Artikel

I vintras presenterade EU-kommissionen ett förslag till ny allmän lag om personuppgiftsskydd. EU:s nuvarande dataskyddsregler och vår svenska personuppgiftslag, PUL, är från 1995.

– Nuvarande lag är inte helt anpassad efter dagens förutsättningar, berättar Carl-Johan Broman, jurist på Soliditet. Inom EU skiljer sig dessutom reglerna om dataskydd från land till land. Kommissionen föreslår därför att den nya lagen ska gälla i alla EU-länder.

– Den nya lagen kommer uppskattningsvis att börja gälla 2015 som tidigast. EU:s ministerråd och EU-parlamentet måste först komma överens om detaljerna i förslaget. Vi har bett Carl-Johan förklara några av de viktigaste punkterna i det nya lagförslaget.

Samtycke måste lämnas uttryckligen

– När samtycke till databehandlingen krävs ska det lämnas uttryckligen och inte underförstått.  Det måste dessutom särskiljas från övriga frågor i avtalet. Det ska heller inte gå att gömma undan information om personuppgiftsbehandling i finstilta villkor.

För barn under 13 år kommer det krävas tillstånd från vårdnadshavare. Och om det råder en betydande obalans mellan den registrerade och den registeransvariges ställning, till exempel mellan arbetsgivare och anställd, så är samtycket ogiltigt.

Öppenhet blir viktigt

– Du ska enkelt kunna få reda på hur dina uppgifter används, hur länge de sparas och hur du kan begära rättelse eller invända mot behandlingen.Informationen måste lämnas på ett begripligt språk, speciellt när det handlar om barn.

Det ska också framgå om till exempel andra företag kan ta del av uppgifterna. Du ska även informeras om att dina uppgifter kan användas för direktreklam, och du ska även få veta hur du går till väga för att slippa det.

När du vill återkalla ett samtycke

Med den nya lagen ska du kunna kräva att dina uppgifter raderas. Om du till exempel vill avsluta ditt konto på Facebook ska de nya reglerna tvinga företaget att radera alla uppgifter om dig, och även ansvara för att dina uppgifter raderas hos andra företag om uppgifter överförts dit.

Lättare att få uppgifterna överförda

Du ska kunna kräva att dina uppgifter förs över i ett användbart format till ett annat system. Detta underlättar om du till exempel vill byta internetleverantör.

Hårdare krav på profilering

– Att bedöma dina personliga egenskaper eller analysera dina preferenser, beteenden och attityder – så kallade profilering – kommer endast vara tillåtet om behandlingen stödjer sig på avtal, samtycke eller då särskild lagstiftning  uttryckligen tillåter sådan behandling, till exempel kreditvärdering

Tydligare ansvar

De som är ansvariga för behandlingen av dina personuppgifter får ett tydligare ansvar. De måste kunna visa att behandlingen utförs i enlighet med lagen. Den ansvarige ska också dokumentera behandlingen och genomföra säkerhetsåtgärder samt genomföra kontroller att reglerna följs.


Den registeransvarige blir också skyldig att utse ett personuppgiftsombud om verksamheten är av viss storlek eller kräver regelbunden och systematisk övervakning av de registrerade. Myndigheter blir alltid skyldiga att utse ett ombud. Personuppgiftsombudet ska bland annat  informera om reglerna, ge råd, dokumentera och övervaka att lagen följs.

Krav på it-systemen skärps

It-system som används för att behandla uppgifter ska utformas så att reglerna följs. Mängden uppgifter och tiden för hur länge de sparas begränsas till vad som är nödvändigt. Systemen bör också förhindra att uppgifter samlas in utan samtycke eller används för andra ändamål än det du gett ditt samtycke till.

– Dina personuppgifter ska skyddas mot förstöring, otillåten insyn eller spridning. Om ett säkerhetsbrott ändå inträffar blir den registeransvarige skyldig att anmäla händelsen till tillsynsmyndigheten inom 24 timmar.

Stränga böter

Den som bryter mot dataskyddsreglerna ska kunna  få böter på upp till två procent av företagets årsomsättning beroende på hur allvarlig överträdelsen är. 

Brister i lagförslaget

– En brist i förslaget är att det inte innehåller några möjligheter till undantag eller särregleringar. Inte heller ser vi några undantag som förenklar en mer vardaglig hantering av uppgifter. I Sverige har vi till exempel ett undantag som innebär att personuppgiftslagen inte gäller när behandlingen av personuppgifter sker ostrukturerat, till exempel när du skriver e-post eller ett inlägg på Facebook eller Twitter. 

Säkra affärer kommer att följa upp den pågående förhandlingen i EU och återkommer med mer information i ett kommande nummer.