1
Justitiedepartementet
Grundlagsenheten, L6
103 33 Stockholm
Stockholm den 5 mars 2012
Europeiska kommissionens förslag till dataskyddsförordning, (KOM (2012) 11 slutlig),
(Ju2012/0000/L6)
________________________________________________________________________
Justitiedepartementet har den 8 februari 2012 remitterat rubricerat förslag. SWEDMA anför
följande.
SWEDMA är intresse- och branschorganisationen för direktmarknadsföring. Föreningen
företräder ca 250 medlemsföretag (associerade medlemmar utgör 150 utav dessa).
Medlemsföretagen är verksamma i en rad olika branscher, såsom distributörer,
adressleverantörer, analysföretag, bok- och tidningsförlag, tryckerier, reklambyråer,
callcenter- och postorderföretag samt näthandlare.
Kommissionens förslag till förordning är av avgörande betydelse för all verksamhet inom
området för de företag som antingen använder sig av direkta kanaler för att nå sina kunder och
prospects och för de företag som är leverantörer till sådana företag. SWEDMA har därför
beslutat att avge remissyttrande över rubricerat betänkande. Synpunkterna är preliminära då
kort tid stått till buds för analys av förslaget.
Sammanfattande bedömning
SWEDMA delar ambitionen att utifrån den tekniska utvecklingen och till gagn för den inre
marknaden uppdatera gällande regelverk på dataskyddsområdet.
Emellertid misslyckas förordningen med att uppnå den nödvändiga balansen mellan
integritetsintresset och en legitim hantering av personuppgifter. Genom att ge den föreslagna
lagstiftningen formen av en direktverkande förordning istället för – som idag – av ett direktiv,
riskeras en kraftfull förskjutning av gällande rätt, dels till överstatlighet, dels till
oproportionerliga regler till nackdel för verksamhetsutövare i näringslivet.
2
Bortsett från formen av förordning så grundas SWEDMAs invändningar mot förslaget dels på
överväganden av tryck- yttrandefriheten, vilka är särskilt angelägna för publicistisk
verksamhet, dels på de ökade bördor i form av kostnader och administration samt försvårande
av marknadsföring, som förslaget lägger på näringslivet generellt.
Mot denna bakgrund avstyrker SWEDMA förslaget.
Kommissionens förslag har sin bakgrund i nu gällande direktiv 95/46/EC vilket föreslås
upphävas. Under år 2010 beslutade EU-kommissionen om en modernisering av direktivet och
antog samtidigt en strategi för arbetet som syftade till att bl a
Hantera konsekvenserna av den nya tekniken
Stärka inre marknadsaspekten på skyddet av personuppgifter
Anpassa till globalisering och internationell överföring av personuppgifter
Stärka de institutioner som ska tillämpa de framtida bestämmelserna
Åstadkomma ett mer enhetligt skydd av personuppgifter, samt att stärka de enskildas
rättigheter
De förslag som nu lämnas gällande de enskildas rättigheter är främst:
Stärkt kontroll för den enskilde över personuppgifterna
Bättre kontroll över samtyckesprocessen
Rätt att ”bli bortglömd”
Bättre kontroll över egna uppgifter
Egna rättigheter till de uppgifter som andra behandlar
Stärk de enskildas rättigheter genom att stärka tillsynsmyndigheterna
Höjda straff och böter vid överträdelser
De förslag som nu lämnas gällande den inre marknaden är främst:
Direktivet ska upphöra och ersättas av en förordning som ska gälla som lag direkt i
alla medlemsländer
Ändra tillsynsproblemen genom principen - tillsyn där den ansvarige är etablerad
Ökat samarbete mellan tillsynsmyndigheterna
Uppgradering av art. 29-gruppen till en oberoende ”europeisk dataskyddsstyrelse”
förordningen föreskriver en kraftig delegation av beslutsrättigheter från
medlemsländerna till EU-kommissionen
Förslag lämnas i syfte att underlätta internationell överföring främst genom
Nya tydligare regler för ”bindning corporate rules” i koncerner
I kommissionens konsekvensanalys framhålls att skälen till förändringsförslagen främst
bottnar i
Nya utmaningar till följd av snabb teknisk- och affärsutveckling
Insamling och utlämnande av personuppgifter har kraftigt skalats upp till global nivå
Behandling av personuppgifter sker online
Osäkerhet om gällande rätt till följd av en fragmentiserad lagstiftning
Underfinansierade tillsynsmyndigheter
Individens svårigheter att komma till sin rätt
3
Kommissionen förordar i ljuset av det ovanstående att regelverket ska strömlinjeformas med
minskade administrativa bördor och ett enklare regelverk, förstärkta individuella rättigheter
kombinerat med viss självreglering hos de personuppgiftsansvariga.
SWEDMA avstyrker den föreslagna regleringen. Det finns i och för sig goda skäl att
uppdatera gällande regelverk, särskilt mot bakgrund av att Internet och behandling av
personuppgifter online inte övervägdes när dagens regler infördes. Det föreslagna regelverket
med en förordning i stället för ett direktiv innehåller en kraftfull förskjutning av gällande rätt,
dels till överstatlighet, dels till oproportionerliga regler till nackdel för verksamhetsutövare i
näringslivet. Det föreslagna regelverket är inte måttfullt och kommer om det genomförs att
leda till stora svårigheter för näringslivet med minskade intäkter, svårigheter vid
marknadsföring, enorma administrationskostnader, vilket i sin tur leder till färre
arbetstillfällen, etableringssvårigheter, minskad tillväxt och sämre konkurrens. Dessutom
riskerar förordningen med sin konstruktion att ställa den svenska tryck- och yttrandefriheten i
fara.
Förslag som motiveras av den inre marknaden
De motiv som lyfts fram i förslaget i syfte att stärka den inre marknaden har alla sin grund i
önskvärda effektivitetsförbättringar och minskade administrativa kostnader för de
myndigheter och företag som ska efterleva reglerna. En kraftig maktförskjutning från
medlemsländerna till kommissionen föreslås för att nå dessa mål. En enda förordning ska
gälla för alla. Tolkningsföreträde och föreskriftsrätt flyttas från medlemsländernas
myndigheter och domstolar till europeisk överhöghet. Priset för den konformitet som kan
uppnås är emellertid kraftigt inskränkta möjligheter att behandla personuppgifter för hittills
legitima ändamål och att de motstående intressen som finns, inte kan finna stöd i
medlemsländernas olika rättstraditioner och erfarenheter. Det kan befaras att det blir
utomordentligt svårt att motivera personuppgiftsbehandling som ligger utanför
centraleuropeisk acceptans. En förordning riskerar att leda till oproportionerligt strikta regler
till förmån för integritetsskyddsintressen uttolkade av kommissionen – inte till balanserade
regler som väger alla motstående intressen på ett sätt som alla medlemsländer kan acceptera.
Den föreslagna modellen med en förordning i stället för ett uppgraderat direktiv bör t ex för
svensk del inte kunna accepteras på rättsområden där avvägningar måste göras mellan flera
viktiga, delvis motstående, intressen – t ex integritetsskydd mot yttrandefrihet,
integritetsskydd mot näringslivets effektivitet (i meningen förmåga att skapa tillväxt). En
förordning lämnar inget utrymme för den svenske lagstiftaren att anpassa gällande rätt till
svensk rättstradition och svenska förhållanden. Den svenska lagstiftningen på området är för
närvarande tämligen komplex med hundratals andra lagar och författningar som anknyter till
den generella personuppgiftslagen. Införandet av en förordning skulle medföra ett
lagstiftningstekniskt stort och svårt projekt. Därtill gäller att förslaget innehåller en kraftfull
förskjutning av regleringsrätten från medlemsstaterna till kommissionen vilket får
konstitutionella följder; beslut som enligt svensk grundlag ska fattas av riksdagen förflyttas
till EU-kommissionen.
Den påstådda osäkerheten om vad som för närvarande är gällande rätt (som en följd att
respektive medlemslands lagstiftning om personuppgiftsskydd skiljer sig från varandra)
kommer inte att avhjälpas genom förslaget. I och för sig kommer samma förordning att gälla
som lag i respektive medlemsland vilket ger en gemensam utgångspunkt. Emellertid är
förordningstexten inte uttömmande utan öppnar för tolkningar. Tolkningsutrymmet är
4
gigantiskt och förordningens förarbeten magra. Osäkerheten om vad som är gällande rätt
riskerar därför tvärtom att öka. Detta gäller i än högre grad om förslaget att delegera
föreskriftsrätt till kommissionen blir verklighet; en tidskrävande, osäker och oförutsägbar
rättsutveckling kan bli följden.
Det förhållandet att vissa medlemsländers tillstånds- och tillsynsmyndigheter kan vara
underfinansierade utgör inte en acceptabel grund för unionslagstiftning som kräver
förstärkning till vissa miniminivåer. Inte heller kan maktöverföring till ett uppgraderat
gemensamt organ motiveras med underfinansiering av medlemsländernas tillsynsorgan. Detta
är frågor för varje medlemsland att lösa. Det finns ingenting som hindrar att ett gemensamt
organ (artikel 29-gruppen) får ökade ekonomiska förutsättningar även om regelverket läggs
fast i ett direktiv och inte en förordning. Delegerad föreskriftsrätt tillsammans med en kraftigt
förstärkt europeisk tillsynsmyndighet oroar. Graden av överstatlighet blir betydande om vägen
med förordning väljs.
Redan det nu gällande direktivet medger principen om att tillsynen kan placeras där den
personuppgiftsansvarige är etablerad. Sverige och flera andra länder tillämpar denna princip.
Ändringsmotivet i denna del är således svagt. Ett ökat samarbete mellan medlemsländernas
tillsynsmyndigheter går utmärkt att arrangera redan under nu gällande direktiv. Också här är
motivet för ändring till förordning svagt.
Näringslivets tidigare framförda krav på ett mer harmoniserat regelverk kan säkert mötas av
ökade möjligheter till ”binding corporate rules”. Inte heller för detta ändamål erfordras en
förordning.
Särskilt om tryck- och yttrandefrihet
Vid presentationen av förordningsförslaget har kommissionen anfört att de föreslagna
bestämmelserna till skydd för integriteten inte ska äga företräda för grundläggande
yttrandefrihetsintressen. Samtidigt kan noteras att området för undantag för press- och
yttrandefrihet krymper betydligt enligt förslaget. Frågorna kommer enligt en förordning – om
en sådan accepteras – att underordnas överstatlighet vilket inte kan accepteras för svensk del.
Medlemsstaterna får förvisso rätt att föreskriva undantag för tillämpning av
förordningsföreskrifterna med hänvisning till yttrandefrihet men nu gällande regler i
respektive land kommer inte att gälla när en sådan förordning träder i kraft. I stället gäller att
varje medlemsland ska anmäla vilka lagregler som stiftats till skydd för yttrandefriheten och
uppmanas att i skriftligt yttrande med tidsbegränsning till kommissionen redovisa dessa
regler. Det framgår inte direkt hur avvägningar ska göras om det finns utrymme för
tolkningar.
SWEDMA bedömer att en bättre, och den enda acceptabla, ordning är att direkt i texten,
fastställa att reglerna inte gäller i konflikt med nationella regler till skydd för tryck- och
yttrandefrihet. Sådana nationella regler måste vara direkt bindande och direkt tillämpliga utan
anmälningsplikt till kommissionen med eventuell efterföljande bedömning.
Förstärkning av den enskildes rättigheter
Mot bakgrund av den tekniska utvecklingen som medfört att personuppgifter nu insamlas,
lagras, lämnas ut och används i elektronisk miljö, ofta online, är det viktigt att den enskildes
rättigheter uppdateras. Det finns samtidigt goda skäl att väga och anpassa sådana förstärkta
rättigheter till motstående intressen. Flera av de förslag till förändringar som presenteras är
5
obalanserade, byråkratiska, kostsamma och får väldiga effekter för näringslivet. En bättre
balans med hänsyn till motstående intressen måste införas.
Förslaget till förordning följer samma systematik som nu gällande direktiv. Vad som föreslås
är således stärkta rättigheter för den enskilde när det gäller tillämpning av befintliga regler.
Nedan kommenteras de enskildheter som noterats på den korta tid som stått till buds.
Intresseavvägning
Förordningsförslaget innehåller (numera - den första utgåvan 2011 avvek kraftigt men
justerades efter hård intern kritik från flera av Kommissionens generaldirektorat), liksom det
gällande direktivet en bestämmelse som medger personuppgiftsbehandling utan uttryckligt
samtycke, dvs efter intresseavvägning. Intresseavvägningsklausulen har i förslaget fått en
snävare utformning. Idag gäller att intresseavvägning kan åberopas inte endast för behandling
som utförs av den personuppgiftsansvarige utan också till förmån för den till vilken
uppgifterna lämnats ut. I förslaget återfinns inte lydelsen som medger utlämnande grundat på
samma intresseavvägning. Detta innebär en mycket allvarlig inskränkning för näringslivets
företag och kommer att medföra stora svårigheter att samarbeta för bolag inom koncerner
eller i andra intressegrupperingar mellan företag. I alla former av marknadsföringssituationer
förekommer berättigade behov att lämna ut uppgifter mellan ansvariga företag för att nå
önskad spridning och effekt. Också i andra samarbeten än marknadsföring kommer en
bristfällig lydelse av intresseavvägningsklausulen att leda till begränsningar och svårigheter.
Detta kan gälla eftermarknadsservice, kundservice, återkallelse av produkter som är farliga,
samarbeten om gemensamma prestationer m.m. Ett hinder kan leda till väldiga
transaktionskostnader för näringslivet utan att det motstående intresset av integritetsskydd kan
bedömas erfordra sådan förstärkning. Redan idag gäller att den enskilde har rättigheter som
berättigar henne att förhindra personuppgiftsbehandling som inte är önskvärd i samband med
vidareöverlämnanden. Ett alternativ i för individen stärkande riktning kan i stället vara nya
krav på tydligare information om just följderna av passivitet i vidarelämnandesituationer.
Nu gällande regler innehåller en klar och tydlig skrivning om att direkt marknadsföring är ett
sådant legitimt intresse som kan motivera personuppgiftsbehandling efter intresseavvägning.
Bestämmelsen finns inte med i förordningsförslaget. Det vore förödande om denna tydlighet
försvann och att denna utgångspunkt skulle komma att bli ifrågasatt. Bestämmelsen om direkt
marknadsföring ligger till grund för en betydande del (kanske den allra största) av all
behandling av personuppgifter som genomförs av näringslivet och den måste återinföras i
förslaget. I sakens natur ligger att bestämmelsen om direkt marknadsföring har en räckvidd
som är långt mer vidsträckt än vad som ligger i ordet ”marknadsföring”. I begreppet ryms alla tänkbara kontakter i näringslivets interaktion med allmänheten vilka förekommer allmänt i
samhället i skeden som ligger före avtal och kontrakt mellan parterna.
Ytterligare en begränsning av intresseavvägningsklausulens räckvidd föreslås i det att den
ansvarige inte skulle vara berättigad att använda denna motivering för behandling av uppgift
för nytt ändamål som tillkommit för den ansvarige. I sådant fall krävs tyngre skäl än
intresseavvägning. Inte heller detta förslag kan accepteras. Redan idag finns bestämmelser
som tillgodoser den enskildes intresse i denna situation (att den ansvarige byter ändamål).
Den ansvarige är då skyldig att överväga den nya behandlingen och kunna klargöra att den är
berättigad, givetvis kan motivering genom intresseavvägning ske, men det krävs naturligtvis
att den enskilde uppmärksammas om förändringen för det fall denne inte erhållit information
tidigare. Det informationskrav som åligger den ansvarige är ovedersägligt redan enligt
gällande rätt. En förstärkning av den enskildes rättigheter på området genomförs bäst genom
6
utökade krav på den personuppgiftsansvarige att tydliggöra att ändamålsbyte kan komma att
ske senare och att varje framtida ändamålsbyte ska föranleda kompletterande information till
den berörde.
Samtycke
Nya villkor för samtycke föreslås. I flera fall är dessa villkor gällande redan nu och
förtydliganden kan accepteras. Helt nytt är att samtycke som lämnas i annan kontext, (t ex i
allmänna villkor) kräver tydliggöranden, vilket möjligen kan accepteras. Det är formerna för
samtycket och administrationen av bevisningen som riskerar att bli övermäktiga för de
ansvariga. De precisa krav på hur samtycket ska utformas och de dokumentationskrav som
ställs riskerar att leda till oöverstigliga svårigheter och kostnader för
personuppgiftsbehandling som trots allt är tämligen självklar, dvs när samtycke lämnas i
kontraktssituationer, efter särskild förfrågan etc.
Mindre lämpligt är förslaget att samtycke i vissa situationer inte ska godtas som rättslig grund
för personuppgiftsbehandling. Det sägs att tydlig obalans i partsställningen ska vara
avgörande. Givetvis kan det finnas situationer där samtycke inte kan vara acceptabelt, men
bestämmelsen är riskfylld då den lämnar utrymme för betydande godtycke. En bättre väg att
gå måste vara att antingen precisera exakt de fall som avses, t ex i partsställningen
arbetsgivare – arbetstagare, eller att låta myndigheter och domstolar i respektive medlemsland
avgöra huruvida ett samtycke i ett enskilt fall är att bedöma som ett korrekt samtycke.
Personuppgifter hänförliga till barn
Gränsdragningen mellan barn och vuxna går vid 18 års ålder, vilket är bekymmersamt
emedan en rad näringslivstransaktioner med barn genomförs enligt gällande regler där barnet
har en lägre ålder och samtidigt bedöms moget att bestämma om och ta ställning till
behandlingen av personuppgifter. Det är för närvarande oklart om gränsen 18 år kommer att
få betydelse, men en bestämmelse som väcker oro är naturligtvis bestämmelsen om
intresseavvägning, där det i förslaget stadgas att särskild hänsyn ska tas till barn. Det betyder
rimligen tillämpning av 18-årsgräns. En annan gräns, 13 år, föreslås nämligen då samtycke
ska krävas av förälder eller vårdnadshavare. En bättre lösning är att endast tillämpa en
åldersgräns, t ex 13 år. Bestämmelsen innehåller också en svårförutsägbar föreskriftsrätt för
kommissionen. Det är oacceptabelt att kommissionen på överstatlig nivå i efterhand ska
kunna precisera ytterligare krav och förutsättningar för tillämpning av tillåtlighetsgrunderna i
den föreslagna artikeln 7.
Utökade förpliktelser att dokumentera och överföra information angående
personuppgiftsbehandling, m.m.
Den personuppgiftsansvarige påförs i förslaget dokumentations- och
kommunikationsförpliktelser som är mycket långtgående. Redan vid insamling av
personuppgifter måste tiden för lagring och användning av uppgifterna preciseras, vilket
många gånger är omöjligt då de fortsatta partsrelationerna är okända. Varje mått och steg som
vidtas med personuppgifter under den fortsatta behandlingen ska dokumenteras och denna
information ska kunna hållas tillgänglig för den registrerade. Varje eventuellt misstag eller
överträdelse ska kommuniceras med såväl den registrerade som med tillsynsmyndigheten,
samt med den till vilken personuppgifter lämnats ut. Kostnaderna för denna hantering kan inte
uppskattas men det får antas att de blir mycket höga, kanske oöverstigliga.
Ytterligare förslag framställs gällande den personuppgiftsansvariges skyldigheter i samband
med användning av ett personuppgiftsbiträde. Förhandsanmälningar krävs av allt fler typer av
7
personuppgiftsbehandlingar och krav föreslås på en ”data protection officer” i större organisationer. Oproportionerlig och ökad administration och ökade kostnader kan förutses
som inte är rimliga med hänsyn till de intressen som ska vägas mot varandra.
Profilering av personuppgifter
En grundläggande rättighet föreslås till skydd för de registrerade med innebörd att en
registrerad aldrig ska behöva underkasta sig automatiserade processer med åtföljande
bedömningar. En sådan bestämmelse är synnerligen långtgående och inte rimlig i ett modernt
samhälle där en rad kontakter mellan den personuppgiftsansvarige och de registrerade sker
efter olika digitala scoringmetoder. Förslaget måste utgå eller omformuleras för att möjliggöra
normal näringsverksamhet, särskilt sådan som sker i digital miljö. Det är t ex mycket vanligt
att näringsidkare inför marknadsföringskampanjer väljer ut målgrupper med stöd av
automatiserade processer. Samma förhållanden gäller i samband med kreditvärderingar av
kunder eller presumtiva kunder i samband med olika kontakter och köpsituationer.
Kommissionen erhåller enligt förslaget delegerade rättigheter att precisera innebörden av
denna bestämmelse, vilket är oacceptabelt. Varje precisering i detta, liksom i andra,
hänseende måste ske enligt inhemsk rätt.
Rätten att bli bortglömd
Den rätt att ”bli bortglömd” och begära sina uppgifter raderade under alla förhållanden är mycket ingripande och omotiverad i många fall. Det är tydligt att förslaget utgått ifrån
debatten om de personuppgifter som insamlas online och lagras under långa tider för diffust
motiverade ändamål. Detta slags personuppgiftsbehandlingar kan säkert fordra skärpningar av
bestämmelserna i den riktning som förslaget anvisar. Det är däremot helt orealistiskt att tänka
sig att motsvarande rättigheter skulle bli tillämpliga i alla de situationer då personuppgifter
behandlas off-line. Informationssamlingar i databaser för legitima och berättigade ändamål
representerar enorma investeringar som helt skulle sättas i fara och hämma tillväxt och
investeringsvilja.
Data portability
En rättighet föreslås för den registrerade att kunna få del av en komplett kopia av alla
personuppgifter på ett strukturerat sätt i elektroniskt format. Denna rättighet är mer
långtgående än dagens rätt till registerutdrag. I fall då tillåtlighetsgrunden är avtal eller
samtycke ska den registrerade ha rätt att begära vidaresändning av den elektroniska kopian till
en annan leverantör.
En bestämmelse av detta slag utgör ett oacceptabelt ingrepp i all näringsverksamhet där stora
investeringar genom en enkel begäran med ett efterföljande knapptryck skulle kunna
överföras till konkurrenter.
Straff och administrativa sanktioner
Varje medlemsland uppdras i förslaget att införa kännbara straff för överträdelser.
Straffbestämmelser ska anmälas till kommissionen. Det är svåröverblickbart vilka följder det
kan få om kommissionen är missnöjd med någon medlemsstats lagstiftning på området.
Bestämmelserna är inte acceptabla från konstitutionell ståndpunkt.
Mycket kraftiga administrativa straffavgifter föreslås för överträdelser där oaktsamhet räcker
för ansvar. Väldiga straffavgifter föreslås för försummelser av mindre allvarligt slag, såsom t
ex att inte svara den registrerade i rätt tid.
8
Bestämmelserna står i strid med grunderna för svensk ersättningsrätt och är oacceptabla.
Som ovan
Eva-Lotta Laurin, verkställande direktör SWEDMA
