Rättelse och begränsning av behandling

Förslag: Fysiska personer ska ges rätt att på begäran få veta vilka mottagare av en kreditupplysning som underrättats om en rättelse eller komplettering av uppgifter. I kreditupplysnings-lagen ska anges att bestämmelser om fysiska personers rätt att begära begränsning av behandling finns i kreditupplysnings-verksamhet.

Bedömning: Dataskyddsförordningens bestämmelser om rättelse och begränsning av behandling kräver i övrigt inte några lag- eller förordningsändringar på familjerättens och den all-männa förmögenhetsrättens områden.

Skälen för förslaget och bedömningen: Enligt artiklarna 16–19 i dataskyddsförordningen har den registrerade bl.a. rätt till rättelse, radering och begränsning av behandling. I artikel 12 i förordningen finns också bestämmelser om hur och när information ska lämnas samt om möjligheten att begära ytterligare information för att be-kräfta den registrerades identitet.

Rätten till rättelse innefattar en rätt till komplettering som är ny

i förhållande till dataskyddsdirektivet. Rätten till radering och

rätten att bli bortglömd motsvarar begreppet utplåning som

an-vänds i dataskyddsdirektivet. Rätten till radering är dock mer

detaljerat reglerad än rätten enligt dataskyddsdirektivet till

utplåning. Den registrerade ges vidare rätt att i vissa fall kräva att

behandlingen av personuppgifter begränsas. Denna

begränsnings-möjlighet har ersatt den åtgärd som i dataskyddsdirektivet

be-nämns blockering. Rätten att begära att behandlingen begränsas

innebär i förhållande till dataskyddsdirektivet en ny skyldighet att

på begäran bevara personuppgifter och att begränsa behandlingen

uppgiftsansvariga ska informera mottagare av uppgifter om senare rättelser, raderingar eller begränsningar, om det inte är omöjligt eller medför en oproportionell ansträngning. En nyhet är dock att den som är personuppgiftsansvarig på begäran även ska informera den registrerade om dessa mottagare.

Den registrerades rättigheter är under vissa omständigheter gränsade. Rätten till radering gäller t.ex. inte i den utsträckning be-handlingen av personuppgifter är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller en medlemsstats nationella rätt, eller för att utföra en uppgift av all-mänt intresse eller som ett led i myndighetsutövning. Rättigheterna kan i övrigt begränsas med stöd av artikel 23 i förordningen.

Rätten till rättelse, komplettering, radering och begränsning – former som ofta ges samlingsbeteckningen rättelse – är enligt data-skyddsförordningen parallella och självständiga, medan de enligt dataskyddsdirektivet är alternativa. Det har alltså enligt direktivet stått medlemsstaterna fritt att endast erbjuda vissa former av rättelse. Svensk sektorsspecifik dataskyddsreglering innehåller sällan några särskilt utformade bestämmelser om rättelse, utan hänvisar i stället till personuppgiftslagens bestämmelser om rättelse som finns i 28 § i den lagen. När hänvisning sker till person-uppgiftslagens bestämmelser om rättelse innefattas även åtgärderna blockering och utplåning. Eftersom personuppgiftslagens bestäm-melser om rättelse endast gäller personuppgifter som inte har behandlats i enlighet med den lagen eller föreskrifter som har utfär-dats med stöd av denna, finns en hänvisning för att bestämmelserna ska vara tillämpliga även i fråga om personuppgifter som behandlas i strid med en sektorsspecifik dataskyddsreglering.

På familjerättens och den allmänna förmögenhetsrättens områ-den finns hänvisningar till personuppgiftslagens bestämmelser om rättelse i fastighetsmäklarförordningen och förordningen om re-gister över vigselförrättare inom trossamfund. Bestämmelserna bör tas bort när personuppgiftslagen upphävs. Någon motsvarande hänvisning till dataskyddsförordningen behövs inte för att förord-ningen ska vara tillämplig (skäl 65 till förordförord-ningen).

På familjerättens och den allmänna förmögenhetsrättens

om-råden finns även särskilda bestämmelser om rättelse i 12 §

kredit-upplysningslagen. Bestämmelserna gäller i stället för 28 §

person-uppgiftslagen i kreditupplysningsverksamhet. De ger till skillnad

från personuppgiftslagen inte den registrerade någon rätt till blockering eller begränsning. Frågan är om kreditupplysningslagens rättelsebestämmelser är förenliga med dataskyddsförordningen.

Behovet av särskilda rättelsebestämmelser för kreditupplys-ningsverksamheten är stort. Många av de uppgifter som behandlas i kreditupplysningsverksamhet utgör personuppgifter och behand-lingen av uppgifterna är vanligtvis sådan att dataskyddsförord-ningen kommer att vara tillämplig. Rättelsebestämmelserna är dock även tillämpliga i andra fall, t.ex. när behandling sker av oriktiga eller missvisande uppgifter om juridiska personer och uppgifterna inte utgör personuppgifter. Med särskilt anpassade och enhetliga rättelsebestämmelser för både juridiska och fysiska personer kan effektiviteten i verksamheten upprätthållas samtidigt som det säkerställs att den information som tillhandahålls är tillförlitlig och korrekt och att uppgifterna är relevanta för kreditbedömningen.

Det är därför önskvärt att den nuvarande rättelseregleringen kan behållas.

Bestämmelserna om rättelse, komplettering och uteslutning i kreditupplysningsverksamhet innebär inskränkningar för den en-skilde i förhållande till dataskyddsförordningens föreskrifter genom att rätten enligt kreditupplysningslagen förutsätter att en uppgift behandlas eller har lämnats i en kreditupplysning under den senaste tolvmånadersperioden och att uppgiften inte uppenbarligen saknar betydelse för bedömningen av den registrerades vederhäftig-het i ekonomiskt hänseende. Det finns även inskränkningar som tar sikte på att en uppgift offentliggjorts på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.

En väl fungerande kreditupplysningsverksamhet är, som redo-visas i avsnitt 5.2, av allmänt intresse. Inskränkningarna är vidare nödvändiga och proportionella för att balansera de olika intressen som gör sig gällande i kreditupplysningsverksamhet. Verksamheten är väl reglerad även i övrigt och regleringen bedöms uppfylla de krav som i dataskyddsförordningen ställs på en begränsande lagstiftningsåtgärd (artikel 23.1 e och 23.2). I de delar som rättelse-bestämmelserna i sak återger dataskyddsförordningens föreskrifter bidrar de till förståelsen av denna (skäl 8 till förordningen).

Rättelsereglerna i kreditupplysningslagen bedöms därför vara

eller komplettering bör dock införas. En sådan rätt ger ett stärkt skydd för den enskilde samtidigt som informationsplikten inte är alltför betungande för den som bedriver kreditupplysnings-verksamheten.

Någon rätt till en begränsning av behandlingen finns i dag inte i kreditupplysningsverksamhet. Artikel 18 i dataskyddsförord-ningen, som reglerar rätten till begränsning, är – liksom övriga artiklar som behandlar den registrerades rättigheter – direkt tillämplig. Det saknas anledning att genom nationell normgivning inskränka denna rätt. För att det tydligt ska framgå av kreditupp-lysningslagen att fysiska personer även har rätt att kräva att behandlingen begränsas, bör en upplysningsbestämmelse om detta införas.

Begreppet rättelse förekommer även i andra lagar på familje-rättens och den allmänna förmögenhetsfamilje-rättens områden. Bestäm-melser som ger en möjlighet att under vissa omständigheter rätta skrivfel eller liknande som medfört att ett beslut eller intyg fått ett oriktigt innehåll finns i 2 kap. 20 § utsökningsbalken respektive 5 § lagen (2008:450) med kompletterande bestämmelser till Bryssel II-förordningen. Paragraferna reglerar dock andra frågor än enskildas personliga integritet och utesluter inte en samtidig tillämpning av dataskyddsförordningens föreskrifter om rättelse m.m. i samma verksamhet. Dataskyddsförordningen bedöms därför inte i övrigt kräva några lag- eller förordningsändringar på familjerättens och den allmänna förmögenhetsrättens områden.

5.9 Invändning mot behandling av personuppgifter