föreslagna 6 § kan närmare bestämmelser om sådan behandling av personuppgifter som avses i artikel 9.2 i den allmänna dataskyddsförordningen även utfärdas genom speciallagstiftning.  

Formuleringen av paragrafen avviker från den nuvarande formuleringen i personuppgiftslagen så att artikel 9.1 enligt den föreslagna paragrafen inte ska tillämpas i situationer som anges i 6 §. Enligt 12 § i personuppgiftslagen utgör förbudet mot behandling av känsliga personuppgifter inte hinder för behandling av personuppgifter i situationer som anges i 12 §. Syftet med ändringen är inte att ändra nuläget, utan det är fråga om ett uttryckssätt som överensstämmer med artikel 9.2 i den allmänna dataskyddsförordningen.  

I 1 mom. 1 punkten preciseras behandlingssituationerna för behandling av personuppgifter av särskilda kategorier när det gäller behandling av uppgifter som försäkringsanstalter fått i försäkringsverksamheten. Detta är möjligt med stöd av artikel 9 g i den allmänna dataskyddsförordningen. Preciseringen i 1 punkten behövs för att försäkringsanstalter även framöver ska kunna behandla uppgifter som de fått i försäkringsverksamheten om den försäkrades och ersättningssökandens hälsotillstånd, sjukdom eller handikapp eller de vårdåtgärder som gäller honom eller henne eller andra därmed jämförbara åtgärder. Momentets 1 punkt motsvarar 12 § 11 punkten i den gällande personuppgiftslagen enligt vilken försäkringsanstalter kan behandla uppgifter som är nödvändiga för att utreda anstaltens ansvar och som anstalten i försäkringsverksamheten fått om den försäkrades och ersättningssökandens hälsotillstånd, sjukdom eller handikapp eller de vårdåtgärder som gäller honom eller andra därmed jämförbara åtgärder eller sådana uppgifter om en brottslig gärning som har begåtts av en försäkrad, den som ansöker om ersättning eller den som orsakat skada och om straff eller annan påföljd för brottet. 

Den rättsliga grunden för behandling enligt 12 § 11 punkten i den gällande personuppgiftslagen ingår inte uttryckligen i artikel 8 i det gamla personuppgiftsdirektivet som gäller behandlingen av särskilda kategorier av uppgifter, men har ansetts möjlig med stöd av artikel 8.4 och 5. Enligt artikel 8.4 får medlemsstaterna under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i artikel 8.2. En sådan grund skulle vara artikel 9.2 g enligt vilken känsliga uppgifter får behandlas om det behövs (i förordningens svenska version används ordet nödvändigt) av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, förutsatt att den står i proportion till det eftersträvade syftet, är förenlig med det väsentliga innehållet i rätten till dataskydd och innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Den föreslagna bestämmelsen kan därmed anses proportionerlig. Dessutom är försäkringsanstalternas verksamhet reglerad i detalj.  

Enligt 1 punkten hindrar artikel 9.1 i den allmänna dataskyddsförordningen inte heller i framtiden försäkringsanstalter att behandla vissa personuppgifter som hör till särskilda kategorier av personuppgifter för att utreda sitt ansvar. Försäkringsanstalter kan därmed behandla uppgifter om den försäkrades och ersättningssökandens hälsotillstånd, sjukdom eller handikapp eller de vårdåtgärder som gäller honom eller henne eller andra därmed jämförbara åtgärder. Artikel 9.1 i den allmänna dataskyddsförordningen omfattar bland annat hälsouppgifter. De uppgifter som avses i 6 § i dataskyddslagen är uppgifter som rör hälsa. Artikel 9 som gäller särskilda kategorier av personuppgifter omfattar förutom uppgifter som betraktas som känsliga bland annat behandling av genetiska eller biometriska uppgifter för entydig identifiering. Försäkringsanstalter har enligt den föreslagna paragrafen inte heller i framtiden rätt att behandla genetiska uppgifter.  

Eftersom också andra försäkringsanstalter än försäkringsbolag — exempelvis försäkringsföreningar, pensionsstiftelser och pensionskassor — har samma behov av att behandla uppgifter om någons hälsotillstånd i sin verksamhet föreslås bestämmelser om försäkringsanstalters rätt att behandla uppgifter. Försäkringsanstalter får med stöd av 6 § förutom uppgifter som rör den försäkrade även behandla uppgifter som rör ersättningssökanden. Detta beror på att försäkringsanstalter i sin verksamhet måste behandla uppgifter om hälsotillstånd som gäller även andra ersättningssökande än försäkrade. T.ex. en person som skadats i en trafikolycka är sällan den försäkrade, utan en utomstående som drabbats av en personskada i en trafikolycka. 

Momentets 1 punkt innehåller inte på samma sätt som 12 § 11 punkten i den gällande personuppgiftslagen någon behandlingsgrund för behandling av personuppgifter för en brottslig gärning, straff eller någon annan påföljd för brottet, eftersom det i 7 § i den föreslagna lagen finns en bestämmelse om behandling av personuppgifter som gäller fällande domar i brottmål samt överträdelser. 

De detaljerade bestämmelserna om försäkringsanstalter tillsammans med försäkringsverksamhetens tillståndspliktighet och behandlingsrätten som är begränsad till utredning av ansvaret i försäkringsverksamhet kan för sin del anses utgöra lämpliga och särskilda åtgärder för att skydda den registrerades grundläggande fri- och rättigheter och intressen.  

I den föreslagna 6 § 1 mom. 2 punkten föreskrivs om behandling av personuppgifter som hör till särskilda kategorier av personuppgifter, om bestämmelser om behandlingen föreskrivs i lag eller om behandlingen beror på en uppgift som direkt har ålagts den personuppgiftsansvarige i lag. Punkten motsvarar 12 § 5 punkten i den gällande personuppgiftslagen. Bestämmelsen i personuppgiftslagen har ansetts möjlig med stöd av artikel 8.4 i det gamla dataskyddsdirektivet. Enligt artikel 8.4 i direktivet får medlemsstater under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse i sin nationella lagstiftning besluta om andra undantag än de som nämns i punkt 2. Även artikel 9.2 g i den allmänna dataskyddsförordningen inbegriper en möjlighet att med stöd av medlemsstatens lagstiftning göra undantag från behandlingsförbudet som gäller särskilda kategorier av personuppgifter, om behandlingen behövs av hänsyn till ett viktigt allmänt intresse. I dataskyddsförordningen förutsätts dessutom att lagstiftningen ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Lagstiftaren ska beakta dessa förutsättningar på behörigt sätt. Motsvarande krav följer även av de allmänna förutsättningar för begränsning av de grundläggande fri- och rättigheterna som är bindande för lagstiftaren. Det föreslagna lagrummet möjliggörs således av artikel 9.2 g i den allmänna dataskyddsförordningen. Bestämmelser om lämpliga och särskilda skyddsåtgärder föreskrivs i 2 mom. i den föreslagna paragrafen.  

I momentets 3 punkt föreskrivs om sådan behandling av uppgifter som gäller medlemskap i ett fackförbund som behövs för att den personuppgiftsansvarige ska kunna iaktta sina särskilda rättigheter och skyldigheter inom arbetsrättens område, Punkten motsvarar 12 § 9 punkten i den gällande personuppgiftslagen som möjliggör sådan behandling av information som gäller medlemskap i ett fackförbund som behövs för att den personuppgiftsansvarige ska kunna iaktta sina särskilda rättigheter och skyldigheter inom arbetsrättens område. Paragrafens 3 punkt möjliggör endast sådan behandling som gäller medlemskap i ett fackförbund. Därmed har de ändringar som följer av den allmänna dataskyddsförordningen i fråga om uppgifter ska anses höra till särskilda kategorier av personuppgifter ingen inverkan på det aktuella lagrummet.  

Det föreslagna lagrummet möjliggör på samma sätt som nu att även arbetsgivaren under de förutsättningar som föreskrivs där behandla uppgifter om medlemskap i ett fackförbund. En sådan situation kan förekomma t.ex. när uppgifter om medlemskap i ett fackförbund behövs för utredning av bindningar i ett tjänste- och arbetskollektivavtal eller i en arbetskonflikt för att utreda vilka som omfattas av arbetskonflikten. Bestämmelsen i personuppgiftsanslagen har ansetts möjlig med stöd av artikel 8.2 b i det gamla dataskyddsdirektivet enligt vilken särskilda kategorier av personuppgifter kan behandlas om behandlingen behövs (i direktivets svenska version används ordet nödvändig) för att fullgöra de skyldigheter och särskilda rättigheter som åligger den personuppgiftsansvarige inom arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder. Motsvarande möjlighet ingår i artikel 9.2 b i den allmänna dataskyddsförordningen. Enligt punkten är behandling av personuppgifter som hör till särskilda kategorier av personuppgifter möjlig om behandlingen behövs (i förordningens svenska version används ordet nödvändig) för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och på områdena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt unionsrätten eller medlemsstaternas nationella rätt eller ett kollektivavtal som antagits med stöd av medlemsstatens nationella rätt, där lämpliga skyddsåtgärder som säkerställer den registrerades grundläggande rättigheter och intressen fastställs. 

Möjligheten att behandla information om medlemskap i ett fackförbund är begränsad till situationer där det är fråga om den personuppgiftsansvariges rättigheter eller skyldigheter inom arbetsrätten. Den föreslagna bestämmelsen kan därmed anses proportionerlig. Bestämmelser om lämpliga skyddsåtgärder gäller den registrerades grundläggande fri- och rättigheter och intressen tas in i 2 mom. 

I momentets 4 punkt föreskrivs om rätten för en tillhandahållare av hälso- och sjukvårdstjänster att behandla uppgifter som tillhandahållaren i denna verksamhet fått om en persons hälsotillstånd eller handikapp eller en hälso- och sjukvårdstjänst och rehabiliteringstjänst som personen fått eller andra uppgifter som är nödvändiga för den registrerades vård. Den föreslagna 4 punkten motsvarar med vissa ändringar 12 § 10 punkten i den gällande personuppgiftslagen som anses vara möjlig med stöd av artikel 8.3 i det gamla dataskyddsdirektivet. Den föreslagna 4 punkten möjliggörs av artikel 9.2 h och i i den allmänna dataskyddsförordningen. Enligt punkt h i artikeln är behandling av särskilda kategorier av personuppgifter möjligt, om behandlingen behövs (i förordningens svenska version används ordet nödvändig) av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är uppfyllda. Enligt punkt i artikeln får personuppgifter som hör till särskilda kategorier av personuppgifter behandlas om behandlingen behövs av allmänt intresse på folkhälsoområdet, såsom behovet av att säkerställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska produkter, på grundval av unionsrätten eller medlemsstaternas nationella rätt, där lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter fastställs, särskilt tystnadsplikt. I fortsättningen kommer det inte längre att vara möjligt att med stöd av det föreslagna lagrummet behandla en brottslig gärning eller ett straff eller någon annan påföljd för brott, eftersom uppgifterna inte ingår i särskilda kategorier av personuppgifter. Denna ändring har dock ingen nämnvärd betydelse eftersom lagrummet förutom uppgifter om hälsotillstånd, sjukdom, handikapp och vårdåtgärder möjliggör behandling av sådana personuppgifter som är nödvändiga med hänsyn till vården av den registrerade. Information om en brottslig gärning, ett straff eller någon annan påföljd för brott är i princip inte nödvändig med tanke på vården av den registrerade. Bestämmelser om lämpliga och särskilda skyddsåtgärder föreskrivs i 2 mom. i den föreslagna paragrafen. 

Enligt 12 § i personuppgiftslagen har en verksamhetsenhet inom hälsovården eller en yrkesutbildad person inom hälso- och sjukvården rätt att behandla ovan nämnda uppgifter. Enligt det föreslagna lagrummet kommer tillhandahållare av hälso- och sjukvårdstjänster motsvarande rättighet i fortsättningen. Tillhandahållare av tjänster är ett allmänbegrepp som omfattar tjänsteanordnare och tjänsteproducent. Dessa är verksamhetsenheter och yrkesutbildade personer inom socialvården och hälso- och sjukvården och biträdande personal som lyder under dem. En åtgärd som gäller den registrerade ersätts med formuleringen ”en hälso- och sjukvårdstjänst och rehabiliteringstjänst som personen fått”. Rehabilitering kan ges av idrottsväsendet, kultur- och bildningsväsendet och undervisningsväsendet. De föreslagna ändringarna är mera heltäckande än den nuvarande formuleringen och stämmer överens med den terminologi som används i sekretessgrunderna i offentlighetslagen. Utöver dessa ändringar begränsas rätten att behandla uppgifter till ordnande och producering av tjänster. För närvarande gäller rätten mera allmänt uppgifter som överhuvudtaget erhållits i samband med den aktuella verksamheten.  

I 5 mom. föreskrivs att när en tillhandahållare av socialvård ordnar eller producerar tjänster eller beviljar förmåner får tillhandahållaren behandla uppgifter som den i denna verksamhet fått om en persons hälsotillstånd eller handikapp eller en hälso- och sjukvårdstjänster och rehabiliteringstjänst som eller andra uppgifter som är nödvändiga med avseende på beviljande av en tjänst eller förmån för den registrerade. De uppgifter som avses i bestämmelsen och som är nödvändiga för vården av den registrerade kan t.ex. vara uppgifter om handikapp i handikappvården eller motsvarande uppgifter som utgör grunden för behovet av och innehållet i vården. 

Den föreslagna 5 punkten möjliggörs av artikel 9.2 b och g i den allmänna dataskyddsförordningen. Enligt strecksats b i artikeln är behandling av särskilda kategorier av personuppgifter möjlig, om behandlingen behövs (i förordningens svenska version används ordet nödvändig) för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och på områdena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt unionsrätten eller medlemsstaternas nationella rätt eller ett kollektivavtal som antagits med stöd av medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder som säkerställer den registrerades grundläggande rättigheter och intressen fastställs,  

Den föreslagna 5 punkten motsvarar med vissa ändringar 12 § 12 punkten i den gällande personuppgiftslagen. Även om en person behov av socialvård eller de tjänster, stödåtgärder och andra förmåner inom socialvården som han eller hon fått inte är sådana uppgifter som hör till särskilda kategorier av personuppgifter enligt artikel 9.1 i den allmänna dataskyddsförordningen behövs en sådan bestämmelse som den nuvarande fortfarande, eftersom de aktörer som avses i bestämmelsen i sådan verksamhet som avses i lagrummet kan behöva behandla andra personuppgifter som hör till särskilda kategorier av personuppgifter, t.ex. uppgifter som rör hälsa. I bestämmelsen stryks dock punkten enligt den gällande personuppgiftslagen som gäller tjänster och stödåtgärder som den registrerade fått inom socialvården, eftersom det när den allmänna dataskyddsförordningen börjar tillämpas inte längre i detta avseende behövs särskilda bestämmelser om rätten att behandla uppgifter som inte omfattas av behandlingsförbudet i artikel 9.1 i den allmänna dataskyddsförordningen. 

Enligt det föreslagna lagrummet får personuppgifter som hör till särskilda kategorier av personuppgifter på samma sätt som nu behandlas förutom av socialvårdsmyndigheter också av andra myndigheter och inrättningar som beviljar socialvårdsförmåner. Detta har ansetts nödvändigt, eftersom även dessa aktörer när de beviljar socialvårdsförmåner och tillhandahåller socialvårdstjänster måste behandla personuppgifter som hör till särskilda kategorier av personuppgifter i samband med ordnandet av socialvården. Med stöd av bestämmelsen får sådana uppgifter som avses där dessutom behandlas även av privata socialserviceproducenter.  

Den föreslagna 5 punkten är likadan som punkt 4 i samma paragraf. Den föreslagna 5 punkten ska dock gälla tillhandahållare av socialvård medan den föreslagna 4 punkten gäller tillhandahållare av hälsovård. Det föreslagna lagrummet skiljer sig i 4 punkten också så att tjänsteleverantörer med stöd av 5 punkten ska ha rätt att behandla de uppgifter som avses i lagrummet även när de beviljar förmåner. I lagrummet ska dessutom ingå rätten att behandla förutom uppgifter som tjänsteleverantören erhåller även uppgifter som denna producerar. Paragrafens 5 punkt innehåller inte på samma sätt som 12 § 12 punkten i den gällande personuppgiftslagen möjligheten att behandla uppgifter vilkas syfte är att beskriva en brottslig gärning, ett straff eller någon annan påföljd för ett brott. Bestämmelser om behandling av personuppgifter som gäller fällande domar i brottmål och överträdelser tas in i 7 § i den föreslagna lagen.  

Möjligheten att behandla uppgifter som ingår i särskilda kategorier av personuppgifter är noga begränsad till sådana aktörer och situationer som avses i lagrummet. Den föreslagna bestämmelsen kan därmed anses proportionerlig. Bestämmelser om lämpliga skyddsåtgärder gäller den registrerades grundläggande fri- och rättigheter och intressen tas in i 2 mom. 

Paragrafens 6 punkt är ny. Motsvarande grund för behandling av känsliga personuppgifter ingår inte i personuppgiftslagen. Enligt den föreslagna punkten kan uppgifter om hälsa och genetiska uppgifter behandlas i den mån behandlingen av dessa uppgifter är nödvändig för att möjliggöra antidopningsarbetet eller handikappades och långtidssjukas idrott. Rätten att behandla uppgifter är begränsad till uppgifter om hälsa och genetiska uppgifter. Den föreslagna punkten möjliggörs av artikel 9.2 g i dataskyddsförordningen.  

Enligt det föreslagna lagrummet kan uppgifter för det första behandlas för att möjliggöra antidopningsarbetet. Dataskyddsfrågorna i antidopningsarbetet gäller i synnerhet provtagningen och så kallad dispens där idrottaren med stöd av sina hälsouppgifter beviljas rätt att använda läkemedel eller metoder som annars är förbjudna. I Finland svarar Finlands centrum för etik inom idrotten FCEI rf tillsammans med de nationella och internationella grenförbunden för antidopningsarbetet. Finland har förbundit sig att bekämpa dopning genom två internationella konventioner vilka är Europarådets konvention mot dopning som ingicks i Strasbourg den 16 november 1989 och Förenta nationernas (FN) konvention mot dopning som ingicks den 19 oktober 2005 i Paris. Europarådets konvention mot dopning har genomförts genom en blankettlag i Finland. FN:s konvention mot dopning har i Finland genomförts genom en förordning av republikens president. Bestämmelser om sådan föreslagen behandling av uppgifter som hör till särskilda kategorier av personuppgifter och gäller en mycket smal sektor ska i princip föreskrivas genom en speciallag. Det finns dock ingen naturlig plats i den nationella speciallagstiftningen för det föreslagna lagrummet, eftersom de internationella skyldigheter som är bindande för Finland har genomförts genom en blankettlag och genom en förordning av republikens president. Därför föreslås att bestämmelser om sådan behandling av uppgifter som hör till särskilda kategorier av personuppgifter och i princip ska utfärdas genom speciallagstiftning tas in i en allmän lag.  

Enligt det föreslagna lagrummet kan uppgifter om hälsa och genetiska uppgifter behandlas även för att möjliggöra handikappades och långtidssjukas idrott. Långtidssjuka bör inkluderas i det föreslagna lagrummet eftersom även långtidssjuka, personer som fått organdonationer och personer som får dialysvård kan delta t.ex. i de Paralympiska spelen förutom handikappade. FN:s konvention om rättigheter för personer med funktionsnedsättning (Convention on the Rights of Persons with Disabilities 13.12.2006, CRPD) som Finland ratificerat tryggar lika rätt för personer med funktionsnedsättning att delta i idrottsverksamhet på alla nivåer (artikel 30). När det gäller handikappidrott hänför sig dataskyddsfrågor i synnerhet till kategoriseringen av skador och de hälsouppgifter som behövs för dem. De centrala aktörerna inom handikappidrotten i Finland är Finlands Handikappidrott och -motion VAU rf och Finlands Paralympiska Kommitté. De är medlemmar i Internationella paralympiska kommittén (International Paralympic Committee). Internationella paralympiska kommittén har stärkt dataskyddsstandarden (International Standard for Classification Data Protection), som den förutsätter att medlemmarna följer. Denna bestämmelse kan iakttas också utanför de handikappgrupper som Internationella paralympiska kommittén representerar. I handikappidrotten kan förutsättningarna för frivilligt och uttryckligt samtycke uppfyllas lättare än inom annan elitidrott och professionell idrott och därför kan också artikel 9.2 a bli aktuell som en grund som möjliggör behandling av personuppgifter. 

På grund av verksamhetens internationella karaktär ska det i antidopningsverksamhet och handikappidrott fästas särskild vikt vid överföringen av uppgifter till tredje länder och vid kapitel V i den allmänna dataskyddsförordningen som gäller överföring av personuppgifter.  

I den föreslagna 6 § 1 mom. 7 punkten föreskrivs om behandling av särskilda kategorier av personuppgifter för vetenskaplig eller historisk forskning eller för statistikändamål. Den föreslagna punkten möjliggörs med stöd av artikel 9.2 j i dataskyddsförordningen. Enligt artikel 9.2 j i den allmänna dataskyddsförordningen som gäller särskilda kategorier av personuppgifter är behandling av sådana uppgifter som avses i 1 punkten tillåten när det behövs (i förordningens svenska version används ordet nödvändigt) för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Det förutsätts då att lagstiftningen ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. 

Behandling av uppgifter som hör till särskilda kategorier av personuppgifter ska även i fortsättningen i nationell lagstiftning möjliggöras för vetenskapliga och historiska forskningsändamål samt för statistiska ändamål. Uppgifter som hör till särskilda kategorier av personuppgifter får med stöd av den föreslagna bestämmelsen behandlas om den personuppgiftsansvarige och personuppgiftsbiträdet i enlighet med 2 mom. vidtar lämpliga och särskilda åtgärder för att skydda den registrerades rättigheter. 

Det föreslagna 2 mom. överlåter alltså åt den personuppgiftsansvarige och personuppgiftsbiträdet att i första skedet pröva hurdana skyddsåtgärder som är lämpliga med avseende på behandlingsåtgärderna. Av ansvarsskyldigheten i artikel 5.2 i den allmänna dataskyddsförordningen följer att den personuppgiftsansvarige och personuppgiftsbiträdet ska kunna visa att de skyddsåtgärder som valts är lämpliga och proportionella.  

Det är inte möjligt att med stöd av den föreslagna bestämmelsen göra ett undantag från den registrerades rättigheter som anges i dataskyddsförordningen, om det inte är möjligt direkt med stöd av dataskyddsförordningen. Bestämmelser om undantag från den registrerades rättigheter föreslås i 31 § i dataskyddslagen. Utöver den föreslagna 31 § begränsas den registrerades rättigheter dessutom i artikel 14.5 b, artikel 17.3 d och artikel 21.6 i dataskyddsförordningen.  

Den personuppgiftsansvarige kan behandla personuppgifter för de ändamål som avses i det föreslagna lagrummet även med stöd av något annat led i artikel 9.2. i den allmänna dataskyddsförordningen, t.ex. med stöd av uttryckligt samtycke enligt artikel 9.2 a. 

I den föreslagna 6 § 1 mom. 8 punkten föreskrivs om behandling av uppgifter som hör till särskilda kategorier av personuppgifter för behandling av vetenskapliga forskningsmaterial och kulturarvsmaterial för allmännyttiga arkivändamål. Den föreslagna punkten möjliggörs av artikel 9.2 j i dataskyddsförordningen. Enligt artikel 9.2 j i den allmänna dataskyddsförordningen som gäller särskilda kategorier av personuppgifter är behandling av sådana uppgifter som avses i 1 punkten tillåten när behandlingen behövs för arkivändamål av allmänt intresse i enlighet med artikel 89, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Det förutsätts då att lagstiftningen står i proportion till det eftersträvade syftet, är förenlig med det väsentliga innehållet i rätten till dataskydd och innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.  

Den föreslagna bestämmelsen ska endast gälla behandling av forsknings- och kulturarvsmaterial för allmännyttiga arkivändamål. Kulturarvsmaterial definieras inte i lagstiftningen. Kulturarvsmaterial kan t.ex. bestå av dokument, föremål, trycksaker, konstverk, naturvetenskapligt material, bilder och audiovisuellt material samt dokumentationsmaterial och enkätmaterial. Tillämpningen av bestämmelsen förutsätter dock att materialet innehåller personuppgifter. Sådan arkivering av forskningsmaterial som avses i bestämmelsen förutsätter att materialet inte är i aktiv användning. Omständigheter som gäller forskningen kan senare kontrolleras eller säkerställas i det arkiverade forskningsmaterialet.  

Vid bedömningen av när det är fråga om ett sådant allmännyttigt arkivändamål som avses i bestämmelsen kan det fästas avseende t.ex. vid om det är den personuppgiftsansvariges lagstadgade eller stadgeenliga uppgift att registrera och tillgängliggöra forsknings- eller kulturarvsmaterial. Uppmärksamhet ska dessutom fästas vid om arkivfunktionen bygger på en offentligt tillgänglig plan. Det föreslagna begreppet allmännyttigt arkivändamål motsvarar inte helt uttrycket ”arkivändamål av allmänt intresse” som används i den allmänna dataskyddsförordningen, utan är smalare än det. 

Uppgifter som hör till särskilda kategorier av personuppgifter får med stöd av den föreslagna bestämmelsen behandlas om den personuppgiftsansvarige och personuppgiftsbiträdet i enlighet med 2 mom. vidtar lämpliga och särskilda åtgärder för att skydda den registrerades rättigheter. Bestämmelsen tillåter dock inte behandling av genetiska uppgifter för arkivändamål, utan för sådan behandling krävs särskilda bestämmelser. 

I 2 mom. föreskrivs om lämpliga och särskilda åtgärder som den personuppgiftsansvarige eller personuppgiftsbiträdet ska vidta när de behandlar personuppgifter i sådana situationer som avses i paragrafens 1 mom. I 2 mom. finns en lista över åtgärder som lämpliga och särskilda åtgärder kan inbegripa. Listan är således inte täckande eller tvingande. Den personuppgiftsansvarige ska i första skedet pröva hurdana skyddsåtgärder de risker som är förknippade med behandling av personuppgifter förutsätter. Enligt det föreslagna 2 mom. kan dessa skyddsåtgärder vara åtgärder för att det i efterskott ska kunna säkerställas och bevisas vem som har lagrat, ändrat eller överfört personuppgifterna, åtgärder för att höja kompetensen hos den personal som behandlar personuppgifter, utnämning av ett dataskyddsombud, den personuppgiftsansvariges och personuppgiftsbiträdets interna åtgärder för att förhindra tillträde till personuppgifter, pseudonymisering av personuppgifter, kryptering av personuppgifter, åtgärder för att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och personuppgifterna, inbegripet förmåga att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet, särskilda förfarandebestämmelser för att säkerställa överensstämmelse med den allmänna dataskyddsförordningen och denna lag när personuppgifter överförs eller behandlas för något annat ändamål, en konsekvensbedömning avseende dataskydd enligt artikel 35 i dataskyddsförordningen samt andra tekniska, förfarandemässiga och organisatoriska åtgärder. Skyddsåtgärderna i 2 mom. överensstämmer med förordningen och kan t.ex. vara sådana skyldigheter som åläggs den personuppgiftsansvarige i förordningen och som den personuppgiftsansvarige avgör om han eller hon fullgör. Bestämmelser som motsvarar de skyddsåtgärder för behandling av särskilda kategorier av personuppgifter som avses i 2 mom. finns t.ex. i Tysklands nationella allmänna lag som är ett komplement till den allmänna dataskyddsförordningen och gäller skydd för personuppgifter.  

7 §.Behandling av personuppgifter som rör fällande domar i brottmål samt överträdelser. I paragrafen föreskrivs om behandling av personuppgifter i anknytning till fällande domar i brottmål och överträdelser. I den gällande 11 § i personuppgiftslagen föreskrivs att uppgifter som gäller en brottslig gärning, ett straff eller någon annan påföljd för brott är känsliga personuppgifter. Enligt den allmänna dataskyddsförordningen hör sådana uppgifter inte till särskilda kategorier av personuppgifter, men enligt artikel 10 i förordningen är behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder möjlig enligt artikel 6.1 då behandling är tillåten enligt medlemsstatens lagstiftning där lämpliga skyddsåtgärder fastställs. De uppgifter som avses i artikel 10 i dataskyddsförordningen kan också behandlas direkt i enlighet med villkoren i artikel 10, om personuppgifter behandlas under kontroll av en myndighet. I 7 § i den föreslagna lagen föreskrivs om fyra situationer där personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder får behandlas. 

I 1 mom. 1 punkten föreskrivs om rätten att behandla personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder, om behandlingen behövs för att uppgöra, framställa, försvara eller avgöra rättsliga anspråk. Motsvarande rättsliga grund för behandling av känsliga personuppgifter finns i 12 § i personuppgiftslagen. Dessutom ingår en sådan rättslig grund för behandling i artikel 9.2. f i den allmänna dataskyddsförordningen som gäller särskilda kategorier av personuppgifter. För att även personuppgifter som rör fällande domar i brottmål samt överträdelser också i fortsättningen ska kunna behandlas för att uppgöra, framställa, försvara eller avgöra rättsliga anspråk, är bestämmelsen i 7 § 1 mom. 1 punkten behövlig och förtydligande.  

Paragrafens 1 mom. 2 punkt kompletterar 6 § i den föreslagna dataskyddslagen. I 1 mom. 2 punkten föreskrivs att de uppgifter som avses i artikel 10 i dataskyddsförordningen får behandlas för syften som anges i 6 § 1, 2 eller 7 punkten i dataskyddslagen. Enligt 6 § 1 punkten i dataskyddslagen får en försäkringsanstalt behandla vissa personuppgifter som hör till särskilda kategorier av personuppgifter för att utreda anstaltens ansvar. För närvarande får en försäkringsanstalt enligt 12 § 11 punkten i personuppgiftslagen för att utreda sitt ansvar behandla uppgifter om en brottslig gärning som har begåtts av den som orsakat skada och om straff eller annan påföljd för brottet. För att försäkringsanstalter även i fortsättningen ska ha möjlighet att behandla sådana uppgifter för att utreda sitt ansvar behövs 7 § 1 mom. 2 punkten. Med avvikelse från 12 § 11 punkten i personuppgiftslagen föreskrivs särskilt om de uppgifter som avses här, eftersom det föreslås en egen paragraf om behandling av personuppgifter som rör fällande domar i brottmål och överträdelser. Enligt den föreslagna paragrafens 1 mom. 2 punkten får sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen dessutom behandlas, om behandling av uppgifter regleras i lag eller föranleds av en uppgift som direkt har ålagts den personuppgiftsansvarige i lag. Enligt 12 § 5 punkten i den gällande personuppgiftslagen kan sådana uppgifter om en brottslig gärning, om straff eller om annan påföljd för brottet som ska betraktas som känsliga behandlas med stöd av 12 § 5 punkten i personuppgiftslagen, enligt vilken känsliga personuppgifter får behandlas om behandlingen regleras i lag eller om behandlingen föranleds av en uppgift som direkt har ålagts den registeransvarige i lag. För att bevara nuläget behövs den föreslagna hänvisningen till 6 § 2 punkten i dataskyddslagen. I 1 mom. 2 punkten föreskrivs dessutom att personuppgifter som rör fällande domar i brottmål samt överträdelser och därmed sammanhängande säkerhetsåtgärder får behandlas i det syfte som anges i 6 § 1 mom. 7 punkten. Dessa uppgifter får med andra ord behandlas för behandling av uppgifter som görs för vetenskaplig eller historisk forskning. Vid behandling av personuppgifter med stöd av den föreslagna bestämmelsen ska den registrerades rättigheter enligt dataskyddsförordningen tillämpas på behandlingen.  

I 2 mom. hänvisas i fråga om skyddsåtgärderna till 6 § 2 mom. I det föreslagna 6 § 2 mom. föreslås att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga och särskilda åtgärder för att skydda den registrerades rättigheter vid behandlingen av uppgifter som hör till särskilda kategorier av personuppgifter med stöd av 6 § i dataskyddslagen. I momentet föreslås dessutom en bestämmelse om skyddsåtgärder. Även behandling av personuppgifter enligt artikel 10 i dataskyddsförordningen med stöd av nationell lagstiftning förutsätter att lagen innehåller bestämmelser om lämpliga skyddsåtgärder. Enligt den föreslagna bestämmelsen är behandling av sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen möjlig, om den personuppgiftsansvarige eller personuppgiftsbiträdet vidtar lämpliga skyddsåtgärder i enlighet med 6 § 2 mom. i den föreslagna lagen.  

3 kap. Tillsynsmyndighet

8 §.Dataombudsmannen. I paragrafen föreskrivs att dataombudsmannen är den nationella tillsynsmyndighet som avses i den allmänna dataskyddsförordningen. Dataombudsmannen är verksam i samband med justitieministeriet liksom nu. I landskapet Åland ska Datainspektionen enligt landskapets förslag till reviderad dataskyddslagstiftning fortfarande vara verksam i landskapet Åland.  

I 2 mom. föreskrivs dessutom att dataombudsmannen är självständig och oberoende i sin verksamhet. På samma sätt som i fråga om andra särskilda ombudsmän finns Dataombudsmannens byrå i anslutning till ministeriet, men är en myndighet som är självständig och oberoende i sin verksamhet. Ombudsmannen ska i sin beslutsverksamhet och övriga verksamhet vara oberoende av inverkan från andra parter såsom myndigheter eller olika intressegrupper samt parterna i det ärende som avgörs. I artikel 52 i den allmänna dataskyddsförordningen föreskrivs om tillsynsmyndighetens oberoende. Regleringen om dataombudsmannens oberoende följer således direkt av förordningen när dataombudsmannen sköter uppgifter enligt förordningen och utövar sina befogenheter enligt förordningen. Dataombudsmannen har även andra uppgifter och befogenheter än de som föreskrivs i förordningen i vilka han eller hon likaså är självständig och oberoende. När dataombudsmannen sköter andra uppgifter än uppgifter enligt den allmänna dataskyddsförordningen blir artikel 52 i den allmänna dataskyddsförordningen inte direkt tillämplig. Dataombudsmannen ska likväl i alla skötsel av uppgifter vara självständig och oberoende, också vid skötseln av sådana uppgifter som inte direkt följer av förordningen. Också på grund av detta behövs bestämmelser om dataombudsmannens oberoende i det kapitel som rör tillsynsmyndigheten i den nationella allmänna lagen.  

I paragrafen genomförs skyldigheten enligt artikel 54.1 a i dataskyddsförordningen att föreskriva om varje tillsynsmyndighets inrättande. I enlighet med vad som anges i den allmänna motiveringen föreslås ingen ny myndighet i propositionen, utan dataombudsmannen och Dataombudsmannens byrå fortsätter som dataskyddstillsynmyndighet med mindre strukturella ändringar.  

9 §.Dataombudsmannens byrå. I paragrafen föreskrivs om dataombudsmannens byrå och dess personal. I 1 mom. föreskrivs att det finns en eller flera biträdande dataombudsmän vid dataombudsmannens byrå. Bestämmelser om tjänsten som biträdande dataombudsman föreskrivs för att dataombudsmannens beslutanderätt och rätt att föra talan permanent och på heltid ska kunna fördelas på flera inom byrån. Detta behövs av praktisk erfarenhet och på grund av ombudsmannens ökande uppgifter. Omvärlden för skyddet för personuppgifter har genomgått en kraftig förändring och permanent påverkat arten och omfattningen av de ärenden som behandlas vid tillsynsmyndigheten. Antalet ärenden som behandlas vid dataombudsmannens byrå har fyrdubblats sedan 2000. Även dataskyddsförordningen ökar ombudsmannens uppgifter. 

Dataombudsmannen är chef för sin byrå och därför ska även den allmänna ledningen av byråns verksamhet höra till ombudsmannens uppgifter. Dataombudsmannen ska bland annat svara för ärenden som rör byråns interna förvaltning samt för att tillsynsmyndighetens uppgifter sköts så ändamålsenligt och effektivt som möjligt. Dataombudsmannens uppgift är att samordna en enhetlig dataskyddspolitik och företräda den nationella synen i det europeiska samarbetet. Utgångspunkten är att en biträdande dataombudsman svarar i dataombudsmannens ställe för vissa av uppgifterna vid dataombudsmannens byrå som rör skyddet för personuppgifter. En biträdande dataombudsman ska också vara ställföreträdare för dataombudsmannen i hans eller hennes frånvaro. Vid behov kan det i arbetsordningen för byrån bestämmas om en eventuell ställföreträdare för den biträdande dataombudsmannen. Inom ramen för behoven och de tillgängliga resurserna vid dataombudsmannens byrå kan det finnas en eller flera tjänster som biträdande dataombudsman.  

För närvarande hör beslutanderätten och rätten att föra talan vid dataombudsmannens byrå uteslutande till dataombudsmannen. Dataombudsmannen biträds av och ställföreträdare för dataombudsmannen är byråchefen, som enligt 1 § 2 mom. i lagen om datasekretessnämnden och dataombudsmannen på förordnande kan föra talan på dennes vägnar. Till byråchefens uppgifter hör bland annat skötseln av byråns allmänna administrativa ärenden. Tjänsten som byråchef är inte bunden till någon viss tid, utan tjänsten är ordinarie till skillnad från tjänsten som dataombudsman. Med stöd av den allmänna dataskyddsförordningen är åtgärder som vidtas av och tjänsteförhållandena för medlemmar som utövar beslutanderätt vid tillsynsmyndigheten tidsbundna. Att byråchefens uppgifter görs tidsbundna är inte ändamålsenligt för att säkerställa flexibiliteten och kontinuiteten i skötseln av tillsynsmyndighetens administrativa uppgifter. Byråchefens administrativa uppgifter blir kvar hos dataombudsmannens byrå, även om uttryckliga bestämmelser om tjänsten som byråchef och behörighetsvillkoren för tjänsten inte längre utfärdas i den föreslagna lagen. Antalet administrativa uppgifter kan antas öka vid dataombudsmannens byrå, eftersom den allmänna dataskyddsförordningen leder till nya uppgifter för dataombudsmannen och ombudsmannens befogenheter utökas. Antalet administrativa uppgifter kan dessutom påverkas av förslaget att en tjänst som underrättelseombudsman placeras i samband med dataombudsmannens byrå, likaså ökningen av personresurser till följd av den allmänna dataskyddsförordningen.  

I 1 mom. föreskrivs dessutom att det vid dataombudsmannens byrå finns ett behövligt antal föredragande som är förtrogna med dataombudsmannens uppgiftsområde och annan personal. Ändamålsenliga resurser för myndigheten är centrala för att dataombudsmannens uppgift ska skötas effektivt. Det har också grundlagsutskottet påpekat (GrUU 3/2017 rd).  

I 2 mom. föreskrivs i enlighet med artikel 52.5 i dataskyddsförordningen att dataombudsmannen utnämner tjänstemännen och anställer den övriga personalen vid byrån, vilka ska ta instruktioner uteslutande från dataombudsmannen. Detta tryggar för sin del ombudsmannens självständiga och oberoende ställning. En biträdande dataombudsman utnämns av statsrådet enligt det föreslagna 11 § 1 mom. 

Enligt 3 mom. godkänner dataombudsmannen en arbetsordning för byrån. Bestämmelser om uppgiftsfördelningen mellan ombudsmannen och de biträdande ombudsmännen utfärdas i arbetsordningen för dataombudsmannens byrå. Biträdande dataombudsmän ska vara verksamma i uppgifter som avses i 16 § i den föreslagna lagen med samma befogenheter som dataombudsmannen och självständigt avgöra ärenden som hör till denna.  

10 §.Behörighetsvillkor och utnämningsgrunder. I paragrafen föreskrivs om behörighetsvillkor och utnämningsgrunder för dataombudsmannen och biträdande dataombudsmän. Enligt artikel 54 i den allmänna dataskyddsförordningen är medlemsstaterna skyldiga att föreskriva om dessa saker. Vid utnämningen av dataombudsmannen och biträdande ombudsmän ska även beaktas vad som föreskrivs i artikel 52.3 i den allmänna dataskyddsförordningen om ledamöternas oberoende. Enligt artikel 53.2 ska varje ledamot i tillsynsmyndigheten ha de kvalifikationer, den erfarenhet och den kompetens, särskilt på området för skydd av personuppgifter, som krävs för att ledamoten ska kunna utföra sitt uppdrag och utöva sina befogenheter.  

De behörighetsvillkor för tjänsten som ombudsman som anges i paragrafen motsvarar i huvudsak gällande behörighetsvillkor för tjänsten som dataombudsman.  

Behörighetsvillkoret för dataombudsmannen är enligt förordningen om datasekretessnämnden och dataombudsmannen juris kandidatexamen. Detta behörighetsvillkor ändras inte, eftersom behörighetsvillkoret för dataombudsmannen enligt förslaget är annan högre högskoleexamen i juridik än magisterexamen i internationell och komparativ rätt. Ombudsmannens uppgifter som övervakare av behandlingen av personuppgifter kräver juridisk sakkunskap.  

Med anledning av den allmänna dataskyddsförordningens sameuropeiska tillsynsmekanism, förutsätts av ombudsmän i fortsättningen även förmåga att sköta internationella uppgifter. Behörighetsvillkoren för tjänsten som biträdande dataskyddsombudsman ska motsvara behörighetsvillkoren för dataombudsmannen, eftersom denna är ställföreträdare för dataombudsmannen och i sina uppgifter utövar samma befogenheter som dataombudsmannen. 

11 §.Utnämning och mandatperiod. I paragrafen föreskrivs om utnämning av dataombudsmannen och biträdande ombudsmän och om mandatperioden för dem. Enligt artikel 54.1 c i den allmänna dataskyddsförordningen ska varje medlemsstat i lag föreskriva om regler och förfaranden för att utse varje tillsynsmyndighets ledamot eller ledamöter samt om mandattiden för ledamöterna, som ska vara minst fyra år. Enligt artikel 53.3 i den allmänna dataskyddsförordningen ska en ledamots uppdrag upphöra då mandattiden löper ut eller om ledamoten avgår eller avsätts från sin tjänst i enlighet med den berörda medlemsstatens nationella rätt. Enligt artikel 53.4 får en ledamot avsättas endast på grund av grov försummelse eller när ledamoten inte längre uppfyller de villkor som krävs för att utföra uppdraget. Bestämmelserna i den allmänna dataskyddsförordningen om avsättande av en ledamot i tillsynsmyndigheten och om upphörande av uppgifter motsvarar bestämmelserna i 25 och 33 § i statstjänstemannalagen om uppsägning av en tjänsteman eller avslutande av ett tjänsteförhållande.  

I 1 mom. föreskrivs att statsrådet utnämner dataombudsmannen och en biträdande dataombudsman för fem år i sänder. Detta motsvarar i stor utsträckning nuläget, eftersom dataombudsmannen enligt 6 § i lagen om datasekretessnämnden och dataombudsmannen utnämns av statsrådet för högst fem år. Dataombudsmannen har således kunnat utnämnas för en kortare tid än fem år. Enligt den allmänna dataskyddsförordningen ska mandattiden dock vara minst fyra år och därför föreskrivs att mandattiden ska vara fem år. På tjänstledighet för dataombudsmannen och biträdande dataombudsmän tillämpas de allmänna bestämmelserna om tjänstledighet i statstjänstemannalagen och förordningen.  

I 2 mom. föreskrivs att den som utnämns till dataombudsman eller biträdande dataombudsman är fri från skötseln av en annan tjänst under den tid som han eller hon är dataombudsman eller biträdande dataombudsman. Detta motsvarar gällande lagstiftning och bestämmelsen behövs fortfarande på grund av tjänsten som dataombudsman och biträdande dataombudsman är tidsbunden till sin karaktär. Bestämmelsen grundar sig också på artikel 52.3 i den allmänna dataskyddsförordningen enligt vilken tillsynsmyndighetens ledamöter ska avhålla sig från alla handlingar som är oförenliga med deras skyldigheter och under sin mandattid avstå från all annan avlönad eller oavlönad yrkesverksamhet som står i strid med deras tjänsteutövning. 

Enligt artikel 54.1 e i den allmänna dataskyddsförordningen ska medlemsstaterna föreskriva om huruvida varje tillsynsmyndighets ledamot eller ledamöter får ges förnyat mandat, och om så är fallet, för hur många perioder. I den allmänna dataskyddsförordningen begränsas varken antalet mandatperioder eller deras längd. För närvarande är antalet mandatperioder för ledamöter i datasekretessnämnden eller för dataombudsmannen inte begränsat i lagen om datasekretessnämnden och dataombudsmannen. Denna utgångspunkt ska vara kvar även i fortsättningen. Förordningen överlåter åt medlemsstaterna att besluta om för hur många mandatperioder en ombudsman kan utnämnas. Av den nationella rättsordningen följer dock att antalet mandatperioder för ombudsmannen inte är begränsat, om det inte föreskrivs särskilt om det. Därmed uppfylls förutsättningarna genom de allmänna principerna i den nationella rättsordningen.  

12 §.Sakkunnignämnd. Sakkunnignämnden är ett internt sakkunnigorgan som hör till dataombudsmannens byrå och som på dataombudsmannens begäran ger utlåtanden om frågor som rör tillämpningen av lagstiftning som gäller behandling av personuppgifter. Det är således fråga om ett nytt slags organ som avviker från den nuvarande datasekretessnämnden. Sakkunnignämnden ska inte vara en heltidssyssla, utan nämnden samlas vid behov på kallelse av ordföranden. Sakkunnignämnden har ingen formell beslutanderätt.  

I 1 mom. ingår bestämmelser om sakkunnignämndens sammansättning. Nämnden består av fem ledamöter som är sakkunniga på skydd av personuppgifter. Varje ledamot har en personlig ersättare. Även ledamöterna i den nuvarande datasekretessnämnden har personliga ersättare. De personliga ersättarna har vanligen haft samma slags sakkunskap som den ordinarie ledamoten. Vid förhinder för ordföranden är vice ordförande nämndens ordförande. Ordförandens ersättare deltar i en sådan situation som vanlig ledamot i nämndens möte.  

I 2 mom. föreskrivs att statsrådet tillsätter sakkunnignämnden för en mandatperiod på tre år. Eftersom det inte är fråga om ett organ som fattar formella beslut utan om ett internt sakkunnigorgan vid dataombudsmannens byrå är det inte fråga om sådana ledamöter i tillsynsmyndigheten som avses i artikel 54 i den allmänna dataskyddsförordningen och vars mandattid enligt förordningen ska vara minst fyra år. För närvarande är datasekretessnämndens mandatperiod tre år. Den nuvarande mandatperioden har inte ansetts för kort och därför kan nämndens mandatperiod även i fortsättningen vara tre år.  

I 3 mom. föreskrivs att en person som avlagt någon annan högre högskoleexamen i juridik än magister i internationell och komparativ rätt kan utses till ordförande och vice ordförande för sakkunnignämnden. Vidare förutsätts ordföranden och vice ordföranden ha god förtrogenhet med frågor som gäller skydd av personuppgifter. När det gäller nämndens övriga ledamöter räcker förtrogenhet med frågor som gäller skydd av personuppgifter. Vidare förutsätts sådan övrig kompetens som skötseln av uppgiften kräver. Av nämndens övriga ledamöter förutsätts inte högskoleexamen. Sådan övrig kompetens som skötseln av uppgiften förutsätter kan t.ex. vara sakkunskap i datateknik. Nämnden kan också höra utomstående sakkunniga enligt 17 § i den föreslagna lagen. En sådan utomstående sakkunnig kan också vara en sakkunnig i datateknik, om det på grund av ärendets art verkar ändamålsenligt.  

I 4 mom. föreskrivs om det straffrättsliga tjänsteansvaret för sakkunnignämndens ledamöter när de sköter uppgifter som avses i denna lag. Bestämmelser om ledamöternas personliga tjänsteansvar behövs, eftersom ledamoten inte står i tjänsteförhållande till dataombudsmannens byrå. Vad som föreskrivs om ledamöternas straffrättsliga tjänsteansvar gäller även ersättarna till nämndens ledamöter när de sköter ledamotens uppgifter. Sakkunnignämndens ledamöter har också skadeståndsansvar enligt skadeståndslagen.  

i 5 mom. föreskrivs om arvoden som ska betalas till nämndens ledamöter och ersättare. Justitieministeriet fastställer arvodesbeloppen.  

13 §.Redogörelse för bindningar. I paragrafen föreskrivs om att dataombudsmannen och biträdande ombudsmän ska lämna in en redogörelse som avses i 8 a § i statstjänstemannalagen för sina bindningar. Skyldigheten i 8 a § i statstjänstemannalagen att lämna en redogörelse för sina bindningar gäller endast sådana tjänster som avses i 26 § 1—4 punkten och utsträcks således inte till dataombudsmannen och biträdande dataombudsmän. Därför måste det föreskrivas särskilt om saken.  

En person som föreslås bli utnämnd till en tjänst ska enligt 8 a § i statstjänstemannalagen före utnämningen lämna en redogörelse för sin näringsverksamhet, sitt ägande i företag och annan förmögenhet samt för sina uppgifter utanför tjänsten, sina bisysslor enligt 18 § och för sina andra bindningar som kan vara av betydelse vid bedömningen av hans eller hennes förutsättningar att sköta de uppgifter som hör till den tjänst som ska tillsättas. Anmälan ska när det gäller bisysslor som avses i 18 § i statstjänstemannalagen innehålla uppgifter om inkomsten från bisysslorna. I artikel 52 i den allmänna dataskyddsförordningen föreskrivs om oberoende för tillsynsmyndigheternas ledamöter och i artikel 54.1 f om medlemsstatens skyldighet att föreskriva om verksamhet som står i strid med en åtgärd som vidtagits av en ledamot i tillsynsmyndigheten. Med avseende på tillförlitligheten i dataombudsmannens verksamhet är det också annars viktigt att inte dataombudsmannen eller den biträdande dataombudsmannen misstänks ha några sådana ekonomiska eller andra bindningar som kan inverka på deras avgöranden.  

Dataombudsmannen och den biträdande dataombudsmannen ska utan dröjsmål anmäla även senare ändringar i de uppgifter som lämnats i anmälan om bindningar i enlighet med 8 a § i statstjänstemannalagen. Detsamma gäller eventuell senare uppdagade brister. Dessutom ska uppgifter om arbetsuppgifter utanför tjänsten som följer av tjänsteställningen och den eventuella inkomsten från dessa arbetsuppgifter anmälas.  

Enligt artikel 54.1 f i den allmänna dataskyddsförordningen ska medlemsstaten föreskriva om vilka villkor som gäller för de skyldigheter som varje tillsynsmyndighets ledamot eller ledamöter och personal har, förbud mot yrkesverksamhet och förmåner som står i strid därmed under och efter mandattiden och vilka bestämmelser som gäller för anställningens upphörande.  

Särskilda bestämmelser om förbudet för dataombudsmannen och den biträdande dataombudsmannen att utöva handlingar som står i strid med uppdraget behövs inte, utan statstjänstemannalagens allmänna bestämmelser om tjänsteförhållande, t.ex. bestämmelserna om bisyssla, blir tillämpliga. Vidare är artikel 52.3 i den allmänna dataskyddsförordningen en direkt tillämplig bestämmelse. Tillsynsmyndighetens ledamöter ska enligt punkt 3 avhålla sig från alla handlingar som är oförenliga med deras skyldigheter och under sin mandattid avstå från all annan avlönad eller oavlönad yrkesverksamhet som står i strid med deras tjänsteutövning.  

14 §.Dataombudsmannens uppgifter och befogenheter. I 1 mom. finns en informativ hänvisning till artiklarna 55—59 i den allmänna dataskyddsförordningen som gäller tillsynsmyndighetens uppgifter och befogenheter. Dataombudsmannens uppgifter och befogenheter följer direkt av den allmänna dataskyddsförordningen. I den mån bestämmelser om dataombudsmannens uppgifter och befogenheter finns i den allmänna dataskyddsförordningen utfärdas inga särskilt bestämmelser om dem nationellt. Tillsynsmyndigheten kan ha även andra uppgifter än de som föreskrivs i den allmänna dataskyddsförordningen. Vidare kan medlemsstaten enligt artikel 58.6 i den allmänna dataskyddsförordningen föreskriva att dess tillsynsmyndighet ska ha ytterligare befogenheter utöver dem som föreskrivs i förordningen. Utövandet av dessa befogenheter ska inte påverka den effektiva tillämpningen av kapitel VII i den allmänna dataskyddsförordningen. Förutom den informativa hänvisningen i momentet konstateras att dataombudsmannen också har andra uppgifter och befogenheter enligt vad som föreskrivs särskilt om dem genom lag. På så vis beaktas dataombudsmannens vidsträckta allmänna behörighet och uppgifter och befogenheter som följer av annan lagstiftning. Exempelvis den allmänna tillsynen över kreditupplysningslagen (527/2007) hör till dataombudsmannen. Dataombudsmannen övervakar förutom behandling av personkreditupplysningar även behandling av företagskreditupplysningar.  

I 2 mom. föreskrivs att dataombudsmannen företräder Finland i Europeiska dataskyddsstyrelsen. Sådan behandling av personuppgifter som hänför sig till Ålands landskapslagar övervakas enligt landskapets förslag till reviderad dataskyddslagstiftning fortfarande av Datainspektionen i landskapet Åland. På så vis har Finland två sådana tillsynsmyndigheter som avses i dataskyddsförordningen. Artikel 51.3 i den allmänna dataskyddsförordningen förutsätter att det då utses en tillsynsmyndighet som ska företräda dessa myndigheter i styrelsen; medlemsstaten ska också upprätta en rutin för att se till att övriga myndigheter följer reglerna för den mekanism för enhetlighet som avses i artikel 63.  

I 3 mom. föreskrivs om ackreditering av certifieringsorganet. Enligt artikel 43.1 i den allmänna dataskyddsförordningen utfärdas och förnyas certifiering av certifieringsorganet som har lämplig nivå av expertis i fråga om dataskydd, efter att ha informerat tillsynsmyndigheten för att den ska kunna utöva sina befogenheter enligt artikel 58.2 h utan att det påverkar den behöriga tillsynsmyndighetens uppgifter och befogenheter enligt artiklarna 57 och 58. Medlemsstaterna ska föreskriva om dessa certifieringsorgan är ackrediterade av en av eller båda följande: den behöriga tillsynsmyndigheten med stöd av artikel 55 eller 56 eller det nationella ackrediteringsorgan som utsetts i enlighet med Europaparlamentets och rådets förordning (EG) nr 765/2008 i enlighet med EN-ISO/IEC 17065/2012 och med de ytterligare krav som fastställts av den behöriga tillsynsmyndigheten.  

I Finland uppfyller det nationella ackrediteringsorganet, mätteknikcentralens ackrediteringsenhet (Ackrediteringstjänsten FINAS) de internationella och europeiska bedömningsgrunderna för ackreditering. Vidare har Kommunikationsverket en ackrediteringsuppgift enligt lagen om bedömningsorgan för informationssäkerhet (1405/2011). Enligt lagen kan bedömningsorgan ansöka hos Kommunikationsverket om godkännande för sin verksamhet.  

Bestämmelser om ackrediteringsgrunder för certifieringsorgan enligt den allmänna dataskyddsförordningen finns i artikel 43.2 i den allmänna dataskyddsförordningen. Dataombudsmannens byrå har den expertis som förutsätts av ackrediteringen av certifieringsorgan enligt den allmänna dataskyddsförordningen. Därför föreskrivs i momentet att dataombudsmannens byrå ackrediterar ett sådant certifieringsorgan som avses i artikel 43 i dataskyddsförordningen. 

Enligt 40 § 1 mom. i personuppgiftslagen ska dataombudsmannen vid behov anmäla ärendet för åtal. Dataombudsmannen kan anmäla ärendet till förundersökningsmyndigheten även utan en uttrycklig bestämmelse och därmed tas inte in några bestämmelser om detta i den nya dataskyddslagen.  

I 4 mom. föreskrivs om att en årlig rapport om verksamheten ska upprättas och lämnas till riksdagen och statsrådet i enlighet med kraven i dataskyddsförordningen.  

15 §.Dataombudsmannens beslutsfattande. Enligt 1 mom. avgör dataombudsmannen ärenden på föredragning. Dataombudsmannen kan med stöd av bestämmelsen i enskilda fall själv behandla och avgöra ärendena själv. Justitieombudsmannen har enligt 15 § i lagen om riksdagens justitieombudsman (197/2002) motsvarande möjlighet att enligt prövning behandla och avgöra ärenden utan föredragning. Dataombudsmannen kan på så vis med stöd av bestämmelsen enligt prövning i ett enskilt fall avgöra ett ärende utan föredragning. Dataombudsmannen kan dock inte bestämma om saken t.ex. genom arbetsordningen. Ärenden anhängiggörs vid dataombudsmannens byrå antingen av en registrerad, den personuppgiftsansvarige, ett personuppgiftsbiträde eller någon annan person eller på dataombudsmannens eget initiativ. 

16 §.Biträdande dataombudsmannens uppgifter och befogenheter. I paragrafen föreskrivs om uppgiftsfördelningen mellan dataombudsmannen och biträdande dataombudsmannen och om biträdande dataombudsmannens befogenheter. Bestämmelser om uppgiftsfördelningen utfärdas genom arbetsordningen, som dataombudsmannen godkänner i enlighet med det som föreslås i 9 §. Den biträdande dataombudsmannen kan ha olika uppgifter som hör till uppgiftsfältet för dataombudsmannens byrå. Den biträdande dataombudsmannen kan också ha uppgifter som det föreslås bestämmelser om i 14 §, om det har bestämts i arbetsordningen. Den biträdande dataombudsmannen sköter självständigt de uppgifter som enligt arbetsordningen hör till honom eller henne.  

Enligt 2 mom. har biträdande dataombudsmannen samma befogenheter vid skötseln av uppgifter som dataombudsmannen. Bestämmelser om dataombudsmannens befogenheter finns i artikel 58 i den allmänna dataskyddsförordningen. Den biträdande dataombudsmannen har således sådana befogenheter som avses i artikel 58 när han eller hon sköter uppgifter som enligt arbetsordningen för dataombudsmannens byrå hör till honom eller henne. Bestämmelser om andra befogenheter för dataombudsmannen enligt förordningen kan föreskrivas genom nationell lag. Till exempel enligt 33 § i kreditupplysningslagen utövar dataombudsmannen den allmänna tillsynen över efterlevnaden av lagen. När dataombudsmannen har andra befogenheter än de som avses i den allmänna dataskyddsförordningen har den biträdande dataombudsmannen också dessa befogenheter vid skötseln av sådana uppgifter för vars skötsel befogenheterna har föreskrivits.  

17 §.Sakkunnignämndens uppgifter och behandling av ärenden. I paragrafen föreskrivs om sakkunnignämndens uppgifter och om behandling av ärenden i sakkunnignämnden.  

Sakkunnignämnden ska enligt 1 mom. ge utlåtanden om viktiga frågor i samband med tillämpningen av lagstiftning som gäller behandling av personuppgifter. Nämnden ska ge utlåtanden på begäran av dataombudsmannen. Det är således dataombudsmannen som avgör vilka frågor han eller hon begär sakkunnignämndens utlåtande om. Ärendet ska dock vara viktigt till sin natur. Vid bedömningen av hur viktigt ett ärende är kan uppmärksamhet åtminstone fästas vid följande saker. Om ärendet gäller en stor krets av registrerade kan ärendet i allmänhet bedömas vara viktigt. Likaså är frågor som gäller central begrepp med tanke på behandling av personuppgifter och t.ex. tillämpningsområde till sin natur sådana att den kan betraktas som viktiga. Även viktiga ekonomiska intressen kan beaktas vid bedömningen av hur viktigt ett ärende är. Behandling av ovan nämnda ärenden i nämnden kan dock begränsa behandlingen av ett ärende i en mekanism för enhetlighet enligt den allmänna dataskyddsförordningen och i Europeiska dataskyddsstyrelsen. De tidsfrister som föreskrivits för dessa förfaranden kan i praktiken betydligt komplicera sakkunnignämndens möjlighet att ge ett utlåtande om det aktuella ärendet. Däremot har sakkunnignämnden en större betydelse i situationer där det är fråga om den nationella tolkningen av lagstiftning som kompletterar förordningen.  

I 2 mom. föreskrivs om sakkunnignämndens möjlighet att höra utomstående sakkunniga. Även om det är fråga om en sakkunnignämnd är det möjligt att ett utlåtande om ett enskilt ärende förutsätter sådan sakkunskap som inte finns representerad i nämnden. Avgörandet av ett ärende som gäller behandling av personuppgifter kan förutsätta t.ex. medicinsk eller datateknisk expertis och det kan då finnas behov av att höra en utomstående sakkunnig för att nämnden ska kunna utforma en ståndpunkt i ärendet.  

Dataombudsmannen ska dock sträva efter att bereda sina begäranden om utlåtande till nämnden så att ett sådant informationsbehovs i princip skulle ha beaktats i så stor utsträckning som möjligt när begäran om utlåtande bereddes på dataombudsmannens eget initiativ.  

I 3 mom. föreskrivs att nämndens sekreterare är föredragande vid dataombudsmannens byrå. I förordningen om datasekretessnämnden och dataombudsmannen (432/1994) föreskrivs mera ingående om behörighetsvillkor för datasekretessnämndens sekreterare, sekreterarens uppgifter och anställningen av en sekreterare vid datasekretessnämnden. Sakkunnignämnden är dock inte en självständig myndighet. Detaljerade bestämmelser behöver därmed inte utfärdas om sekreterarens uppgifter och anställning av en sekreterare. Nämndens sekreterare ska uppfylla behörighetsvillkoren för föredragande vid dataombudsmannens byrå. Sakkunnignämndens sekreterare ska således vara en person som är förtrogen med dataombudsmannens uppgiftsområde. Sakkunnignämndens sekreterare ska bereda och föredra de ärenden som behandlas i nämnden. Administrativa ärenden som anknyter till sakkunnignämndens verksamhet, likaså skötseln av löpande ärenden, hör till personalen vid dataombudsmannens byrå, som även annars ska sköta sådana ärenden. Dataombudsmannen kan vara närvarande vid sakkunnignämndens möte, om detta behövs på grund av behandlingen av ärendet och den diskussion som förs om ärendet. Sakkunnignämnden beslutar dock om innehållet i sitt utlåtande utan dataombudsmannens närvaro. 

18 §.Dataombudsmannens rätt att få information och utföra inspektioner. I 1 mom. hänvisas i fråga om dataombudsmannens rätt att få information och utöva tillsyn till artikel 58.1 i den allmänna dataskyddsförordningen. Dessutom föreskrivs i momentet om dataombudsmannens rätt att trots sekretessbestämmelserna få de uppgifter som behövs för skötseln av sina uppgifter. Det samma gäller den biträdande dataombudsmannen med stöd av 16 § i den föreslagna lagen. Befogenheterna för dataombudsmannens rätt att få information och utöva tillsyn följer direkt av förordningen. Bestämmelser om rätt att få information trots sekretessbestämmelserna måste dock föreskrivas särskilt.  

Enligt 1 om. har dataombudsmannen rätt att få information utöver vad som föreskrivs i den allmänna dataskyddsförordningen. Detta behövs för att dataombudsmannens rätt att få information ska kunna utsträckas även till andra uppgifter än dem som enligt artikel 58 i den allmänna dataskyddsförordningen omfattas av dataombudsmannens rätt att få information. Dataombudsmannen har rätt att få även andra uppgifter än personuppgifter, om det behövs för skötseln av ombudsmannens uppgifter. 

I 1 mom. föreskrivs dessutom att dataombudsmannen har rätt att få de uppgifter som avses i lagrummet avgiftsfritt.  

För närvarande har dataombudsmannen enligt 39 § i personuppgiftslagen trots sekretessbestämmelserna rätt att få information om de personuppgifter som är föremål för behandling samt all den information som behövs för att övervaka att behandlingen av personuppgifter sker i enlighet med lag. I 1 mom. föreskrivs också på samma sätt som nu att tillsynsmyndigheterna har dessa befogenheter trots sekretessbestämmelserna. I artikel 58.1 a i den allmänna dataskyddsförordningen föreskrivs om tillsynsmyndighetens befogenheter att beordra den personuppgiftsansvarige eller personuppgiftsbiträdet, och i tillämpliga fall den personuppgiftsansvariges eller personuppgiftsbiträdets företrädare, att lämna all information som myndigheten behöver för att kunna fullgöra sina uppgifter. I artikel 58.1 e i den allmänna dataskyddsförordningen föreskrivs om tillsynsmyndighetens befogenheter att från den personuppgiftsansvarige och personuppgiftsbiträdet få tillgång till alla personuppgifter och all information som tillsynsmyndigheten behöver för att kunna fullgöra sina uppgifter.  

Med stöd av artikel 58.1 b i den allmänna dataskyddsförordningen har tillsynsmyndigheten befogenheter att genomföra undersökningar i form av dataskyddstillsyn. Bestämmelser om motsvarande rätt att utöva tillsyn finns för närvarande i 39 § i personuppgiftslagen, som också innehåller bestämmelser om rätten att anlita sakkunniga vid inspektioner. Någon motsvarande bestämmelse om anlitande av sakkunniga finns inte i den allmänna dataskyddsförordningen och därför behövs bestämmelser om anlitandet av sakkunniga vid inspektioner i 19 § i den föreslagna dataskyddslagen.  

Andra befogenheter för tillsynsmyndigheten i artikel 58.1 i den allmänna dataskyddsförordningen är befogenheten i artikel 58.1 c att genomföra en översyn av certifieringar som utfärdats i enlighet med artikel 42.7 och befogenheten enligt artikel 58.1 d att meddela den personuppgiftsansvarige eller personuppgiftsbiträdet om en påstådd överträdelse av förordningen.  

I 2 mom. föreskrivs om utförandet av inspektioner i utrymmen som används för boende av permanent natur. I artikel 58.1 f i den allmänna dataskyddsförordningen föreskrivs en befogenhet för tillsynsmyndigheten att få tillträde till alla lokaler som tillhör den personuppgiftsansvarige och personuppgiftsbiträdet, inbegripet tillgång till alla utrustning och alla andra medel för behandling av personuppgifter i överensstämmelse med unionens processrätt eller medlemsstaternas nationella processrätt.  

Personuppgifter kan behandlas på en sådan plats eller i ett sådant utrymme som omfattas av skyddet för hemfriden som avses i 10 § i grundlagen. Enligt 10 § 3 mom. i grundlagen kan genom lag bestämmas om åtgärder som ingriper i hemfriden och som är nödvändiga för att de grundläggande fri- och rättigheterna ska kunna tryggas eller för att brott ska kunna utredas.  

För att säkerställa att dataombudsmannens uppgifter utförs effektivt ska tillsynsmyndigheten kunna övervaka att fysiska personers grundläggande fri- och rättigheter vid behandling av personuppgifter tillgodoses även i ett utrymme som omfattas av skyddet för hemfriden.  

Enligt 39 § 2 mom. i den gällande personuppgiftslagen får inspektion i lokaler som omfattas av hemfriden utföras endast om det i det föreliggande fallet finns specificerade skäl att misstänka att brott skett eller kommer att ske mot bestämmelserna om behandling av personuppgifter.  

I 2 mom. föreslås att utrymmen som används för boende av permanent natur får inspektion utföras endast om det är nödvändigt för att utreda omständigheter som är föremål för inspektion och om det i det aktuella fallet finns motiverade och specificerade skäl att misstänka att brott skett eller kommer att ske mot bestämmelserna om behandling av personuppgifter så att påföljden kan vara en administrativ påföljdsavgift eller ett straff enligt strafflagen. Med tanke på principen om regleringens proportionalitet har grundlagsutskottet utgått från att man inte bör ingripa i skyddet för hemfriden för att utreda föga klandervärda förseelser som allra högst bestraffas med böter (GrUU 40/2002 rd). Inspektionsrätten har i en vanlig lag också kunnat kopplas samman med ett förfarande som är sanktionerat med en straffavgift (GrUU 7/2004 rd och GrUU 39/2005 rd). De administrativa påföljdsavgifter som ska påföras för brott mot den allmänna dataskyddsförordningen är av straffkaraktär och därför motsvarar förslaget grundlagsutskottets praxis.  

En inspektion som görs i ett utrymme som används för boende av permanent natur ska vara nödvändigt för att utreda omständigheter som är föremål för inspektion. En sådan nödvändighet kan bli aktuell t.ex. när den utrustning eller de personuppgifter som används vid behandling av personuppgifter finns i ett utrymme som används för boende av permanent natur och en fysisk inspektion av utrustningen är nödvändig för att det ska kunna utredas om bestämmelserna om skydd av personuppgifter har iakttagits. Förutom nödvändigheten förutsätts att det finns motiverade och specificerade skäl att misstänka att brott skett eller kommer att ske mot bestämmelserna om skydd av personuppgifter. Det är således fråga om brott mot bestämmelserna i artikel 83.4 och 5 i den allmänna dataskyddsförordningen samt om brott mot artikel 10 i den allmänna dataskyddsförordningen. Det kan också vara fråga om brott mot bestämmelser i speciallagstiftning. Förutsättningen är dock att påföljden för en misstänkt kan vara en administrativ påföljdsavgift eller ett straff enligt strafflagen.  

Vid inspektioner iakttas även utan en uttrycklig bestämmelse 39 § i förvaltningslagen, enligt vilken en myndighet bland annat ska underrätta en part om tidpunkten då en inspektion inleds, såvida syftet med inspektionen inte äventyras av en sådan underrättelse. Under inspektionens gång ska parten om möjligt underrättas om inspektionens ändamål, hur den genomförs samt om fortsatta åtgärder. Inspektionen ska förrättas utan att inspektionsobjektet eller dess innehavare orsakas oskälig olägenhet. De principer för god förvaltning som även annars framgår av förvaltningslagen ska tillämpas. Utredningar om begärda dokument och andra utredningar ska behövas med avseende på tillsynsuppgiften och omfattningen av begäran stå i rätt proportion till det mål som eftersträvas.  

19 §.Anlitande av sakkunniga. Paragrafen innehåller bestämmelser om dataombudsmannens rätt att anlita utomstående sakkunniga. I paragrafen föreskrivs om rätten att anlita utomstående sakkunniga till skillnad från sakkunnignämnden vid dataombudsmannens byrå. Skyddet av personuppgifter berör många olika delområden i samhället. Den specialkunskap som skötseln av dataombudsmannens uppgifter förutsätter kan i vissa fall förutsätta hjälp från en utomstående sakkunnig. En utomstående sakkunnig kan t.ex. anlitas i en situation där det behövs särskild information om särdragen i ett verksamhetsområde eller ärende för att riskerna med behandling av personuppgifter ska kunna bedömas. Så kan vara fallet t.ex. om uppgifterna gäller genomuppgifter eller biobanker. Då kan skötseln av dataombudsmannens uppgifter förutsätta medicinsk sakkunskap. Sådan utomstående sakkunskap kan behövas vid skötseln av allmänna handlednings- och rådgivningsuppgifter vid dataombudsmannens byrå. Vikten av specialkunskap framhävs dock i uppgifter som gäller rättelse av uppgifter och den registrerades rätt att bekanta sig med uppgifter som samlats inom honom eller henne (nuvarande rätt till insyn).  

I 1 mom. föreskrivs om dataombudsmannens rätt att höra utomstående sakkunniga och begära utlåtanden från dem. Även i 7 § i lagen om datasekretessnämnden och dataombudsmannen föreskrivs om dataombudsmannens och datasekretessnämndens rätt att höra sakkunniga och begära in utlåtanden av dem. Den sakkunniga utses av dataombudsmannen eller av den biträdande dataombudsmannen. Sakkunnignämnden kan på eget initiativ anlita en sakkunnig i enlighet med den föreslagna 17 §. 

I 2 mom. föreskrivs om dataombudsmannens rätt att anlita utomstående sakkunniga som hjälp vid inspektioner som ingår i hans eller hennes befogenheter. Dataombudsmannen har enligt artikel 58.1 i den allmänna dataskyddsförordningen rätt att utföra inspektioner. Dataombudsmannen har enligt 39 § 2 mom. i gällande personuppgiftslag rätt att inspektera personregister och att därvid anlita sakkunniga. Bestämmelsen behövs fortfarande för att säkerställa ett effektivt utförande av dataombudsmannens uppgifter.  

En sakkunnig kan vid behov delta i dataombudsmannens inspektion enligt artikel 58.1 i den allmänna dataskyddsförordningen. Då tillämpas även vad som föreskrivs i 1 punkten om rätt att få information på den sakkunniga. Den sakkunnigas uppgift vid inspektionen är alltid att biträda dataombudsmannen. I 2 mom. föreskrivs dessutom att bestämmelser om straffrättsligt tjänsteansvar tillämpas på den sakkunniga när han eller hon biträder dataombudsmannen vid utförandet av inspektionen. I momentet finns dessutom en hänvisning till skadeståndsansvar enligt skadeståndslagen.  

20 §.Handräckning. I paragrafen föreskrivs om dataombudsmannens rätt att på begäran få handräckning av polisen för att utföra sina uppgifter. Den förslagna bestämmelsen motsvarar i sak motsvarande bestämmelse i den nu gällande lagen om datasekretessnämnden och dataombudsmannen. Det kan bli aktuellt med handräckning t.ex. i samband med utförandet av inspektioner, då dataombudsmannen kan behöva handräckning av polisen för att få tillträde till en inspektionsplats.  

4 kap. Rättssäkerhet och påföljder

21 §.Rätt att föra ärenden till dataombudsmannen. I paragrafen föreskrivs att en registrerad har rätt att föra ett ärende till dataombudsmannen, om den registrerade anser att behandlingen av personuppgifter som rör honom eller henne strider mot den gällande lagstiftningen. I artikel 77 i dataskyddsförordningen föreskrivs det om den registrerades rätt att lämna in klagomål till en tillsynsmyndighet. Bestämmelsen behövs eftersom registrerade med stöd av nationell lagstiftning har även andra rättigheter än sådana som hör till tillämpningsområdet för den allmänna dataskyddsförordningen.  

Dataombudsmannen kan t.ex. ge råd eller anvisningar i ett ärende som förts till honom eller henne för prövning. Beroende på ärendets natur kan dataombudsmannen också fatta ett överklagbart förvaltningsbeslut i ärendet.  

22 §.Vite. I paragrafen föreskrivs att dataombudsmannen kan förena ett beslut som avses i artikel 58.2 c—g och j med vite. I paragrafen föreskrivs också att dataombudsmannen kan förena rätten att få information enligt 18 § i dataskyddslagen med vite. Bestämmelser om föreläggande och utdömande av vite finns i viteslagen (1113/1990).  

Enligt 2 mom. får en fysisk persons skyldighet att lämna information enligt denna lag inte förenas med vite när det finns anledning att misstänka personen för brott och informationen gäller det ärende som brottsmisstanken hänför sig till.  

23 §.Ändringssökande. I 1 mom. föreskrivs om sökande av ändring i dataombudsmannens beslut. Dataombudsmannen utövar befogenheter som följer av den allmänna dataskyddsförordningen när han eller hon fattar beslut. Beslutets överklagbarhet bestäms dock enligt förvaltningsprocesslagen. Enligt lagrummet får dataombudsmannens beslut överklagas hos förvaltningsdomstolen på det sätt som föreskrivs i förvaltningsprocesslagen. Momentet motsvarar därmed 45 § 1 mom. i personuppgiftslagen i enlighet med vilket beslut som dataombudsmannen och datasekretessnämnden fattat får överklagas genom besvär hos förvaltningsdomstolen på det sätt som anges i förvaltningsprocesslagen. Jämfört med nuläget skulle den registrerades rätt att överklaga datasekretessmyndighetens beslut dock utvidgas, eftersom en del av datasekretessnämndens beslut överförs till dataombudsmannen. För närvarande har registrerade inte rätt att överklaga datasekretessnämndens beslut. De får överklagas endast av dataombudsmannen och den registeransvarige. Ärendet kan ha blivit anhängigt vid dataombudsmannens byrå på den registrerades initiativ och dataombudsmannen kan när behandlingen av ärendet framskridit ha ansökt hos datasekretessnämnden t.ex. om ett föreläggande om förbud mot behandling av personuppgifter. Parterna i ett ärende som behandlas av datasekretessnämnden är dock endast dataombudsmannen och den personuppgiftsansvarige.  

I 2 mom. föreskrivs om rätt att anföra besvär över förvaltningsdomstolens beslut. I motsvarighet till 45 § 2 mom. i personuppgiftslagen får ändring i ett beslut av förvaltningsdomstolen sökas genom besvär endast om högsta förvaltningsdomstolen beviljar besvärstillstånd. I den andra meningen i momentet föreskrivs om att även dataombudsmannen har rätt att söka ändring i ett beslut som förvaltningsdomstolen fattat med stöd av det föreslagna 22 § 1 mom. Det kan med hjälp av myndighetens besvärsrätt säkerställas att ärenden kommer till högsta förvaltningsdomstolen för avgörande på initiativ av såväl näringsidkare som myndigheter. Genom myndighetens besvärsrätt betonas dataombudsmannens uppgift som laglighetsövervakare, vars uppgift det är att övervaka att den allmänna dataskyddsförordningen iakttas. Tillsynsmyndighetens besvärsrätt behövs också för att säkerställa en enhetlig rättspraxis. Dataombudsmannen är även ledamot i Europeiska dataskyddsstyrelsen som inrättats genom den allmänna dataskyddsförordningen. En av det nya organets centrala uppgifter är att säkerställa en enhetlig tillämpning av den allmänna dataskyddsförordningen i medlemsstaterna. På så vis säkerställs att dataombudsmannen har en effektiv möjlighet att övervaka tillämpningen av den allmänna dataskyddsförordningen och de nationella lagarna som gäller skydd av personuppgifter enligt vad som förutsätts i den allmänna dataskyddsförordningen. 

I 3 mom. föreskrivs att det i dataombudsmannens beslut kan bestämmas att beslutet ska iakttas även om det överklagas, om inte besvärsmyndigheten bestämmer något annat. På så vis säkerställs att dataombudsmannen har möjlighet att effektivt ingripa i lagstridig behandling av personuppgifter. Ett beslut som t.ex. gäller avbrytande av behandling av personuppgifter eller överföring av uppgifter är i praktiken onödigt om det inte redan när beslutet fattas kan förutsättas att det kommer att iakttas. Även enligt 45 § 3 mom. i personuppgiftslagen kan det i datasekretessnämndens beslut på motsvarande vis bestämmas att beslutet ska iakttas även om det överklagas. Enligt momentet kan det dock inte bestämmas i beslutet att det ska iakttas även om det överklagas när det är fråga om en administrativ påföljdsavgift. Administrativa påföljdsavgifter ska således verkställas först när beslutet vunnit laga kraft.  

24 §.Beslut av kommissionen. I paragrafen föreskrivs om en nationell bedömning av kommissionens beslut om adekvat skyddsnivå på dataskyddet i vissa situationer. Paragrafen bygger inte direkt på den allmänna dataskyddsförordningen utan på EU-domstolens förhandsavgörande i rättsfallet Schrems, C-362/14, EU:C:2015:650, dom 6.10.2015. Det aktuella fallet handlade bland annat om behörigheten för den nationella tillsynsmyndighet som avses i artikel 28 i det gamla dataskyddsdirektivet när det gäller ett beslut enligt artikel 25.6 i det gamla dataskyddsdirektivet med stöd av vilket kommissionen konstaterar att ett tredjeland säkerställer en adekvat skyddsnivå. 

EU-domstolen ansåg i sitt avgörande att artikel 25.6 i det gamla dataskyddsdirektivet, jämförd med artiklarna 7, 8 och 47 i stadgan om de grundläggande rättigheterna, ska tolkas så, att ett beslut med stöd av den aktuella bestämmelse genom vilket kommissionen konstaterar att ett tredjeland säkerställer en adekvat skyddsnivå, inte utgör hinder för att en medlemsstats tillsynsmyndighet som avses i artikel 28 i det gamla dataskyddsdirektivet prövar en persons begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter som rör honom eller henne, vilka har överförts från en medlemsstat till detta tredjeland, när denna person gör gällande att detta tredjelands rätt och praxis inte säkerställer en adekvat skyddsnivå. 

Vidare konstaterar EU-domstolen i skäl 65 i nämnda avgörande att det ankommer på den nationella lagstiftaren att föreskriva rättsmedel som gör det möjligt för den nationella tillsynsmyndigheten att vid nationella domstolar göra gällande de invändningar som den anser att det finns fog för, så att nationella domstolar, för det fall att de delar myndighetens tvivel angående kommissionsbeslutets giltighet, kan hänskjuta en begäran om förhandsavgörande för att pröva detta besluts giltighet. Det finns alltså ett behov av bestämmelser i den nationella lagstiftningen för att de kommissionsbeslut som avses här ska kunna bedömas hos den nationella tillsynsmyndigheten och i domstol. Vissa av medlemsstaterna har redan ändrat sin nationella lagstiftning så att den motsvarar dessa krav.  

I 1 mom. föreskrivs att om dataombudsmannen i ett ärende som är anhängigt hos honom eller henne anser att ett beslut om Europeiska kommissionen fattat om adekvat skyddsnivå strider mot den allmänna dataskyddsförordningen kan dataombudsmannen föra ärendet till förvaltningsdomstolen för avgörande till denna del. På grund av att fallen förmodligen kommer att vara ganska få och den sakkunskap som behövs i ärendet koncentreras till en förvaltningsdomstol och därför ska dataombudsmannen enligt lagrummet föra ärendet till Helsingfors förvaltningsdomstol.  

Enligt paragrafens 2 mom. får förvaltningsdomstolens beslut överklagas endast om högsta förvaltningsdomstolen beviljar besvärstillstånd.  

25 §.Administrativa påföljdsavgifter. I 1 mom. föreskrivs om påföljder i situationer där artikel 10 i den allmänna dataskyddsförordningen har överträtts. I paragrafen föreskrivs om behandling av personuppgifter i anknytning till fällande domar i brottmål och överträdelser. Enligt lagrummet får administrativa påföljdsavgifter i enlighet med den allmänna dataskyddsförordningen och dataskyddslagen påföras även för en sådan överträdelse med iakttagande av vad som föreskrivs i artikel 83.5 i den allmänna dataskyddsförordningen.  

Bestämmelsen behövs framför allt på grund av artikel 84 i den allmänna dataskyddsförordningen. Enligt artikel 84.1 ska medlemsstaterna fastställa regler om andra sanktioner för överträdelser av denna förordning, särskilt för överträdelser som inte är föremål för administrativa sanktionsavgifter enligt artikel 83, och vidta alla åtgärder som behövs (i förordningens svenska version används ordet nödvändiga) för att säkerställa att de genomförs. Sanktionerna ska vara effektiva, proportionella och avskräckande. På överträdelse av artikel10 i den allmänna dataskyddsförordningen tillämpas inte direkt med stöd av artikel 83 administrativa påföljdsavgifter. Således behövs det i den nationella lagstiftningen bestämmelser om behandling av personuppgifter i strid med artikel 10 i den allmänna dataskyddsförordningen. Med stöd av artikel 10 i dataskyddsförordningen kan bestämmelser om behandling av personuppgifter som rör fällande domar i brottmål samt överträdelser också utfärdas genom nationell lag. Den föreslagna bestämmelsen gäller också överträdelse av nationella bestämmelser som utfärdats med stöd av artikel 10.  

I 2 mom. föreskrivs om att administrativa påföljdsavgifter får påföras myndigheter eller organ inom den offentliga förvaltningen. Enligt artikel 83.7 i den allmänna dataskyddsförordningen får varje medlemsstat fastställa regler för huruvida och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter och organ. I paragrafen föreskrivs att sådana administrativa påföljdsavgifter som avses i artikel 83 i dataskyddsförordningen inte kan påföras statliga myndigheter, statliga affärsverk, kommunala myndigheter, självständiga offentligrättsliga inrättningar, riksdagens ämbetsverk eller republikens presidents kansli. Med andra ord kan en administrativ påföljdsavgift inte påföras de myndigheter som avses i 2 § i förvaltningslagen eller statliga affärsverk. I detta sammanhang anses självständiga offentligrättsliga inrättningar även omfatta universitetsväsendet. I princip är statliga affärsverk inte längre verksamma på en konkurrensutsatt marknad utan producerar tjänster inom statsförvaltningen. Enligt den föreslagna lagen ska begränsningen inte gälla enbart de privata aktörer som sköter sådana offentliga förvaltningsuppgifter som avses i 124 § i grundlagen. Sådana aktörer kan inte ställas utanför tillämpningen av den administrativa påföljdsavgiften med stöd av artikel 83.7 i dataskyddsförordningen, enligt vilken endast myndigheter ges spelrum.  

Statliga affärsverk behöver nämnas i den föreslagna bestämmelsen, eftersom statliga myndigheter endast inbegriper inrättningar som hör till myndighetsorganisationen. Kommunala myndigheter inbegriper däremot även kommunala affärsverk.  

En administrativ påföljdsavgift som påförs en myndighet är ett främmande förfarande utifrån vårt allmänna rättssystem och därför anses det i detta skede motiverat att undanta denna påföljd för den offentliga förvaltningens del. Rättsordningen ställer andra specialkrav på den offentliga förvaltningen vilka för sin del motiverar denna lagstiftningslösning. Myndigheterna är bundna av laglighetsprincipen i förvaltningen, myndigheterna måste också iaktta allmänna förvaltningslagar. Den lagenliga behandling av personuppgifter som sker vid myndigheter hör till tjänsteplikten för dem som arbetar i myndigheterna. Ställningen som tjänsteman för med sig ett större ansvar för fel som begås i arbetet än för andra. För det första kan tjänsteansvaret vara ett straffrättsligt tjänsteansvar, ett disciplinärt tjänsteansvar samt skadeståndsansvar. Över en myndighets verksamhet kan också anföras en förvaltningsklagan till en högre myndighet. Myndigheternas verksamhet är budgetbunden och effekterna av en påföljd som avser ett penningbelopp inte är de samma som inom den privata sektorn. En myndighet ska i alla situationer sköta sina lagstadgade uppgifter. 

Riksdagens justitieombudsman och justitiekanslern övervakar lagligheten i myndigheternas och tjänstemännens verksamhet samt att myndigheterna och tjänstemännen uppfyller sin skyldighet. Laglighetsövervakarna kan till följd av ett klagomål som anförts hos dem väcka åtal, om det är fråga om en allvarlig lagstridighet, ge myndigheten en anmärkning, delge myndigheten sin uppfattning om det förfarande som lagen kräver samt uppmärksamgöra myndigheterna på de krav som god förvaltning ställer eller på synpunkter som främjar tillgodoseendet av de grundläggande fri- och rättigheterna och de mänskliga rättigheterna, rikta en framställning till en myndighet om att ett fel ska rättas eller ett missförhållande avhjälpas.  

I samband med att dataskyddslagen stiftas föreslås bestämmelser om dataskyddsbrott. Detta skulle för sin del säkerställa ett effektivt påföljdssystem. Genom dataskyddslagen föreslå dessutom bestämmelser om möjligheten att förena dataombudsmannens beslut med vite. Vite kan även föreläggas myndigheter och organ inom den offentliga förvaltningen.  

Avsikten är att genomförandet av dataskyddslagen iakttas och lagstiftningslösningen i fråga om administrativa påföljdsavgifter utvärderas vid behov på nytt med hänsyn även till EU:s eventuella rekommendationer och anvisningar i frågan.  

Enligt det föreslagna 3 mom. får påföljdsavgift inte påföras om det har förflutit mer än 10 år sedan överträdelsen eller försummelsen har skett. Detta är möjligt med stöd av artikel 83.8 i den allmänna dataskyddsförordningen. Enligt artikel 83.8 omfattas tillsynsmyndighetens utövande av sina befogenheter enligt denna artikel av lämpliga rättssäkerhetsgarantier i enlighet med unionsrätten och medlemsstaternas nationella rätt, inbegripet effektiva rättsmedel och rättssäkerhet. Den föreslagna begränsningen är befogad med tanke på kravet på att påföljderna ska vara proportionella. När administrativa påföljdsavgifter påförs ska hänsyn även tas till omständigheter i anknytning till den straffrättsliga legalitetsprincipen, bl.a. förbud mot en retroaktiv strafflag.  

I 4 mom. finns en information hänvisning till lagen om verkställighet av böter (672/2002). En administrativ påföljdsavgift enligt artikel 83 i den allmänna dataskyddsförordningen verkställs med iakttagande av lagen om verkställighet av böter. Den administrativa påföljdsavgift som avses i artikel 83 i den allmänna dataskyddsförordningen kan verkställas sedan beslutet om den administrativa påföljdsavgiften trätt i kraft. Ett lagakraftvunnet beslut om påföljdsavgift är verkställbart. Med inledande av verkställigheten avses verkställighet som inleds genom Rättsregistercentralens betalningsuppmaning. I princip ska den som har påförts en påföljd i penningbelopp alltid beredas möjlighet att betala påföljden frivilligt före indrivning som görs av Rättsregistercentralen eller genom utsökningsåtgärder. Före utmätningen ska den som påförts en penningprestation i princip ytterligare två gånger uppmanas att betala påföljden. Administrativa påföljdsavgifter betalas till staten. 

26 §.Straffbestämmelser. Paragrafens 1 mom. innehåller en hänvisningsbestämmelse till de bestämmelser i strafflagen som kan bli aktuella som straffrättsliga påföljder med anledning av lagöverträdelser.  

Momentet innehåller en hänvisningsbestämmelse till 38 kap. 9 § i strafflagen där det föreskrivs om dataskyddsbrott. En ny straffbestämmelse för dataskyddsbrott, genom vilken gällande straffbestämmelse för personregisterbrott skulle upphävas, föreslås i samband med stiftandet av denna lag. Vad gäller rekvisitet för dataskyddsbrott överlappar det inte administrativa påföljdsavgifter.  

I momentet hänvisas också på samma sätt som i 48 § i personuppgiftslagen till 38 kap. 3, 4, 8 och 8 a § i strafflagen där det föreskrivs om straff för kränkning av kommunikationshemlighet samt för dataintrång. Till straff för brott mot tystnadsplikten enligt 34 § döms enligt 38 kap.1 eller 2 § i strafflagen, om inte gärningen ska bestraffas enligt 40 kap.5 § i strafflagen eller om inte strängare straff för den föreskrivs någon annanstans i lag.  

Paragrafens 2 mom. innehåller en hänvisningsbestämmelse till 38 kap. 10 § 3 mom. i strafflagen där det föreskrivs om åklagarens skyldighet att höra dataombudsmannen innan åtal väcks för brott som avses i 2 mom. Dataombudsmannen ska dessutom ges möjlighet att blir hörd när ett brott som nämns i 2 mom. behandlas i domstol. 

5 kap. Särskilda behandlingssituationer

27 §.Behandling av personuppgifter för journalistiska, akademiska, konstnärliga eller litterära ändamål. I paragrafen föreskrivs om befrielser och undantag från den allmänna dataskyddsförordningen för att rätten som gäller skydd av personuppgifter ska samordnas med yttrandefriheten.  

I 1 mom. föreskrivs om artiklar som inte ska tillämpas på behandling av personuppgifter för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Dessa är artikel 5.1 c—e, artiklarna 6—7, artiklarna 9—10, artikel 11.2, artiklarna 12—22, artikel 34 1—3, artiklarna 35—36, artikel 56, artikel 58,2 f, artiklarna 60—63 och artiklarna 65—67. Däremot tillämpas artiklarna 5(1)(f), 8, 23, 28—29, 32—33, artikel 34.4, artiklarna 37—38 och 40—43 på behandling av personuppgifter för ovan nämnda ändamål. Tillämpliga blir också sådana bestämmelser i den allmänna dataskyddsförordningen som det inte är möjligt att avvika från.  

Enligt artikel 5.1 f i den allmänna dataskyddsförordningen ska personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet). Principen om integritet och konfidentialitet hänför sig till de skyldigheter i fråga om datasäkerhet och skydd av personuppgifter som ålagts den personuppgiftsansvarige i den allmänna dataskyddsförordningen och som även tillämpas på sådan behandling av personuppgifter som avses i artikel 85. Härmed ska även principen om integritet och konfidentialitet tillämpas på sådan behandling av personuppgifter som avses i artikel 85.  

Tillämplig bland bestämmelserna i kapitel II i den allmänna dataskyddsförordningen är artikel 8 där det föreskrivs om villkor som ska tillämpas på ett barns samtycke när det gäller informationssamhällets tjänster. Om erbjudande av informationssamhällets tjänster hänför sig till ändamålen i artikel 85 ska artikel 8 i förordningen tillämpas även i fråga om sådan behandling av personuppgifter. Tillämpningen av artikeln begränsar sig till situationer där informationssamhällets tjänster erbjuds direkt till ett barn. Därmed undantas redaktionellt arbete, såsom intervjuer med barn, nyhetsrapportering om evenemang och frågor som gäller barn, artikelns tillämpningsområde, om det inte är fråga om att erbjuda informationssamhällets tjänster direkt till ett barn.  

Av bestämmelserna i kapitel III i den allmänna dataskyddsförordningen som gäller den registrerades rättigheter tillämpas artikel 23 där det föreskrivs om möjligheten att i unionsrätten eller medlemsstatens lagstiftning begränsa de rättigheter som föreskrivs för den registrerade i den allmänna dataskyddsförordningen. Artikeln gäller inte den personuppgiftsansvarige eller personuppgiftsbiträdets skyldigheter, utan de befogenheter som getts lagstiftaren. Det behöver således inte göras undantag från artikeln för att skyddet av personuppgifter ska kunna samordnas med yttrandefriheten och informationsfriheten.  

I artikel 28 i den allmänna dataskyddsförordningen föreskrivs om personuppgiftsbiträden. För närvarande omfattas registeransvariga av 5 och 32 § i personuppgiftslagen. På behandling av personuppgifter för redaktionella ändamål tillämpas 32 §. Enligt personuppgiftslagen ska den registeransvarige innan behandlingen av uppgifter inleds ge den registeransvarige tillbörliga förbindelser och i övrigt tillräckliga garantier för att personuppgifterna skyddas på det sätt som avses i 32 § 1 mom. Artikel 28 i den allmänna dataskyddsförordningen är mera detaljerad än 5 och 32 § i personuppgiftslagen. Artikel 28 i den allmänna dataskyddsförordningen innehåller bland annat tvingande bestämmelser om uppdragsavtal. Regleringen som gäller personuppgiftsbiträden ska t.ex. tillämpas i situationer där ett tidningshus lägger ut förvaringen av personuppgifter på en annan organisation, t.ex. som molntjänst. Att bestämmelserna i den allmänna dataskyddsförordningen är tillämpliga på sådan verksamhet utgör inget hinder för yttrandefriheten, och det ska således inte föreskrivas något undantag från artikel 28 i den allmänna dataskyddsförordningen när det är fråga om behandling av personuppgifter i sådana situationer som avses i artikel 85 i den allmänna dataskyddsförordningen.  

Enligt artikel 29 i den allmänna dataskyddsförordningen får personuppgiftsbiträdet och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende endast behandla personuppgifter på instruktion från den personuppgiftsansvarige. Genom dataskyddslagen föreslås undantag från flera av den registrerades rättigheter vid behandlingen av personuppgifter i sådana situationer som avses i artikel 85. När det görs stora undantag från den registrerades rättigheter, framhävs vikten av skyldigheter som gäller skydd av uppgifter. Således ska det inte göras några undantag från artikel 29 i dataskyddsförordningen vid behandlingen av personuppgifter i sådana situationer som avses i artikel 85.  

Artikel 32 i den allmänna dataskyddsförordningen ska tillämpas på behandling av personuppgifter i sådana situationer som avses i artikel 85. För närvarande tillämpas 32 § i personuppgiftslagen som gäller skydd av personuppgifter på behandling av personuppgifter för redaktionella ändamål. Skyldigheten som gäller datasäkerhet och skydd av personuppgifter är ett centralt krav för att det ska säkerställas att rättssäkerheten tillgodoses i en situation där det föreskrivs flera undantag från principerna i den allmänna dataskyddsförordningen, den registrerades rättigheter och den personuppgiftsansvariges skyldigheter med stöd av artikel 85 i den allmänna dataskyddsförordningen. Artikel 32 ska därför tillämpas på behandling av personuppgifter i sådana situationer som avses i artikel 85. Det finns dock skillnader mellan 32 § i personuppgiftslagen som gäller skydd av uppgifterna och artikel 32 i den allmänna dataskyddsförordningen som gäller säkerhet i samband med behandlingen.  

Enligt artikel 33 i den allmänna dataskyddsförordningen ska den personuppgiftsansvarige anmäla en personuppgiftsincident till den behöriga tillsynsmyndigheten. Personuppgiftslagen innehåller inga bestämmelser om att den registeransvarige eller den som behandlar personuppgifter ska anmäla kränkningar av datasäkerheten. För närvarande ska dock 32 § i personuppgiftslagen som gäller skydd av uppgifter tillämpas på behandling av personuppgifter för redaktionella ändamål. Dataombudsmannen övervakar att skyldigheterna i 32 § iakttas även när den personuppgiftsansvarige behandlar personuppgifter för redaktionella ändamål. Dataombudsmannen har rätt att i detta syfte erhålla behövliga uppgifter om skyddet av registren. Eftersom skyldigheterna som gäller skydd av uppgifter och datasäkerhet ska tillämpas på behandling av personuppgifter i sådana situationer som avses i artikel 85, ska också artikel 33 i den allmänna dataskyddsförordningen tillämpas på behandling av personuppgifter i de situationer som avses i artikel 85. På så vis kan tillsynsmyndigheten få information om personuppgiftsincidenter. Dessutom ska artikel 34.4 i den allmänna dataskyddsförordningen tillämpas. Enligt den får tillsynsmyndigheten kräva att den information som avses i artikel 34 ska lämnas till den registrerade.  

Artikel 37 i den allmänna dataskyddsförordningen som gäller utnämning av dataskyddsombudet ska tillämpas på behandling av personuppgifter i sådana situationer som avses i artikel 85. Skyldigheten att utse ett dataskyddsombud gäller i begränsad utsträckning aktörer inom den privata sektorn. Dataskyddsombudet ska utnämnas i situationer där den personuppgiftsansvariges eller personuppgiftsbiträdets kärnverksamhet består av behandling som, på grund av sin karaktär, sin omfattning och/eller sina ändamål, kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning, eller den personuppgiftsansvariges eller personuppgiftsbiträdets kärnverksamhet består av behandling i stor omfattning av särskilda kategorier av uppgifter i enlighet med artikel 9 och personuppgifter som rör fällande domar i brottmål och överträdelser, som avses i artikel 10.  

Skyldigheten att utnämna dataskyddsombudet gäller endast i begränsad utsträckning aktörer som behandlar personuppgifter i sådana situationer som avses i artikel 85 och skyldigheten behöver inte undantas det som föreskrivs i förordningen. Genom dataskyddslagen föreslås stora begränsningar i den registrerades rättigheter vid behandlingen av personuppgifter i sådana situationer som avses i artikel 85, t.ex. i den registrerades rätt att inte bli föremål för automatiserat beslutsfattande, t.ex. profilering. Däremot föreslås inga undantag genom dataskyddslagen från bestämmelserna om datasäkerhet. Dataskyddsombudet ska utnämnas i situationer där det är fråga om en omfattande, regelbunden och systematisk uppföljning av de registrerade, t.ex. profilering. När det föreslås undantag från utgångspunkten i den allmänna dataskyddsförordningen enligt vilken den registrerade har rätt att inte bli föremål för automatiserat beslutsfattande, framhävs vikten av de övriga metoder som föreskrivits för att trygga den registrerades rättigheter. Skyldigheten enligt artikel 37 att utnämna dataskyddsombudet ska därmed tillämpas vid behandling av personuppgifter i sådana situationer som avses i artikel 85. Dataskyddsombudet ska informera och ge råd till den personuppgiftsansvarige eller personuppgiftsbiträdet. Beslut som gäller behandling av personuppgifter fattas dock av den personuppgiftsansvarige.  

I artikel 38 i den allmänna dataskyddsförordningen föreskrivs om dataskyddsombudets ställning. Avsikten med bestämmelserna om dataskyddsombudets ställning är att säkerställa att dataskyddsombudet har lämpliga förutsättningar för skötseln av sina uppgifter. Därmed ska tillämpningen av artikel 38 inte begränsas genom dataskyddslagen.  

Artikel 40 i den allmänna dataskyddsförordningen som gäller uppförandekoder ska tillämpas på behandling av personuppgifter i sådana situationer som avses i artikel 85. För närvarande tillämpas 42 § i personuppgiftslagen som gäller branschspecifika uppförandekodexar på behandling av personuppgifter för redaktionella ändamål. De registeransvariga eller sammanslutningar som företräder dem kan enligt 42 § i personuppgiftslagen utarbeta branschspecifika uppförandekodexar för tillämpningen av personuppgiftslagen och för främjandet av god informationshantering samt lämna de förslag som de uppgjort till dataombudsmannen. Dataombudsmannen kan granska att uppförandekodexarna överensstämmer med personuppgiftslagen och med övriga bestämmelser som påverkar behandlingen av personuppgifter. Artikel 40 i den allmänna dataskyddsförordningen som gäller uppförandekoder är mera detaljerad. Uppförandekoderna är för den personuppgiftsansvarige en möjlighet, inte en skyldighet. Denna möjlighet ska även i fortsättningen innehas av personuppgiftsansvariga som behandlar personuppgifter i sådana situationer som avses i artikel 85.  

Artikel 41 i den allmänna dataskyddsförordningen gäller övervakning av godkända uppförandekoder. I den mån artikel 40 ska tillämpas på behandling av personuppgifter i sådana situationer som avses i artikel 85, ska även artikel 41 som gäller övervakning av uppförandekoderna tillämpas på behandling av personuppgifter.  

Artikel 42 i den allmänna dataskyddsförordningen gäller certifiering. Certifieringsartikeln ska tillämpas på behandling av personuppgifter i sådana situationer som avses i artikel 85. Möjligheten att använda certifiering ska fortfarande innehas av personuppgiftsansvariga och personuppgiftsbiträden som behandlar personuppgifter i sådana situationer som avses i artikel 85.  

Artikel 43 i den allmänna dataskyddsförordningen som gäller certifieringsorgan ska tillämpas på behandling av personuppgifter i sådana situationer som avses i artikel 85 i den mån artikel 42 om certifiering ska tillämpas.  

I kapitel IX i den allmänna dataskyddsförordningen föreskrivs bestämmelser om särskilda behandlingssituationer. I förslaget föreslås inga bestämmelser om undantag från bestämmelserna i kapitel IX. 

Artikel 27 i dataskyddsförordningen ska enligt 2 mom. inte tillämpas på behandling av personuppgifter i anknytning till sådan verksamhet som omfattas av lagen om yttrandefrihet i masskommunikation. Artikel 27 i dataskyddsförordningen gäller skyldigheten för personuppgiftsansvariga eller personuppgiftsbiträden som inte är etablerade i unionen att utse en företrädare. Skyldigheten gäller situationer där dessa inte är etablerade i unionen och tjänster tillhandahålls registrerade som är etablerade i unionen eller det är fråga om uppföljning av registrerades beteende, dvs. det kan t.ex. vara fråga om profilering. I artikel 27 i dataskyddsartikeln föreskrivs om vissa undantag från denna skyldighet. Med stöd av 27 § i dataskyddslagen blir artikel 27 i dataskyddsförordningen inte heller tillämplig i en situation där chefredaktören för ett massmedium enligt yttrandefrihetslagen har ansvar för innehållet i ett publicerat meddelande. I 2 mom. föreskrivs dessutom att kapitel V i den allmänna dataskyddsförordningen (artiklarna 44—50) om överföring av personuppgifter till tredjeländer eller internationella organisationer inte ska tillämpas om tillämpningen skulle kränka rätten till yttrandefrihet eller informationsfrihet. Tillämpliga blir därmed skyldigheterna som gäller överföring till tredje länder och skydd av personuppgifter och informationssäkerhet. Vid behandling av personuppgifter i sådana situationer som avses i artikel 85 i den allmänna dataskyddsförordningen kan den registrerades rättigheter frångås i stor utsträckning. Därmed framhävs skyldigheter som gäller skydd av uppgifter, i synnerhet vid överföring av uppgifter till tredje länder, t.ex. i syfte att bevara personuppgifter.  

I 3 mom. i den föreslagna paragrafen föreskrivs att vissa artiklar i den allmänna dataskyddsförordningen ska tillämpas endast delvis på behandling av personuppgifter i situationer som avses i artikel 85. I sådana situationer kan det antingen vara fråga om att en viss punkt i den aktuella artikeln ska tillämpas eller att artikeln är av allmän karaktär och ska läsas tillsammans med en annan artikel. I den sist nämnda situationen är tillämpningen av artikeln bunden vid om den artikel som den har nära anknytning till ska tillämpas. I situationer som avses i artikel 85 ska i tillämpliga delar tillämpas artikel 5.1 a—b och artikel 5.2, artiklarna 24—26, artikel 31, artiklarna 39—40, artikel 52, artiklarna 57—58, artikel 64 och artikel 70. 

I 3 mom. föreskrivs att dataskyddsprinciperna i artikel 5.1 a och b och artikel 5.2 ska tillämpas på behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande i den mån den allmänna dataskyddsförordningen med stöd av de undantag och befrielser som föreskrivs i artikel 85 ska tillämpas på sådan behandling.  

Enligt artikel 5.1 a i den allmänna dataskyddsförordningen ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet). Principerna om laglighet och korrekthet tillämpas på behandling av personuppgifter för ändamål som anges i artikel 85. Artiklarna 12—15 som ger uttryck för öppenhetsprincipen ska inte tillämpas när personuppgifter behandlas för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Därmed ska principen inte tillämpas till denna del. När det gäller journalistiska ändamål kan behandlingen av personuppgifter inte vara helt transparent, eftersom mediernas uppgift som övervakare av maktutövningen vanligen förutsätter att uppgifter samlas in om personer också utan att de vet om det. Uppgifter som omfattas av källskydd ska skyddas. Därmed ska principen inte tillämpas i fråga om öppenhet.  

Enligt artikel 5.1 b i den allmänna dataskyddsförordningen ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt artikel 89.1 ska dock inte anses vara oförenlig med de ursprungliga ändamålen (principen om ändamålsbegränsning). I tillämpliga delar innebär det i fråga om principen om ändamålsbegränsning att personuppgifter som samlats in för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande kan behandlas endast för relaterade ändamål. Dessa personuppgifter kan däremot inte behandlas t.ex. i olika förvaltnings- eller marknadsföringsuppgifter. Detta motsvarar med stöd av förarbetet till personuppgiftslagen den nuvarande regleringen och är fortfarande motiverat därför att det föreslås omfattande undantag i skyddet av personuppgifter när det gäller uttryck för yttrandefrihet.  

Enligt artikel 5.2 i den allmänna dataskyddsförordningen ska den personuppgiftsansvarige ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet). Ansvarsskyldigheten tillämpas till de delar och på de principer i artikel 5.1 som tillämpas vid behandling av personuppgifter i situationer som avses i artikel 85. 

I artikel 24 i den allmänna dataskyddsförordningen föreskrivs att den personuppgiftsansvarige ska genomföra tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter är förenlig med den allmänna dataskyddsförordningen. Artikel 24 i den allmänna dataskyddsförordningen ska i tillämpliga delar tillämpas på behandling av personuppgifter i sådana situationer som avses i artikel 85. Artikel 24 i den allmänna dataskyddsförordningen ska läsas tillsammans med de övriga artiklarna som gäller den personuppgiftsansvariges skyldigheter i den allmänna dataskyddsförordningen. Artikel 24 i den allmänna dataskyddsförordningen ska därmed tillämpas i situationer där någon annan artikel som gäller den personuppgiftsansvarige i den allmänna dataskyddsförordningen ska tillämpas.  

Artikel 25 i den allmänna dataskyddsförordningen som gäller inbyggt dataskydd och dataskydd som standard ska tillämpas på behandling av personuppgifter i sådana situationer som avses i artikel 85. Skyddet av fysiska personers rättigheter och friheter i samband med behandling av personuppgifter förutsätter att lämpliga tekniska och organisatoriska åtgärder vidtas, så att kraven i denna förordning uppfylls. Vid behandling av personuppgifter i situationer som avses i artikel 85 ska skyldigheten som gäller inbyggt dataskydd och dataskydd som standard beaktas i den mån som skyldigheterna i den allmänna dataskyddsförordningen gäller den personuppgiftsansvarige vid behandlingen av personuppgifter för detta ändamål.  

I artikel 26 i den allmänna dataskyddsförordningen åläggs de gemensamt personuppgiftsansvariga en skyldighet att fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt förordningen. En klar och genomskinlig definition av de gemensamt personuppgiftsansvarigas ansvar utgör inte en begränsning i användningen av yttrandefriheten. Därmed finns det ingen orsak att föreskriva om undantag från artikeln. Artikel 26 som gäller gemensamt personuppgiftsansvariga ska således i tillämpliga delar tillämpas på behandling av personuppgifter i situationer som avses i artikel 85, dvs. i den mån den allmänna dataskyddsförordningen annars tillämpas. Enligt förslaget ska artiklarna 13 och 14 i den allmänna dataskyddsförordningen inte tillämpas vid behandling av personuppgifter i situationer som avses i artikel 85. Därmed ska artikel 26 inte tillämpas på behandling av personuppgifter i situationer som avses i artikel 85 i den mån det är fråga om fastställande av de personuppgiftsansvarigas ansvarsområden i fråga om uppgifter som gäller tillhandahållandet av den information som avses i artiklarna 13 och 14.  

Enligt artikel 31 i den allmänna dataskyddsförordningen ska den personuppgiftsansvarige och personuppgiftsbiträdet och deras företrädare på begäran samarbeta med tillsynsmyndigheten. Till de delar tillsynsmyndighetens uppgifter och befogenheter tillämpas på behandling av personuppgifter i situationer som avses i artikel 85 i den allmänna dataskyddsförordningen ska även artikel 31 tillämpas. Artikel 31 i den allmänna dataskyddsförordningen tillämpas därmed i tillämpliga delar på behandling av personuppgifter som avses i artikel 85.  

I artikel 39 i den allmänna dataskyddsförordningen föreskrivs om dataskyddsombudets uppgifter. Artikeln ska tillämpas i tillämpliga delar. Artikel 39.1 c enligt vilken dataskyddsombudet på begäran ger råd vad gäller konsekvensbedömningen avseende dataskydd och övervaka genomförandet av den enligt artikel 35 ska inte tillämpas, eftersom artikel 35 inte ska tillämpas på behandling av personuppgifter i situationer som avses i artikel 85. Dessutom ställs artikel 39 e utanför tillämpningen i den mån dataskyddsombudet åläggs att fungera som kontaktpunkt i förhandssamsråd som avses i artikel 36. Denna punkt ska inte tillämpas, eftersom artikel 36 inte ska tillämpas på behandling av personuppgifter i situationer som avses i artikel 85.  

Dataskyddsombudets uppgifter begränsas också med stöd av artikel 85 i den allmänna dataskyddsförordningen av de begränsningar som enligt planerna ska regleras genom dataskyddslagen. Eftersom den registrerades rättigheter enligt kapitel III i den allmänna dataskyddsförordningen inte ska tillämpas på behandling av personuppgifter i situationer som avses i artikel 85 kan inte heller dataskyddsombudets uppgifter inbegripa rådgivning till den personuppgiftsansvarige eller personuppgiftsbiträdet till de delar det är fråga om den registrerades rättigheter. Således ska dataskyddsombudets rådgivningsuppgifter främst gälla den personuppgiftsansvariges skyldigheter i fråga om dataskydd och tryggandet av uppgifter.  

I 3 mom. föreskrivs vidare att artikel 57 som gäller tillsynsmyndigheternas uppgifter och artikel 58 som gäller befogenheter tillämpas i tillämpliga delar. Detta innebär att bestämmelserna om tillsynsmyndighetens uppgifter tillämpas till de delar bestämmelserna i den allmänna dataskyddsförordningen tillämpas på situationer som avses i artikel 85.  

I det första momentet i förslaget föreslås bestämmelser om ett undantag från artikel 58.2 f i den allmänna dataskyddsförordningen. Vissa andra led i artikel 58 i den allmänna dataskyddsförordningen tillämpas inte heller, om den artikel som tillsynsmyndighetens befogenheter stöder sig inte ska tillämpas på behandling av personuppgifter för sådana ändamål som anges i artikel 85. T.ex. artikel 58.3 a i förordningen ska inte tillämpas, eftersom det i enlighet med vad som anges ovan föreslås bestämmelser om ett undantag från det förfarande för förhandssamråd som avses i artikel 36. Inte heller bestämmande inflytande i artikel 58.2 c som gäller utövandet av de registrerades rättigheter ska tillämpas eftersom kapitel III som gäller de registrerades rättigheter inte ska tillämpas på behandling av personuppgifter för ändamål som anges i artikel 85. På det här sättet bibehålls den reglering som motsvarar nuläget. I motsvarighet till nuläget ska datasekretessmyndighetens befogenheter att ingripa i behandling av personuppgifter som avses i artikel 85 främst gälla skyldigheter som rör skydd av personuppgifter.  

Artiklarna 64 och 70 i den allmänna dataskyddsförordningen som gäller uppgifter och behörighet tillämpas i enlighet med 3 mom. i tillämpliga delar för att aktörer som behandlar personuppgifter för ändamål som avses i artikel 85 ska kunna tillämpa de uppförandekoder och certifikat som godkänns av dataskyddsstyrelsen.  

28 §.Offentlighetsprincipen. Paragrafen är informativ och anger att bestämmelser om utlämnande av personuppgifter ur myndigheternas personregister även i fortsättningen ska utfärdas i lagen som gäller tillgång till officiella handlingar. I lagen som gäller tillgång till officiella handlingar föreslås inga ändringar. Nuläget kommer dock att förändras eftersom personuppgiftslagen upphävs genom den föreslagna lagen och den allmänna dataskyddsförordningen, som dessutom kompletteras genom den föreslagna dataskyddslagen, blir tillämplig.  

29 §.Behandling av personbeteckningar. I paragrafen föreslås bestämmelser om behandling av personbeteckningar. Enligt artikel 87 i den allmänna dataskyddsförordningen får medlemsstaterna bestämma närmare på vilka särskilda villkor ett nationellt identifikationsnummer eller ett annat vedertaget sätt för identifiering ska behandlas. Ett nationellt identifikationsnummer eller ett annat vedertaget sätt för identifiering ska i sådana fall endast användas med iakttagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt den allmänna dataskyddsförordningen.  

För närvarande bestäms rätten till behandling av personbeteckningar med stöd av 13 § i personuppgiftslagen. I förslaget kvarhålls gällande reglering.  

Bestämmelser om behandling av personbeteckningar ingår för närvarande t.ex. i befolkningsdatalagen (661/2009), lagen om fordonstrafikregistret (541/2003), lagen om beskattningsförfarande (1558/1995), straffregisterlagen (770/1993) och handelsregisterlagen (129/1979).  

Syftet med 29 § i dataskyddslagen är att bibehålla nuläget. I den föreslagna 29 § definieras särskilda förutsättningar för behandlingen bland annat genom en begränsning av möjligheten att behandla personbeteckningar så att den endast får göras med stöd av vissa rättsliga grunder för behandlingen. Detta motsvarar nuläget. Det bör noteras att en personbeteckning är avsedd att särskilja en person från andra, men att en personbeteckning uppges eller visas upp garanterar inte nödvändigtvis att det är fråga om den person som personbeteckningen avser.  

Enligt 1 mom. är behandling av personuppgifter tillåten med den registrerades samtycke i enlighet med de allmänna villkoren för behandling av personuppgifter i den allmänna dataskyddsförordningen. I personuppgiftslagen förutsätts entydigt samtycke. Syftet med ändringen är inte att ändra nuläget. Definitionen på samtycke och förutsättningarna för samtycket följer direkt av den allmänna dataskyddsförordningen. Enligt 1 mom. får en personbeteckning behandlas också om det är viktigt att entydigt identifiera den registrerade 1) för att utföra en i lag angiven uppgift, 2) för att tillgodose den registrerades eller den personuppgiftsansvariges rättigheter och uppfylla den registrerades eller den personuppgiftsskyldiges skyldigheter, eller 3) för historisk eller vetenskaplig forskning eller för statistikföring. En personbeteckning får således förutom med entydigt samtycke av den registrerade behandlas med stöd av artikel 6 c i den allmänna dataskyddsförordningen för att den personuppgiftsansvariges lagstadgade skyldighet ska iakttas. Ett annat villkor med avseende på rättslig grund för behandling enligt den allmänna dataskyddsförordningen är att uppgiften regleras i lag.  

Det grundläggande villkoret för behandling av en personbeteckning är i samtliga fall att det är viktigt att entydigt identifiera den registrerade för utförande av den uppgift som anges i bestämmelsen. Därför skulle inte enbart det faktum att en lagstadgad uppgift skulle kunna utföras lättare eller snabbare med hjälp av personbeteckningen berättiga till behandling av personbeteckningen, utan behandlingen är tillåten endast när det är viktigt att entydigt identifiera den registrerade för att utföra uppgiften. I historisk eller vetenskaplig forskning bör strävan i princip vara att få den registrerades samtycke för behandling av personuppgifter. Därför och även för att målet inom historisk eller vetenskaplig forskning och statistikföring i mån av möjlighet bör vara att uppgifter ska behandlas så att de registrerade inte kan identifieras i dem, föreslås en bestämmelse om vikten av att entydigt identifiera den registrerade som villkor för behandling av personuppgifter även för historisk och vetenskaplig forskning samt för statistikföring. Vid historisk och vetenskaplig forskning samt statistikföring är det i allmänhet nödvändigt med en entydig identifiering av den registrerade vid samkörning av personregister. 

En personbeteckning får enligt 2 mom. behandlas vid kreditgivning och indrivning av fordringar, i försäkrings-, kreditinstituts-, betaltjänst-, uthyrnings- och utlåningsverksamhet, i kreditupplysningsverksamhet, inom hälso- och sjukvården, inom socialvården och inom annan verksamhet för att tillförsäkra social trygghet samt i ärenden som gäller tjänste- och arbetsavtalsförhållanden och andra anställningsförhållanden och förmåner som har samband med dessa. I tillämpningspraxis har behandling av personbeteckningen i ovan nämnda funktioner i allmänhet betraktats som behövlig för att en person ska kunna entydigt identifieras. I dessa fall är en tillförlitlig identifiering av personen ofta nödvändig redan utifrån den registrerades rättssäkerhet.  

Enligt 3 mom. får en personbeteckning dessutom utöver vad som annars föreskrivs om behandling av personbeteckningar lämnas ut för sådan databehandling som sker för uppdatering av adressuppgifter eller i syfte att undvika mångfaldig postning, om mottagaren redan har tillgång till personbeteckningen.  

I 4 mom. föreskrivs om att personbeteckningen inte i onödan får antecknas i handlingar som skrivs ut på basis av ett personregister, att personuppgifter över huvud taget inte får antecknas i onödan i handlingar. Den personuppgiftsansvarige ska därmed t.ex. sörja för att personbeteckningar inte antecknas synligt på postförsändelser. Personbeteckningar får inte heller antecknas t.ex. i arbetsskifts- eller semesterlistor som cirkulerar eller på listor över provresultat som sätts upp på anslagstavlan i en läroanstalt.  

30 §.Behandling av personuppgifter i anställningsförhållanden. Paragrafen är av informativ karaktär. Enligt artikel 88 i den allmänna dataskyddsförordningen får medlemsstaterna i lag eller i kollektivavtal fastställa mer specifika regler vid behandling av anställdas personuppgifter i anställningsförhållanden. I lagen om integritetsskydd i arbetslivet föreskrivs bestämmelser om behandling av arbetstagares personuppgifter, test och kontroller som arbetstagare ska genomgå samt de krav som ställs på dessa, teknisk övervakning på arbetsplatsen samt hämtning och öppnande av arbetstagares e-postmeddelanden. Gällande kollektivavtal som innehåller föreskrifter för behandling av personuppgifter nämns dock inte i paragrafen.  

31 §.Undantag och skyddsåtgärder som avser behandling av personuppgifter för vetenskapliga och historiska forskningsändamål samt statistiska ändamål. I 1 mom. föreskrivs om undantag från vissa rättigheter för registrerade samt om förutsättningarna för sådana undantag och anknytande skyddsåtgärder i samband med vetenskaplig och historisk forskning.  

Bestämmelser om undantag och anknytande skyddsåtgärder bygger på artikel 89.2 i den allmänna dataskyddsförordningen. Om personuppgifter behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål får det enligt punkten i i nationell rätt föreskrivas undantag från de rättigheter som avses i artiklarna 15, 16, 18 och 21. I artikel 15 i den allmänna dataskyddsförordningen föreskrivs om den registrerades rätt till tillgång (rätt till insyn), i artikel 16 om rätt till rättelse, i artikel 18 om rätt till begränsning av behandling och i artikel 21 om rätt att göra invändningar. Från alla dessa rättigheter ska undantag kunna göras med iakttagande av de skyddsåtgärder som räknas upp i 1 mom.  

Det är motiverat att det görs undantag i dataskyddslagen för att inte vetenskapliga och historiska forskningsändamål ska äventyras i onödan. Detta motsvarar i stor utsträckning även nuläget, eftersom den registrerade med stöd av 27 § i personuppgiftslagen inte har rätt till insyn om personuppgifter används uteslutande för historisk eller vetenskaplig forskning eller statistikföring. 

Undantag är dock enligt momentet tillåtna endast vid behov. Därmed kan undantag från den registrerades rättigheter göras endast i den mån sådana rättigheter sannolikt förhindrar uppnåendet av dessa särskilda ändamål eller försvårar det i hög grad och sådana undantag behövs för att uppfylla dessa ändamål. Till exempel i en situation där forskningsmaterialet är helt pseudonymiserat och den personuppgiftsansvarige inte har kodnyckeln, kan utövandet av den registrerades rätt till insyn i hög grad försvåra själva forskningen. Den personuppgiftsansvarige ska då från fall till fall pröva om undantaget behövs och är ändamålsenligt motiverat. Att uteslutande genomföra de skyddsåtgärder som räknas upp i 1—3 punkten i momentet berättigar därmed inte undantag från den registrerades rättigheter. 

I momentet föreskrivs i enlighet med artikel 89 i den allmänna dataskyddsförordningen om särskilda skyddsåtgärder i situationer där det finns ett behov av att avvika från vissa av den registrerades rättigheter. Den allmänna dataskyddsförordningen inbegriper i sig betydande skyddsåtgärder. Den registrerades rättigheter tryggas t.ex. av att den registrerade kan föra ärendet till tillsynsmyndigheten för behandling, om han eller hon misstänker att personuppgifter behandlas för ett vetenskapligt forskningsändamål i strid med dataskyddsförordningen. 

I 1 punkten föreskrivs att undantag är möjliga om behandlingen grundar sig på en ändamålsenlig forskningsplan. Med hjälp av forskningsplanen kan man vid behov t.ex. övervaka att behandlingen faktiskt sker inom sådan forskning som kan betraktas som vetenskaplig eller historisk forskning. Med stöd av 24 § 21 punkten i offentlighetslagen ska planer och basmaterial för forskning fortfarande vara sekretessbelagda. Forskningen ska dessutom enligt nuvarande praxis uppfylla även de allmänna forskningsetiska principerna i synnerhet när uppgifter som hör till särskilda kategorier av personuppgifter behandlas. 

I 2 punkten föreskrivs att undantag förutsätter att det finns en ansvarig person eller en grupp som ansvarar för forskningen. Inte heller till dessa delar förändras rättsläget jämfört med nu. 

I 3 punkten föreskrivs i stor utsträckning i motsvarighet till nuläget att personuppgifterna ska användas och lämnas ut endast för historisk eller vetenskaplig forskning eller ett annat förenligt ändamål och verksamheten också i övrigt bedrivas så att uppgifter om bestämda personer inte röjs för utomstående. I personuppgiftslagen är en senare användning av uppgifter tillåten endast för historisk eller vetenskaplig forskning. I enlighet med förslaget utvidgas den sekundära användningen av uppgifter så att den även inbegriper andra förenliga ändamål. Således kan personuppgifter som behandlats i forskning senare behandlas t.ex. för statistiska ändamål.  

I 2 mom. föreskrivs i motsvarighet till 1 mom. om undantag från vissa av den registrerades rättigheter samt om förutsättningarna för sådana undantag i samband med statistikföring. Undantagen grundar sig likaså på artikel 89.2 i den allmänna dataskyddsförordningen.  

Rätten att kontrollera uppgifter om sig själv kan uteslutas när det gäller statistikföring om man beaktar ändamålet med statistikföring och att ingreppet i integritetsskyddet är litet samt de tilläggsvillkor som föreslås och i stor utsträckning motsvarar villkoren i 15 § i personuppgiftslagen. I synnerhet ändamålsenligheten i utövandet av rättigheter enligt artiklarna 16 och 18 hänför sig väsentligt till om den registrerade över huvud taget har tillträde till uppgifterna om sig själv i enlighet med artikel 15. Statistikens användbarhet och tillförlitlighet kan dessutom i vissa situationer förutsätta att invändningar mot behandlingen inte får göras. Undantag skulle dock i motsvarighet till 1 mom. vara möjliga endast vid behov. 

I momentet föreskrivs om de skyddsåtgärder genom vilka undantag från den registrerades rättigheter kan göras i sådana situationer som avses i momentet. I 1 punkten föreskrivs i enlighet med 15 § 1 mom. i personuppgiftslagen att undantag kan göras om statistiken inte kan uppgöras eller det informationsbehov som ligger till grund för den inte kan tillgodoses utan att personuppgifter används. 

I 2 punkten förutsätts att framtagandet av statistiken har en saklig anknytning till den personuppgiftsansvariges verksamhet. Till innehållet motsvarar punkten 15 § 2 mom. i personuppgiftslagen, men det har gjorts en ändring av främst språklig karaktär för att klargöra den formulering som nu ansetts vara beroende av tolkning. 

I 3 punkten förutsätts fortfarande i motsvarighet till nuläget och 15 § 3 punkten i personuppgiftslagen att uppgifter inte lämnas ut eller görs tillgängliga på ett sådant sätt att de kan hänföras till någon bestämd person, om inte uppgifterna lämnas ut för officiell statistik. 

I 3 mom. föreskrivs att ett undantag från den registrerades rättigheter enligt artiklarna 15, 16, 18 och 21 i dataskyddsförordningen kan göras även när uppgifter som hör till särskilda kategorier av personuppgifter behandlas för vetenskaplig eller historisk forskning eller för statistikföring. Det samma gäller personuppgifter som rör fällande domar i brottmål samt överträdelser enligt artikel 10 i dataskyddsförordningen. Förutsättningen är även då att undantaget från rättigheterna behövs. Ett undantag kan behövas t.ex. därför att tillgodoseendet av rättigheterna skulle göra det helt omöjligt att bedriva vetenskaplig forskning. 

Villkoret är utöver åtgärderna enligt 1 och 2 mom. dessutom skyldigheten att genomföra en konsekvensbedömning avseende dataskydd enligt artikel 35 i dataskyddsförordningen. Genom detta villkor betonas den personuppgiftsansvariges planeringsskyldighet. En konsekvensbedömning avseende dataskydd ska minst 30 dagar före behandlingen inleds sändas skriftligen till dataombudsmannen för att dataombudsmannen vid behov ska hinna ingripa i behandlingen av personuppgifter. I bestämmelsen åläggs dataombudsmannen dock inte någon skyldighet att vidta åtgärder med anledning av att en konsekvensbedömning har inkommit.  

Det bör noteras att skyldigheten att genomföra en konsekvensbedömning enligt artikel 35 i den allmänna dataskyddsförordningen och skicka den till dataombudsmannen för kännedom inte på något sätt begränsar skyldigheterna till följd av den allmänna dataskyddsförordningen att t.ex. i enlighet med artikel 36 höra dataombudsmannen. 

Det bör även noteras att de skyddsåtgärder som förutsätts i paragrafen inte behövs, om det inte görs något undantag från den registrerades rättigheter enligt artiklarna 15, 16 och 18 vid behandling av personuppgifter. Den registrerades rättigheter begränsas i artikel 14.5 b, artikel 17.3 d och artikel 21.6 i dataskyddsförordningen. Eftersom den allmänna dataskyddsförordningen är direkt tillämplig lagstiftning, kan det direkt med stöd av förordningen göras ett undantag från den registrerades rättigheter i enlighet med ovan nämnda punkter i förordningen.  

32 §.Undantag och skyddsåtgärder som avser behandling av personuppgifter för arkivändamål av allmänt intresse. I paragrafen föreskrivs om de undantag från de registrerades rättigheter som möjliggörs av artikel 89.2 och 3 i den allmänna dataskyddsförordningen. När personuppgifter behandlas för arkivändamål av allmänt intresse kan det göras undantag från den registrerades rättigheter som avses i artiklarna 15, 16 och 18—21 i dataskyddsförordningen under de förutsättningar som anges i artikel 89.3 i dataskyddsförordningen. Undantag från den registrerades rättigheter med stöd av det föreslagna lagrummet förutsätter således att rättigheterna sannolikt antingen skulle förhindra uppnåendet av de aktuella ändamålen eller försvåra dem i hög grad. Den registrerades rättigheter som avses i lagrummet är sådana att det kan vara mycket svårt att tillgodose dem i samband med arkivering. T.ex. rätten till rättelse av uppgifter enligt artikel 16 i den allmänna dataskyddsförordningen är svår att tillgodose när det gäller arkiverade uppgifter. I lagrummet förutsätts dessutom att arkivering är av allmänt intresse för att undantag ska kunna göras från den registrerades rättigheter. Med stöd av den föreslagna paragrafen är det möjligt att avvika från den registrerades rättigheter som anges i artiklarna 19 och 20 i dataskyddsförordningen. Motsvarande rättighet att avvika från den registrerades rättigheter ingår inte i 31 § som gäller vetenskaplig och historisk forskning samt statistiska ändamål. Detta beror på att artikel 89 i dataskyddsförordningen inte innehåller någon motsvarande nationell prövningsmarginal i fråga om vetenskapliga och historiska forskningsändamål och statistikföring. Den personuppgiftsansvarige ska sörja för att skyddsåtgärder enligt förordningen iakttas vid behandlingen. 

För närvarande innehåller personuppgiftslagen inga bestämmelser om undantag från den registrerades rättigheter när personuppgifter behandlas för arkivändamål. I 35 § i personuppgiftslagen föreskrivs om överföring av personuppgifter till arkiv. Om användning och skydd av personregister som har överförts till arkivverket eller ett därmed jämförbart arkiv samt om utlämnande av uppgifter som finns i sådana register gäller enligt 1 mom. vad som bestäms särskilt. På sådan arkivföring har således inte tillämpats personuppgiftslagen. Då personuppgifter utlämnas ur privata personregister ska arkivverket eller ett därmed jämförbart arkiv dock beakta vad som i personuppgiftslagen bestäms om behandling och utlämnande av personuppgifter, om inte detta med hänsyn till de registrerade uppgifternas ålder och art är uppenbart onödig för de registrerades integritetsskydd. 

Med arkivverket avses i 35 § i personuppgiftslagen Riksarkivet, om vilket det föreskrivs i arkivlagen. Andra därmed jämförbara arkiv är enligt regeringspropositionen om personuppgiftslagen (RP 96/1998 rd) bl.a. utrikesministeriets arkiv, krigsarkivet, arkivet vid Suomalaisen Kirjallisuuden Seura samt fackförbundens arkiv. Föreskrifter om Riksarkivet och dess uppgifter finns i lagen om Riksarkivet (1145/2016). 

33 §.Begränsningar i den personuppgiftsansvariges skyldighet att tillhandahålla de registrerade information. I paragrafen föreskrivs om sådana förutsättningar genom vilka den registrerades rätt till insyn i behandling av personuppgifter om sig själv kan begränsas. Begränsningarna gäller den registrerades rättigheter i artiklarna 13 och 14 i den allmänna dataskyddsförordningen. I artikel 13 föreskrivs om den personuppgiftsansvariges skyldighet att tillhandahålla den registrerade uppgifter om behandling av personuppgifter när uppgifter samlas in från den registrerade själv. I artikel 14 föreskrivs om motsvarande skyldighet när personuppgifter inte har samlats in från den registrerade. För närvarande föreskrivs i 24 § i personuppgiftslagen om den registeransvariges möjlighet att avvika från upplysningsplikten. Syftet med de begränsningar i den registrerades rättigheter som föreslås i 33 och 34 § är i princip att bibehålla nuläget, och syftet med de föreslagna bestämmelserna är således inte att ändra det förfarande för information till de registrerade som för närvarande iakttas vid laglighetskontroll och förvaltningsmyndigheternas övriga tillsyn. 

Undantag från skyldigheten enligt artiklarna 13 och 14 i den allmänna dataskyddsförordningen kan enligt 1 mom. göras om det är nödvändigt med hänsyn till statens säkerhet, försvaret eller den allmänna ordningen och säkerheten eller för förebyggande eller utredande av brott eller för tillsynsuppgifter som anknyter till beskattningen eller den offentliga ekonomin. Den föreslagna bestämmelsen motsvarar 24 § 2 mom. 2 punkten i den gällande personuppgiftslagen. Punkten är möjlig med stöd av artikel 23.1 a—e i den allmänna dataskyddsförordningen.  

I 2 mom. föreskrivs att undantag från artikel 14.1—14.4 i dataskyddsförordningen får göras om tillhandahållandet av information orsakar väsentlig skada eller olägenhet för den registrerade och de uppgifter som registreras inte används för sådant beslutsfattande som gäller den registrerade. En motsvarande bestämmelse ingår i 24 § 2 mom. 3 punkten i personuppgiftslagen. Att tillhandahålla uppgifter till den registrerade kan orsaka denna väsentlig skada eller olägenhet i sådan medicinsk forskning där uppgifter om genetiska sjukdomar behandlas. Villkoret för att uppgifterna inte tillhandahålls är då också att sådana uppgifter inte används till beslutsfattande som gäller den registrerade. Olägenheten ska vara väsentlig; enbart det faktum att olägenhet orsakas räcker inte för begränsning. Det föreslagna 2 momentet möjliggörs med stöd av artikel 23.1 i i den allmänna dataskyddsförordningen. Särskilda bestämmelser om andra begränsningar i personuppgiftslagen för den registrerades rätt att få information behövs inte, eftersom den registrerade enligt artikel 14.5 i den allmänna dataskyddsförordningen inte behöver tillhandahållas information om behandling av personuppgifter, om tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning eller om erhållande eller utlämnande av uppgifter föreskrivs genom en medlemsstats lagstiftning. Särskilda bestämmelser om en sådan grund för begränsning som avses i 24 § i personuppgiftslagen och som gäller situationer där den registrerade redan har fått de uppgifter som avses i paragrafen behövs inte heller. Motsvarande punkt ingår i artikel 14.5 i den allmänna dataskyddsförordningen och är därmed direkt tillämplig även i Finland.  

I 3 mom. föreskrivs om den personuppgiftsansvariges skyldighet att vidta ändamålsenliga åtgärder för att skydda den registrerades rättigheter. En av dessa åtgärder är att hålla de uppgifter som avses i artikel 14.1 och 2 i den allmänna dataskyddsförordningen allmänt tillgängliga. Denna skyldighet gäller dock inte om syftet med begränsningen i paragrafen skulle äventyras om uppgifterna hålls allmänt tillgängliga. För närvarande ska den registeransvarige enligt 10 § i personuppgiftslagen hålla registerbeskrivningen allmänt tillgänglig. Registerbeskrivningen innehåller delvis samma uppgifter som den registrerade ska tillhandahållas enligt artiklarna 14.1 och 2. För närvarande föreskrivs inte i 24 § i personuppgiftslagen som gäller information till den registrerade om den registeransvariges skyldighet att tillhandahålla information om förvaringstiden för personuppgifter eller om kriterierna för fastställandet av den tiden. I 24 § i personuppgiftslagen förutsätts inte heller att den registeransvarige ska informera den registrerade om tillhandahållandet av personuppgifter är ett lagstadgat eller avtalsenligt krav eller ett krav som är nödvändigt för att ingå ett avtal samt om den registrerade är skyldig att tillhandahålla personuppgifterna och de möjliga följderna av att sådana uppgifter inte lämnas. Artiklarna 13 och 14 i den allmänna dataskyddsförordningen innehåller en skyldighet att lämna ovan nämnda uppgifter till den registrerade. Även från dessa skyldigheter för den personuppgiftsansvarige kan göras undantag med stöd av den föreslagna paragrafen.  

34 §.Begränsningar i den registrerades rätt att få tillgång till de uppgifter som samlats in om honom eller henne. I paragrafen föreskrivs om de förutsättningar genom vilka den registrerades rätt att bekanta sig med de uppgifter som samlats in om honom eller henne kan begränsas. För närvarande föreskrivs i 27 § i personuppgiftslagen om inskränkningar i rätten till insyn. Enligt artikel 23 i den allmänna dataskyddsförordningen kan medlemsstaterna genom lagstiftningsåtgärder begränsa bland annat den registrerades rätt enligt artikel 15 att bekanta sig med de uppgifter som samlats in om honom eller henne, om det är nödvändigt och proportionellt för att säkerställa de omständigheter som nämns i 1 punkten. I artikel 23.2 i dataskyddsförordningen föreskrivs om de saker som det enligt behov ska föreskrivas om vid begränsning av den registrerades rättigheter. 

I 1 mom. föreskrivs om sådana situationer när en registrerad inte har i artikel 15 i avsedd rätt att bekanta sig med uppgifter som samlats in om honom eller henne. I 2—4 mom. föreskrivs om särskilda åtgärder som förutsätts i artikel 23.2 i den allmänna dataskyddsförordningen när den registrerades rättigheter begränsas i situationer som avses i 1 punkten.  

Enligt 1 mom. 1 punkten har den registrerade inte denna rätt, om lämnandet av informationen kan skada den nationella säkerheten, försvaret eller den allmänna ordningen och säkerheten eller försvåra förebyggande eller utredningen av brott. I 27 § 1 mom. 1 punkten i den gällande personuppgiftslagen föreskrivs huvudsakligen om motsvarande grunder för inskränkningar i rätten till insyn. Punkten är möjlig med stöd av artikel 23.1 a—d i den allmänna dataskyddsförordningen.  

Enligt 1 mom. 2 punkten har den registrerade inte heller rätt enligt artikel 15 att bekanta sig med sina uppgifter om informationen kan medföra allvarlig fara för den registrerades hälsa eller vård eller för den registrerades eller någon annans rättigheter. Bestämmelsen motsvarar i huvuddrag 27 § 1 mom. 2 punkten i den gällande lagen. Till bestämmelsen föreslås ett tillägg enligt vilket den registrerades rätt att bekanta sig med uppgifter kan begränsas också därför att informationen kan medföra allvarlig fara för den registrerades rättigheter. Detta behövs för att bestämmelsen ska omfatta även sådana situationer som vanligen förekommer i barnskyddsärenden där ett barn är registrerat och det skulle strida mot barnets intressen att lämna uppgifterna till vårdnadshavaren. Det föreslagna tillägget motsvarar myndighetens nuvarande tolkningspraxis. För närvarande har begreppet vård i bestämmelsen om inskränkningar i rätten till insyn getts en vid tolkning och ansetts omfatta ovan nämnda situationer. Att någon annans rättigheter orsakas allvarlig fara ska fortfarande vara en behövlig grund för att begränsa den registrerades rättighet att få bekanta sig med uppgifter om sig själv. Denna behövs t.ex. i situationer av typen whistleblower t.ex. i bostadsaktiebolag eller när det görs barnskyddsanmälningar. Den föreslagna 2 punkten möjliggörs med stöd av artikel 23.1 j i den allmänna dataskyddsförordningen. Enligt punkten kan den registrerades rättigheter begränsas för att säkerställa skyddet för den registrerade eller någon annans rättigheter och friheter.  

Enligt 1 mom. 3 punkten har den registrerade inte heller den rätt som avses i artikel 15 att bekanta sig med sina uppgifter, om personuppgifterna i registret används för tillsyns- och kontrolluppgifter och vägran att lämna information är nödvändig för att trygga ett viktigt ekonomiskt eller finansiellt intresse för Finland eller Europeiska unionen. Bestämmelsen motsvarar 27 § 1 mom. 4 punkten i den gällande personuppgiftslagen. Bestämmelsen i personuppgiftslagen baserar sig på artikel 13.1 e och f i det gamla dataskyddsdirektivet. Artikel 23.1 i den allmänna dataskyddsförordningen innehåller led h som motsvarar led f i direktivet. En punkt som motsvarar artikel 13.1 e i det gamla dataskyddsdirektivet ingår för sin del i artikel 23.1 e i den allmänna dataskyddsförordningen. Den föreslagna 3 punkten är således fortfarande möjlig.  

I 2 mom. föreskrivs för tydlighetens skull om den registrerades rätt att få information om endast en del av de uppgifter som registrerats i ett personregister ställs utanför rätten till insyn i 1 mom. Den registrerade har även då rätt att få veta vilka övriga uppgifter som rör honom eller henne. En likadan bestämmelse ingår i 27 § 2 mom. i den gällande lagen.  

Enligt 3 mom. ska den registrerade underrättas om orsakerna till begränsningen, om detta inte äventyrar syftet med begränsningen. Detta motsvarar artikel 23.2 h i den allmänna dataskyddsförordningen. Genom detta säkerställs en öppen behandling av personuppgifter och den registrerades rätt att på allmän nivå få information om en begränsning som gäller de uppgifter som samlats in om honom eller henne. Det är dock möjligt att redan information på ett allmännare plan kan äventyra syftet med begränsningen. I en sådan situation har den personuppgiftsansvarige ingen skyldighet att informera om orsakerna till begränsningen.  

Enligt 4 mom. ska uppgifter på begäran av den registrerade lämnas till dataombudsmannen. På så vis säkerställs att den registrerades rättigheter blir ändamålsenligt skyddade även om den registrerade själv inte har någon rätt till insyn.  

6 kap. Särskilda bestämmelser

35 §.Tystnadsplikt. I paragrafen föreskrivs om en allmän tystnadsplikt. Paragrafen motsvarar det som föreskrivs i 33 § i personuppgiftslagen, men det föreslås att bestämmelsen ändras delvis. I personuppgiftslagen åläggs för närvarande den person tystnadsplikt som vid utförandet av åtgärder som har samband med behandlingen av personuppgifter har fått kännedom om något som gäller en annan persons egenskaper, personliga förhållanden eller ekonomiska ställning. Paragrafen ses över så att tystnadsplikten även gäller vad personen har fått veta om en annan persons affärshemlighet. I Finland används olika begrepp för affärshemlighet i olika lagar: affärshemlighet, affärs- och yrkeshemlighet, yrkes- och affärshemlighet, företagshemlighet samt företags- och affärshemlighet. I praktiken anses begreppen avse samma sak, och de har också i rättspraxis i stor utsträckning tolkats på samma sätt. I samband med det nationella genomförandet av direktivet om företagshemligheter är avsikten att användningen av begreppet affärshemlighet ska förenhetligas i lagstiftningen.  

För närvarande får de uppgifter som anges i 33 § i personuppgiftslagen inte röjas för utomstående i strid med personuppgiftslagen. Ordalydelsen ses över så att uppgifter inte obehörigt får röjas för utomstående. Obehörigt röjande kan därmed grunda sig på att det strider även mot någon annan lag än dataskyddslagen. Dessutom kompletteras bestämmelsen med ett förbud mot obehörig användning av information.  

I paragrafen hänvisas till alla åtgärder i anknytning till behandlingen av personuppgifter. Tystnadsplikten gäller t.ex. en person som är anställd hos den personuppgiftsansvarige eller personuppgiftsbiträdet samt dataskyddsombudet. 

36 §.Skydd för rapportörers identitet. I paragrafen föreskrivs om att identiteten för en fysisk person som har rapporterat en överträdelse av bestämmelser om skydd av personuppgifter ska hållas hemlig. Någon motsvarande bestämmelse ingår inte i den gällande personuppgiftslagen. Bestämmelser om skydd för rapportörers identitet finns för närvarande t.ex. i 71 a § i lagen om ändring av lagen om Finansinspektionen (1442/2016). Dessutom föreskrivs om rapporteringskanaler genom vilka rapporter om lagöverträdelser kan lämnas (eng. whistleblowing) t.ex. för kreditinstitut med stöd av 7 kap. 6 § i kreditinstitutslagen (610/2014), för försäkringsbolag med stöd av 6 kap. 17 a § i försäkringsbolagslagen (521/2008) och med stöd av 3 § i lagen om ändring av värdepappersmarknadslagen (519/2016).  

Att hålla rapportörers identitet hemlig är reglering som gäller strikt begränsade situationer Det är således inte fråga om en allmänt tillämplig grund för tystnadsplikt, utan om en grund för tystnadsplikt som är avgränsad till skötseln av dataombudsmannens uppgifter. Det är således ändamålsenligt att ta in bestämmelser om denna grund för tystnadsplikten i kapitlet om tillsynsmyndigheten i dataskyddslagen, även om huvudregeln för reglering som gäller grunder för tystnadsplikt är att bestämmelserna ska koncentreras till offentlighetslagen. Detta stämmer också överens med den s.k. whistleblowing-regleringen.  

Genom den föreslagna bestämmelsen genomförs den senare meningen i artikel 54.2, där det förutsätts att identiteten för personer som rapporterat överträdelser hålls hemlig. Om inte någon av grunderna för tystnadsplikt som anges i 24 § i offentlighetslagen ska tillämpas, ska endast uppgifter som direkt eller indirekt röjer rapportörens identitet med stöd av det föreslagna 1 mom. hållas hemliga.  

Syftet med bestämmelsen är att skydda en rapportör som skulle kunna orsakas olägenheter om hans eller hennes identitet röjs. Rapportörer ska kunna meddela överträdelser av bestämmelser om skydd av personuppgifter till Dataombudsmannens byrå utan rädsla för skadliga påföljder. Grunden för tystnadsplikt som gäller rapportörens identitet är inte absolut, eftersom förutsättningen för tillämpningen av bestämmelsen är att röjandet av identiteten medför olägenhet för rapportören. Olägenheten kan t.ex. vara att rapportören står i ett särskilt förhållande till den personuppgiftsansvarige eller det personuppgiftsbiträde som är föremål för rapporten och att rapporten skulle kunna medföra olägenheter för detta förhållande. De omständigheter som avses i bestämmelsen gäller t.ex. när rapportören har en anställning hos den personuppgiftsansvarige eller personuppgiftsbiträdet. Rapportörens subjektiva uppfattning om olägenheten räcker inte ensam till för att grunden för tystnadsplikt som avses i bestämmelsen ska tillämpas. Bestämmelsen ska t.ex. inte tillämpas när rapporten gäller genomförandet av den registrerades rättigheter som anges i kapitel III i den allmänna dataskyddsförordningen. Då är det till och med nödvändigt att röja rapportörens identitet för den personuppgiftsansvarige för att ärendet ska utredas.  

Enligt artikel 54.2 i den allmänna dataskyddsförordningen ska varje tillsynsmyndighets ledamot eller ledamöter och personal i enlighet med unionsrätten eller medlemsstaternas nationella rätt omfattas av tystnadsplikt både under och efter sin mandattid vad avser konfidentiell information som de fått kunskap om under utförandet av deras uppgifter eller utövandet av deras befogenheter. När det gäller tystnadsplikten för personalen vid Dataombudsmannens byrå behövs inga särskilda bestämmelser, eftersom Dataombudsmannens byrå är den myndighet som avses i offentlighetslagen vars verksamhet omfattas av offentlighetslagen. Således blir även bestämmelserna om personalens tystnadsplikt direkt med stöd av offentlighetslagen tillämpliga på personalen vid Dataombudsmannens byrå. Förutom personalen vid Dataombudsmannens byrå gäller detsamma dataombudsmannen, biträdande dataombudsmän, sakkunnignämnden och utomstående sakkunniga. I 23 § i offentlighetslagen föreskrivs det om tystnadsplikt och förbud mot utnyttjande. Enligt 23 § 1 mom. i den lagen får den som är anställd hos en myndighet eller innehar ett förtroendeuppdrag inte röja en handlings sekretessbelagda innehåll eller en uppgift som vore sekretessbelagd om den ingick i en handling, och inte heller någon annan omständighet som han eller hon har fått kännedom om i samband med sin verksamhet hos myndigheten och för vilken tystnadsplikt föreskrivs genom lag. En uppgift för vilken tystnadsplikt gäller får inte heller röjas efter det att verksamheten hos myndigheten har upphört eller det uppdrag som utförts för myndighetens räkning har avslutats. Tystnadsplikten för en tjänsteman gäller således delvis också tiden efter tjänsteförhållandet. 

Bestämmelser om förbud mot att utnyttja uppgifter finns i 23 § 3 mom. i offentlighetslagen. Den som har tystnadsplikt får inte använda sekretessbelagda uppgifter för att skaffa sig själv eller någon annan fördel eller för att skada någon annan. I 40 kap. 5 § i strafflagen föreskrivs om brott mot tjänstehemlighet och brott mot tjänstehemlighet av oaktsamhet under den tid anställningen varar eller därefter.  

Enligt 11 § i offentlighetslagen har den som i ett ärende är sökande eller anför besvär eller någon annan vars rätt, fördel eller skyldighet ärendet gäller (part) rätt att hos den myndighet som behandlar eller har behandlat ärendet ta del av en myndighetshandling som kan eller har kunnat påverka behandlingen, även om handlingen inte är offentlig. Enligt 11 § 2 mom. 1 punkten i offentlighetslagen föreligger rätten dock inte när utlämnande av uppgifter skulle strida mot ett synnerligen viktigt allmänt intresse eller ett annat synnerligen viktigt enskilt intresse. Att lämna information om rapporten av en överträdelse till den som är föremål för rapporten kan vara ett sådant synnerligen viktigt allmänt intresse som avses i offentlighetslagen, om utredningen av överträdelserna skulle försvåras av att uppgifter lämnas ut. Att lämna ut uppgifter om rapportören kan för sin del strida mot det synnerligen viktiga allmänna intresse som avses i offentlighetslagen, om röjandet av rapportörens identitet skulle äventyra rapportörens säkerhet, intressen eller rättigheter. Då ska partsoffentligheten begränsas. Förutsättningen för tillämpningen av bestämmelsen är att Dataombudsmannens byrå med stöd av de omständigheter som kommit fram i ärendet har grundad anledning att bedöma att det finns ett behov av skydd.  

37 §.Ikraftträdande. I 1 mom. i paragrafen föreskrivs det om lagens ikraftträdande. Lagen träder i kraft den 25 maj 2018, då även den allmänna dataskyddsförordningen börjar tillämpas. 

Enligt 2 mom. upphävs genom lagen personuppgiftslagen av den 22 april 1999 och lagen om datasekretessnämnden och dataombudsmannen av den 27 maj 1994. 

38 §.Övergångsbestämmelser. I paragrafen föreskrivs om behövliga övergångsbestämmelser i synnerhet i situationer där ändringar i tillämplig lagstiftning ska beaktas.  

Enligt 1 mom. upphör giltigheten för de tillstånd som datasekretessnämnden beviljat vid lagens ikraftträdande. Datasekretessnämnden har kunnat bevilja de tillstånd som avses i 43 § i personuppgiftslagen antingen tills vidare eller för viss tid. När den allmänna dataskyddsförordningen blir tillämplig, kan personuppgifter inte längre behandlas med stöd av ett tillstånd från datasekretessnämnden, utan det måste finnas en grund för behandlingen enligt artikel 6 och vid behov artikel 9 i den allmänna dataskyddsförordningen eller i nationell lag.  

I momentet föreskrivs också om att ärenden som är anhängiga i datasekretessnämnden före den föreslagna lagens ikraftträdande förfaller vid lagens ikraftträdande. Således förfaller såväl de tillståndsansökningsärenden som avses i 43 § och de föreskriftsärenden som avses i 44 § i personuppgiftslagen som varit anhängiga i datasekretessnämnden när den nya lagen börjar tillämpas. Varken datasekretessnämnden eller någon annan datasekretessmyndighet kan när den allmänna dataskyddsförordningen blir tillämplig bevilja sådant tillstånd för behandling av personuppgifter som avses i 43 § i personuppgiftslagen och som t.ex. har kunnat beviljas när det gällt den personuppgiftsansvarige berättigade intresse. Behandlingsgrunden som gäller berättigat intresse följer i fortsättningen direkt av artikel 6.1 f i den allmänna dataskyddsförordningen.  

Datasekretessnämnden dras in genom den föreslagna lagen. Således är det motiverat att även eventuella anhängiga föreskriftsärenden förfaller. Med stöd av 44 § i personuppgiftslagen har endast dataombudsmannen kunnat inleda ett föreskriftsärende som gäller behandling av personuppgifter i datasekretessnämnden. När den allmänna dataskyddsförordningen blir tillämplig har tillsynsmyndigheten, dvs. dataombudsmannen, en liknande möjlighet att meddela föreskrifter om behandling av personuppgifter. 

På ärenden som anhängiggjorts i Dataombudsmannens byrå innan den föreslagna lagen träder i kraft tillämpas efter den föreslagna lagens ikraftträdande i princip den lagstiftning som gällde vid tillämpningen, dvs. den allmänna dataskyddsförordningen och den föreslagna dataskyddslagen. På ärenden som varit anhängiga vid Dataombudsmannens byrå när den föreslagna lagen träder i kraft tillämpas den föreslagna dataskyddslagen och den allmänna dataskyddsförordningen, om inte något annat föreskrivs i lagens övergångsbestämmelser. T.ex. på ärenden som gäller sådana anvisningar och råd som avses i 40 § 1 mom., sådana utlåtanden som avses i 41 § och sådan granskning av branschspecifika uppförandekodexar som avses i 42 § i personuppgiftslagen tillämpas den allmänna dataskyddsförordningen och den föreslagna lagen, även om ärendet skulle ha inletts vid Dataombudsmannens byrå innan den föreslagna lagen trädde i kraft.  

Det är dock inte i alla avseenden motiverat att tillämpa den nya lagstiftningen på ärenden som är anhängiga vid Dataombudsmannens byrå t.ex. därför att det i de nya författningarna inte föreskrivs något om vissa ärende- eller uppgiftstyper. Därför föreslås enligt 2 mom. att det på ett ärende som gäller en anmälan till dataombudsmannen och som är anhängigt vid ikraftträdandet av den föreslagna lagen tillämpas bestämmelserna om anmälningsplikt och hur en anmälan ska göras i 36 och 37 § i personuppgiftslagen som gäller vid lagens ikraftträdande. I den allmänna dataskyddsförordningen eller genom den föreslagna lagen som kompletterar den föreskrivs inte längre om motsvarande anmälningar, och därför är det inte möjligt att tillämpa den nya lagstiftningen på behandlingen av sådana anmälningar. 

I 3 mom. föreskrivs att på ett ärende som är anhängigt när den föreslagna lagen träder i kraft och som gäller utövande av rätten till insyn och rättelse av personuppgifter ska i princip tillämpas dataskyddslagen och den allmänna dataskyddsförordningen. Nämnda författningar tillämpas dock inte till de delar det är fråga om sådana bestämmelser i artiklarna 12 och 15—18 i förordningen där den personuppgiftsansvarige åläggs mer omfattande skyldigheter än i bestämmelserna i personuppgiftslagen och om tillämpningen av bestämmelserna i förordningen skulle vara oskälig med avseende på den personuppgiftsansvarige i det aktuella fallet. I princip ska det således även på den registrerades rätt att få tillgång till uppgifter och att rätta uppgifter tillämpas kraven i den nya lagstiftningen också i de fall där ärendet har blivit anhängigt före ikraftträdandet av den föreslagna lagen. I enskilda fall kan det dock vara oskäligt att förutsätta att den personuppgiftsansvarige ska iaktta sådana krav som inte har funnits i personuppgiftslagen. Då kan dataombudsmannen låta bli att tillämpa sådana bestämmelser i förordningen. Det är dessutom klart att dataombudsmannen inte kan påföra en sådan administrativ påföljdsavgift som avses i artikel 83 i den allmänna dataskyddsförordningen för gärningar som inträffat före den föreslagna lagens ikraftträdande. 

I 4 mom. föreskrivs att det vid överklagande av beslut som datasekretessnämnden och dataombudsmannen fattat före ikraftträdandet av den föreslagna lagen tillämpas de bestämmelser som gällde vid ikraftträdandet av lagen. På extraordinärt ändringssökande tillämpas enligt bestämmelsen de bestämmelser som gällde vid ikraftträdandet av den föreslagna lagen dock endast om ett ärende som gäller extraordinärt ändringssökande har anhängiggjorts före ikraftträdandet. 

Enligt 5 mom. tillämpas de bestämmelser som gällde vid ikraftträdandet av den föreslagna lagen på skyldigheten att ersätta skada, om den gärning som orsakat skadan har begåtts före ikraftträdandet av lagen. I artikel 82 i den allmänna dataskyddsförordningen föreskrivs om skyldigheten att ersätta skada på ett sätt som avviker från utgångspunkterna i personuppgiftslagen. Därmed är också en avtalsmässig ansvarsfördelning i praktiken till dessa delar baserad på olika utgångspunkter. Enligt 47 § i personuppgiftslagen är endast den registeransvarige skyldig att ersätta den skada som tillfogats den registrerade eller någon annan person av att personuppgifter har behandlats i strid med personuppgiftslagen. I artikel 82 i den allmänna dataskyddsförordningen föreskrivs däremot att även personuppgiftsbiträdet kan ha skyldighet att ersätta skador till följd av en överträdelse av förordningen. Artikeln innehåller även annars betydande bestämmelser om t.ex. ansvarsfördelningen mellan olika parter. Härmed behövs den föreslagna bestämmelsen så att ett möjligtvis mycket omfattande retroaktivt ingripande i de rättsförhållanden och avtal som gällde medan personuppgiftslagen var i kraft kan undvikas.  

1.2  Strafflagen

38 kap. Om informations- och kommunikationsbrott

9 §.Dataskyddsbrott. Gällande bestämmelse om personregisterbrott föreslås bli utbytt mot en ny bestämmelse om dataskyddsbrott. 

Enligt 38 kap. 9 § i gällande strafflag ska den som uppsåtligen eller av grov oaktsamhet behandlar personuppgifter i strid med personuppgiftslagens bestämmelser om ändamålsbundenhet, allmänna förutsättningar för behandling, personuppgifternas relevans och felfrihet, känsliga uppgifter, personbeteckning eller behandling av personuppgifter för särskilda ändamål eller bryter mot särskilda bestämmelser om behandling av personuppgifter ska dömas till böter eller fängelse i högst ett år. För personregisterbrott döms likaså den som uppsåtligen eller av grov oaktsamhet genom att till en registrerad ge felaktig eller vilseledande information hindrar eller försöker hindra honom att utöva rätten till insyn eller i strid med 5 kap. i personuppgiftslagen översänder personuppgifter till stater utanför Europeiska unionen eller Europeiska ekonomiska samarbetsområde. Förutsättningen för att rekvisitet för brott ska uppfyllas i samtliga ovan nämnda situationer är att gärningen kränker den registrerades integritetsskydd eller åsamkar honom eller henne annan skada eller betydande men. 

En mycket omfattande kriminalisering av behandling av personuppgifter på samma sätt som i 38 kap. 9 § i strafflagen är inte längre befogad. I och med de administrativa påföljdsavgifterna i den allmänna dataskyddsförordningen förändras påföljdssystemet för dataskyddslagstiftningen på ett genomgripande sätt. Således blir det straffrättsliga ansvaret aktuellt endast i situationer där lagstridig behandling av personuppgifter inte med stöd av förordningen omfattas av administrativa påföljdsavgifter.  

I 1 mom. föreskrivs att den som uppsåtligen eller av grov oaktsamhet på annat sätt än i egenskap av personuppgiftsansvarig eller personuppgiftsbiträde enligt den allmänna dataskyddsförordningen skaffar personuppgifter på ett sätt som är oförenligt med uppgifternas ändamål, lämnar ut personuppgifter eller överför personuppgifter i strid med sådana bestämmelser i den allmänna dataskyddsförordningen, dataskyddslagen, lagen om behandling av personuppgifter i brottmål och i samband med upprätthållandet av den nationella säkerheten eller någon annan lag som gäller behandling av personuppgifter som gäller ändamålsbegränsning, utlämnande eller överföring av personuppgifter, och därmed gör intrång i den registrerades integritetsskydd eller orsakar honom eller henne annan skada eller betydande olägenhet, ska för dataskyddsbrott dömas till böter eller fängelse i högst ett år. 

Straffbestämmelsen ska därmed tillämpas endast i en situation där personen i fråga inte kan anses ha agerat i egenskap av personuppgiftsansvarig eller personuppgiftsbiträde. Straffbestämmelsen i artikel 2.2 c i den allmänna dataskyddsförordningen utgör inget hinder för tillämpning av straffbestämmelsen i sådana situationer, eftersom den egentliga behandlingen av uppgifter hör till tillämpningsområdet för den allmänna dataskyddsförordningen. I straffbestämmelsen föreslås inte något straffansvar för en juridisk person. 

Ett exempel på straffbar verksamhet är behandling av personuppgifter av nyfikenhet utan någon berättigande grund för behandlingen. Sådana här så kallade spionagesituationer har i praktiken visat sig vara relativt allmänna. T.ex. en person som hör till hälso- och sjukvårdspersonalen kan med stöd av sin användarbehörighet ha rätt att behandla personuppgifterna för personer i vars vård de deltar. Däremot att obehörigt skaffa personuppgifter ur patientdatasystemet av pur nyfikenhet strider mot lag. Avsikten är att bestämmelsen ska tillämpas på spionagefall på samma sätt som gällande bestämmelse om personregisterbrott, med stöd av vilken det har ansetts att personuppgifter i ovan beskrivna situationer har behandlats i strid med bestämmelserna om ändamålsbegränsning. 

För dataskyddsbrott döms enligt 2 mom. också en person som avses i 1 mom. och som handlar i strid med vad som i 1—4 punkten i det momentet föreskrivs om säkerhet vid behandling av personuppgifter. T.ex. artikel 32 i den allmänna dataskyddsförordningen reglerar säkerheten i samband med behandlingen av personuppgifter. En sådan situation kan vara aktuell t.ex. när någon i anställning hos den personuppgiftsansvarige förstör personuppgifter i strid med vad som föreskrivs om datasäkerhet. Bland annat ett förfarande där en person i strid med lag kastar bort dokument som skrivits ut från ett personregister utan att se till att de förstörs på ett datasäkert sätt kan vara straffbart. 

10 §.Åtalsrätt. I 3 mom. föreslås en teknisk ändring. Hänvisningen till personregisterbrott ändras till en hänvisning till dataskyddsbrott i motsvarighet till den ändring som föreslås i 9 §. I bestämmelsen tas även in en grov gärningsform av dataintrång.  

1.3  Lagen om verkställighet av böter

1 §.Lagens tillämpningsområde. Till 1 mom. föreslås bli fogad en ny 12 punkt, enligt vilken även en sådan administrativ påföljdsavgift som avses i artikel 83 i den allmänna dataskyddsförordningen och påförs av dataombudsmannen ska genomföras i den ordning som föreskrivs i lagen. I dataskyddslagen föreslås en bestämmelse om den administrativa påföljdsavgiften i 25 §. Enligt 31 § i förvaltningsprocesslagen är ett beslut om påförande av en administrativ påföljdsavgift inte verkställbart förrän det har vunnit laga kraft. Enligt 3 § i lagen om verkställighet av böter sörjer Rättsregistercentralen för verkställigheten.