Behandlingen av dataskyddslagen framskrider

EU:s dataskyddsförordning (2016/679/EU) trädde i kraft i maj. Den kompletterande nationella lagstiftningen, dataskyddslagen (RP 9/2018), har äntligen behandlats av riksdagens förvaltningsutskott, som gav sitt betänkande 25.10.2018. Propositionen till dataskyddslag lämnades till riksdagen i mars.

I sitt betänkande tar förvaltningsutskottet i beaktande de anmärkningar som bland annat grundlagsutskottet gjort, och kräver en rad ändringar till den föreslagna lagstiftningen för att lagen skall kunna godkännas. Om ändringarna görs i relativt snabb takt kan den nationella dataskyddslagen förväntas träda i kraft under föråret 2019.

Nya regler om påföljdsmyndighet

Den största stötestenen för alla utskott har varit frågan om vem som skall få makten att besluta om de sk. administrativa sanktionerna som ingår i dataskyddsförordningen och som kan påföras vid brott mot de mest grundläggande bestämmelserna i förordningen. Myndigheter, såväl som församlingar och statliga verk, är undantagna bestämmelsen om administrativa sanktioner.

Den arbetsgrupp som utredde behovet av dataskyddslagstiftning (sk. TATTI-arbetsgruppen) föreslog hösten 2017 att en nämnd skulle fungera som beslutsfattare. Den regeringsproposition som lämnades in till riksdagen på våren innehöll dock ett stadgande om att dataskyddsombudsmannen ensam skulle ha makt att bestämma om påföljderna. Förvaltningsutskottet konstaterar att detta inte är förenligt med krav på rättssäkerhet och god förvaltning, och föreslår att besluten om administrativa sanktioner fattas av ett kollegium bestående av dataskyddsombudsmannen tillsammans med två biträdande dataskyddsombudsmän.

Arkivering i fokus

En ur kommunens synvinkel intressant detaljändring i föreslaget är den ändring som förvaltningsutskottet föreslår till paragraf 32 §, där man nu explicit skriver ut att behandling av personuppgifter för arkiveringsändamål kan göras både med grund i förordningens artikel 6 (1) c och artikel 6 (1) e, som preciseras i dataskyddslagens 4 § 1 mom. 4 punkten. Arkivering kan alltså vara både en lagstadgad uppgift (6 c) och en uppgift som sköts under rubriken allmänt intresse (6 e).

Förvaltningsutskottet betonar i sitt utlåtande vikten av att lagstiftningen speciellt i dataskyddsfrågor är förståelig och klar, eftersom lagstiftningen rör skyddet av en grundrättighet.

Dataskyddslagen kompletterar förordningen

Förslaget till nationell dataskyddslag innehåller bestämmelser om tillsynsmyndigheten för dataskyddsfrågor i Finland; närmare bestämmelser om behandlingen av särskilda personuppgifter; bestämmelser om speciell behandling av personuppgifter, såsom vetenskaplig behandling, arkivering, journalistisk behandling osv. Dessutom innehåller förslaget bland annat bestämmelser om administrativa sanktioner, whistleblower-skydd och begränsningar till rätten att få sina egna uppgifter.

Eftersom dataskyddslagen inte trädde i kraft på samma gång som dataskyddsförordningen i maj 2018 befinner vi oss nu i en övergångsfas där lagstiftningen är ovanligt oklar. Under övergångstiden, tills dataskyddslagen träder i kraft, tillämpas dataskyddsförordningen direkt, men vi har ingen nationell lagstiftning som preciserar förordningens allmänna bestämmelser.

Personuppgiftslagen (523/1999) är ännu i kraft, men står delvis i strid med förordningens bestämmelser. Det samma gäller de otaliga speciallagar som innehåller bestämmelser om behandlingen av personuppgifter på en speciell sektor. Kommunförbundet gav i maj ut en anvisning om hur lagstiftningen skall tolkas under övergångstiden.