6.1
Lagen om inkomstdatasystemet
4 §. Personuppgiftsansvarig samt ansvar i samband med inkomstdatasystemet.
Det föreslås att den svenska språkdräkten i rubriken för 2 kap. ändras tekniskt så att termen
registeransvarig
ersätts med termen
personuppgiftsansvarig
. En motsvarande teknisk ändring föreslås i den svenska språkdräkten i paragrafens rubrik.
I 1 mom. föreslås en bestämmelse om ansvarsfördelningen mellan Inkomstregisterenheten och Skatteförvaltningen, om vilket det för närvarande föreskrivs i 2 mom. Ansvarsfördelningen förblir oförändrad på så sätt att båda ansvarar för underhållet av inkomstdatasystemet, den tekniska funktionen och informationssäkerheten. Ansvarsfördelningen preciseras så att i fråga om dessa funktioner är Inkomstregisterenheten och Skatteförvaltningen gemensamt personuppgiftsansvariga. Enligt den första meningen i momentet i den gällande lagen är det endast Inkomstregisterenheten som är personuppgiftsansvarig.
Utifrån dataskyddsförordningen kan Skatteförvaltningen i fråga om underhållet av inkomstdatasystemet endast ha rollen som gemensamt personuppgiftsansvarig eller personuppgiftsbiträde. Med beaktande av att det i den gällande lagen har fastställts att Skatteförvaltningen ska förvalta inkomstdatasystemet samt ansvara för dess funktion och informationssäkerhet tillsammans med Inkomstregisterenheten, bör Skatteförvaltningen redan nu betraktas som gemensamt personuppgiftsansvarig, även om det inte uttryckligen omnämns i den gällande lagen. Ett personuppgiftsbiträde kan inte ha sådant gemensamt ansvar för inkomstdatasystemets förvaltning, funktion och informationssäkerhet som Skatteförvaltningen redan nu har. Skatteförvaltningens ansvar och roll i fråga om inkomstdatasystemet motsvarar således även i fortsättningen den gällande lagen, och syftet med ändringen är inte att föreskriva om nya uppgifter eller ansvar för Skatteförvaltningen som gäller inkomstdatasystemets tekniska funktion.
Genom ändringen preciseras Skatteförvaltningens roll som sådan gemensamt personuppgiftsansvarig som avses i artikel 26 i dataskyddsförordningen, eftersom den gällande ordalydelsen i lagen kan ha skapat oklarheter vid tolkningen av bestämmelsen. Då kan också den registrerade utöva sina rättigheter enligt artikel 26.3 i dataskyddsförordningen med avseende på och emot någon av de personuppgiftsansvariga eller båda personuppgiftsansvariga. Avsikten är dock att Inkomstregisterenheten även i fortsättningen alltid ska vara kontaktpunkt för de registrerade på motsvarande sätt som i fråga om det positiva kreditupplysningsregistret.
Det föreslås att det i 2 mom. tas in en bestämmelse som motsvarar 2 § i lagen om ett positivt kreditupplysningsregister och som gäller de uppgifter i anslutning till registerföringen som Inkomstregisterenheten ensam ansvarar för. Inkomstregisterenheten svarar i egenskap av personuppgiftsansvarig för mottagandet, bevarandet och utlämnandet av personuppgifter och av inkomstuppgifter och andra uppgifter som har samband med dem samt för den personansvariges övriga skyldigheter enligt dataskyddsförordningen och för tillgodoseendet av den registrerades rättigheter. Bestämmelserna i dataskyddsförordningen tillämpas som sådana på de uppgifter och skyldigheter som hänför sig till registerföringen. Registerföring enligt dataskyddsförordningen omfattar all slags behandling av personuppgifter, även mottagande och registrering av personuppgifter. I det föreslagna momentet preciseras dock Inkomstregisterenhetens uppgift att ta emot personuppgifter och inkomstuppgifter och andra uppgifter som har samband med dem, såsom kompletterande uppgifter enligt 7 §, samt enhetens uppgift att lämna ut dessa uppgifter. Preciseringen behövs för att det ska kunna beaktas att det av lagen uttryckligen ska framgå vilken personuppgiftsansvarig som svarar för utlämnandet av personuppgifter och av sekretessbelagda uppgifter (t.ex. GrUU 7/2019 rd, s. 6). Den personuppgiftsansvariges uppgift när det gäller utlämnande av uppgifter omfattar också beslutsfattande som gäller tillgången till uppgifter och den personuppgiftsansvariges bedömning i anslutning till det.
Det är möjligt att föreskriva om personuppgiftsansvariga med stöd av dataskyddsförordningen. En definition av personuppgiftsansvarig finns i förordningens artikel 4.7, enligt vilken den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses kan föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt, om ändamålen och medlen för behandlingen av personuppgifter bestäms av unionsrätten eller medlemsstaternas nationella rätt. Den personuppgiftsansvariges uppgift bestäms dock alltid till alla delar utifrån bestämmelserna i dataskyddsförordningen. Bestämmelser om den personuppgiftsansvariges skyldigheter och ansvar finns i kapitel IV i dataskyddsförordningen, där det bland annat föreskrivs om de skyldigheter som gäller datasäkerhet och konsekvensbedömning avseende dataskydd. För personuppgiftsansvariga föreskrivs också uppgifter i flera artiklar i dataskyddsförordningen, som gäller till exempel den registrerades rättigheter. Inkomstregisterenheten behandlar i egenskap av personuppgiftsansvarig personuppgifter och inkomstuppgifter och andra uppgifter i samband dem, där det är fråga om uppgifter som överförts från andra personuppgiftsansvariga.
Att Inkomstregisterenheten och delvis också Skatteförvaltningen till alla delar svarar för att behandlingen av personuppgifter i inkomstdatasystemet är laglig frigör inte prestationsbetalarna som personuppgiftsansvariga för sina egna register från ansvaret för att de uppgifter som lämnas ut till inkomstregistret är korrekta. Till detta ansvar hör i enlighet med artikel 19 i dataskyddsförordningen också till exempel ansvar för att vid behov utan dröjsmål rätta eventuella fel i uppgifter som lämnats ut. Inkomstregisterenheten ska i enlighet med artikel 5.1 d i dataskyddsförordningen se till att uppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål också i inkomstregistret. Utvidgningen av Inkomstregisterenhetens ansvar för registerföringen påverkar inte heller prestationsbetalarnas ansvar för att på behörigt sätt fullgöra den anmälningsskyldighet som avses i 6 § i lagen om inkomstdatasystemet i enlighet med vad som föreskrivs någon annanstans i lag, till exempel i lagen om beskattningsförfarande, arbetspensionslagstiftningen och lagen om olycksfall i arbetet och om yrkessjukdomar. Fullgörande av anmälningsskyldigheten innebär att de uppgifter som lämnas ska vara korrekta till sitt innehåll och eventuella fel i dem korrigeras utan obefogat dröjsmål efter det att felet har upptäckts.
Det föreslås att bestämmelserna i den andra och tredje meningen i det gällande 1 mom. om att Inkomstregisterenheten närmare ska fastställa vilka uppgifter som ska föras in i inkomstregistret och fatta beslut om vilka uppgifter ur inkomstregistret som ska lämnas ut till uppgiftsanvändarna för de ändamål som avses i lagen flyttas till 3 mom., där den nuvarande bestämmelsen om prestationsbetalarnas ansvar för uppgifternas riktighet och skyldighet att rätta uppgifterna utan obefogat dröjsmål stryks. Enligt förslaget ska det föreskrivas i 2 mom. om Inkomstregisterenhetens ansvar för utlämnande av uppgifter, som det nu föreskrivs om i den sista meningen i det gällande 1 mom.
Bestämmelserna i 3 mom. motsvarar bestämmelserna i det gällande 1 mom. Enligt momentets första mening ska Inkomstregisterenheten genom beslut närmare fastställa vilka uppgifter som med stöd av denna lag ska föras in i inkomstregistret.
Bestämmelsen behövs fortfarande, eftersom det i fråga om inkomstregistrets användningsändamål inte i den övriga lagstiftning som medför anmälnings- och uppgiftsskyldighet enligt 6 och 7 § i lagen om inkomstdatasystemet anges på vilken detaljerad precisionsnivå och på vilket sätt införda de uppgifter som avses i 6–8 § i den lagen ska lämnas av prestationsbetalarna, och sådana detaljerade precisionsnivåer eller lagringssätt inte heller har fastställts i de ovannämnda 6–8 §. För att prestationsbetalarna ska kunna fullgöra sin anmälnings- och uppgiftsskyldighet och för att uppgiftsanvändarnas rätt att få uppgifter ur inkomstregistret ska kunna tillgodoses på behörigt sätt är det dock nödvändigt att den detaljerade precisionsnivån och lagringssättet för de uppgifter som lämnas till inkomstregistret sammanställs i ett dokument och årligen fastställs på ett klart och entydigt sätt med tanke på dessa aktörer. Detta har i praktiken skett genom Inkomstregisterenhetens beslut enligt momentet.
I 6–8 § i lagen om inkomstdatasystemet specificeras den lagstiftning som medför anmälnings- och uppgiftsskyldighet samt de uppgifter som ska föras in i inkomstregistret och som omfattas av anmälnings- och uppgiftsskyldigheten enligt lagstiftningen i fråga. Genom hänvisningsbestämmelserna i 6–8 § bestäms de uppgifter som omfattas av anmälnings- och uppgiftsskyldigheten uttömmande utifrån skattelagstiftningen, arbetspensionslagstiftningen, lagstiftningen om försäkring för olycksfall i arbetet och yrkessjukdomar samt lagstiftningen om arbetslöshetsförsäkring, i enlighet med vilka de användare av uppgifter i inkomstregistret som tillämpar lagstiftningen i fråga årligen fastställer det detaljerade datainnehåll som omfattas av anmälningsskyldigheten så att Inkomstregisterenheten genom ett beslut som den årligen fattar i fråga om inkomstregistrets användningsändamål kan fastställa den detaljerade precisionsnivån och lagringssättet för innehållet i de uppgifter som förs in i registret. Om Inkomstregisterenheten inte kan fatta ett sådant beslut som tekniskt samlar datainnehållet i inkomstregistret, uppstår betydande oklarhet om det detaljerade datainnehåll som ska anmälas till inkomstregistret såväl för prestationsbetalarna och uppgiftsanvändarna som för Inkomstregisterenheten själv.
Enligt förslaget ska Inkomstregisterenheten även i fortsättningen samla det detaljerade innehållet i de på lagnivå fastställda uppgifter som ska föras in i inkomstregistret till en helhet och i enlighet med momentet årligen fatta beslut om de uppgifter som ska föras in i inkomstregistret. Inkomstregisterenheten kan inte begränsa den lagstadgade anmälningsskyldigheten eller tolka dess innehåll på något annat sätt än den uppgiftsanvändare som tillämpar substanslagstiftningen i fråga.
Grundlagsutskottet har i sitt utlåtande GrUU 14/2018 rd också påpekat att bestämmelserna om behandling av personuppgifter är tungrodda och komplicerade. I detta sammanhang har utskottet bland annat hänvisat till sitt utlåtande GrUU 49/2017 rd i samband med riksdagsbehandlingen av regeringens proposition RP 134/2017 rd, som gällde om lagen om inkomstdatasystemet. I utlåtandet konstaterar utskottet att i inkomstregistret registreras personuppgifter och förslaget är därför av betydelse för skyddet för privatlivet och skyddet för personuppgifter. I utlåtandet konstateras även att grundlagsutskottet i sin bedömning av bestämmelser av det här slaget har brukat anse att bestämmelserna måste granskas mot 10 § i grundlagen. Enligt 10 § 1 mom. i den lagen utfärdas närmare bestämmelser om skydd för personuppgifter genom lag. Utskottet har i sin vedertagna praxis betonat att reglering på lagnivå om behandling av personuppgifter ska vara heltäckande och detaljerad. I utskottets utlåtande konstateras det att det enligt motiven till lagstiftningsordningen i regeringens proposition RP 134/2017 rd ska det inte i inkomstregistret föras in sådana uppgifter som hör till de särskilda kategorierna av personuppgifter enligt artikel 9 i dataskyddsförordningen och som huvudsakligen motsvarar de känsliga uppgifter som avses i grundlagsutskottets praxis. Enligt utskottets mening är de föreslagna bestämmelserna synnerligen exakta till dessa delar, och utskottet har ingenting att anmärka när det gäller kravet på exakta och detaljerade bestämmelser.
Inkomstregisterenhetens årliga beslut om de uppgifter som ska föras in i inkomstregistret ska således anses uppfylla kravet i 10 § 1 mom. i grundlagen på att närmare bestämmelser om skydd för personuppgifter utfärdas genom lag på det sätt som förutsätts i grundlagsutskottets utlåtande GrUU 14/2018 rd.
Bestämmelsen i den andra meningen i 3 mom., enligt vilken Inkomstregisterenheten beslutar vilka uppgifter ur inkomstregistret som ska lämnas ut till uppgiftsanvändarna för de ändamål som avses i denna lag, är till sin karaktär informativ och kompletterar bestämmelserna om lämnande av uppgifter i 5 kap. Bestämmelsen behövs dock fortfarande, eftersom antalet uppgiftsanvändare i inkomstregistret är mycket stort och det upprepade gånger har rått oklarhet om saken bland vissa uppgiftsanvändare.
Enligt 25 a § 1 mom. i lagen om beskattningsförfarandet beträffande skatter som betalas på eget initiativ ska fel i uppgifterna i inkomstregistret rättas med iakttagande av lagen om inkomstdatasystemet. Det föreslås inga ändringar av bestämmelsen i fråga. För att säkerställa verkställandet av beskattningen och skattekontrollen bör bestämmelsen även efter de ändringar som föreslås i 4 § 3 mom. i lagen om inkomstdatasystemet anses hänvisa allmänt till prestationsbetalarnas anmälningsskyldighet enligt 3 och 4 kap. i lagen om inkomstdatasystemet.
Det föreslås att de nuvarande 4 och 5 mom., som gäller inkomsttagarens begäran om rättelse samt Inkomstregisterenhetens möjlighet att be prestationsbetalaren kontrollera riktigheten av de uppgifter som prestationsbetalaren har lämnat till registret, upphävs. I fortsättningen bestäms uppgifterna, ansvaret och skyldigheterna i anslutning till registerföringen i inkomstdatasystemet också till dessa delar direkt med stöd av dataskyddsförordningen.
18 §. Avförande av uppgifter.
Med anledning av de ändringar som föreslås i 24 a § fogas till 1 mom. en bestämmelse om bevaringstiden för uppgift om ett krav på eller föreläggande om begränsning av behandlingen av personuppgifter i inkomstregistret. Det föreslås att uppgift i inkomstregistret om att den registrerade har krävt att behandlingen av personuppgifter begränsas med stöd av artikel 18.1 i dataskyddsförordningen eller att dataombudsmannen har utfärdat ett föreläggande om begränsning av behandlingen ska avföras när det inte längre är nödvändigt att begränsa behandlingen.
21 a §. Vite.
Till lagen fogas en ny 21 a § där det föreskrivs om Inkomstregisterenhetens behörighet att förelägga vite för ett effektivare fullgörande av anmälningsskyldigheten enligt 6, 8 och 10–12 §. Med stöd av 1 mom. kan Inkomstregisterenheten vid vite ålägga den anmälningsskyldige att fullgöra en skyldighet som denne försummat, om försummelsen inte är ringa.
Enligt den andra meningen i paragrafen kan vite, om det föreligger särskilda skäl, föreläggas också en person som är anställd hos den anmälningsskyldige eller någon annan som handlar för den anmälningsskyldiges räkning. Bestämmelsen motsvarar bestämmelsen om vite i 30 § i lagen om ett positivt kreditupplysningsregister.
Enligt 2 mom. beslutar Inkomstregisterenheten om utdömande av vite. På föreläggande och utdömande av vite tillämpas viteslagen (1113/1990). Vite kan föreläggas och dömas ut endast om de förutsättningar som anges i 2 kap. i viteslagen uppfylls. Rättsregistercentralen sköter verkställigheten av vite med stöd av lagen om verkställighet av böter (672/2002).
Enligt den informativa hänvisningsbestämmelsen i 3 mom. tillämpas viteslagen på vitesärenden samt på sökande av ändring i beslut som gäller föreläggande och utdömande av vite, om inte något annat följer av denna lag.
Enligt 6 § i viteslagen föreläggs vite till ett visst belopp eller så att dess storlek bestäms på basis av tid (löpande vite). Av vitesföreläggandet ska tydligt framgå vad parten har förpliktats till och den tidpunkt när, före vilken eller från vilken huvudförpliktelsen ska uppfyllas. Längden av en tidsfrist ska bestämmas med beaktande av huvudförpliktelsens art och omfattning, den förpliktades möjligheter att uppfylla förpliktelsen och övriga omständigheter som inverkar på saken. Enligt 8 § i viteslagen ska vitesbeloppet bestämmas med beaktande av huvudförpliktelsens art och omfattning, den förpliktades betalningsförmåga och övriga omständigheter som inverkar på saken. Den myndighet som har förelagt ett vite får enligt 10 § döma ut det, om en part utan giltig orsak har underlåtit att uppfylla huvudförpliktelsen. Om försummelsen fortsätter kan ett nytt vite föreläggas, varvid 12 § ska iakttas.
Möjligheten att förelägga vite behövs i och med att Inkomstregisterenhetens ansvar och skyldigheter i anslutning till registerföringsuppgifterna ökar till följd av de ändringar som föreslås i 4 §. För närvarande har Inkomstregisterenheten inte behörighet att påföra påföljdsavgifter, och Inkomstregisterenheten har således inte själv tillgång till någon metod för att säkerställa att skyldigheten att anmäla till inkomstregistret fullgörs ens när försummelserna upprepas eller i övrigt inte kan anses vara ringa.
Med stöd av 22 § i lagen om inkomstdatasystemet kan Skatteförvaltningen påföra förseningsavgift på grund av försenade anmälningar till inkomstregistret eller försummelse att lämna uppgifter för beskattningen. Bestämmelsens tillämpningsområde är dock begränsat, och därför kan man med stöd av bestämmelsen effektivisera fullgörandet av anmälningsskyldigheten endast indirekt och i begränsad omfattning. Enligt bestämmelsen påför Skatteförvaltningen prestationsbetalaren en förseningsavgift, om i 6 § 2–5 mom. avsedda uppgifter eller i 8 § avsedda uppgifter som hänför sig till dem om prestationer som betalats under en kalendermånad lämnas senare än den åttonde dagen i den kalendermånad som följer på betalningsdagen. Enligt 23 § är förseningsavgiften tre euro för varje dag efter den kalenderdag som föreskrivs i 22 § 1 mom. till den tidpunkt då uppgifterna lämnas, dock högst 135 euro. Om uppgifterna lämnas mer än 45 kalenderdagar efter den dag som föreskrivs i 22 § 1 mom., är förseningsavgiftens belopp dock det nämnda beloppet ökat med en procent av beloppet av den för sent anmälda skattepliktiga prestationen eller av de för sent anmälda pensionsgrundande arbetsinkomster som är större än den skattepliktiga prestationen, dock högst 15 000 euro.
Dessutom kan Skatteförvaltningen med stöd av 22 a § i lagen om beskattningsförfarande påföra den uppgiftsskyldige en försummelseavgift, om det finns en bristfällighet i en deklaration, en annan uppgift eller en handling som lämnas eller i ett förfarande som iakttas för fullgörande av uppgiftsskyldigheten eller någon annan skyldighet enligt den lagens 3 kap., som gäller utomståendes skyldighet att lämna uppgifter, eller om deklarationen, uppgiften eller handlingen lämnas in för sent eller inte alls. Försummelseavgiften kan påföras endast på grund av försummelser att lämna uppgifter som behövs för beskattningen, och den omfattar således inte all anmälan av uppgifter till inkomstregistret.
Enligt 22 a § 8 mom. i lagen om beskattningsförfarande påförs inte försummelseavgift för att uppgifter lämnas för sent till inkomstregistret, om förseningsavgift enligt lagen om inkomstdatasystemet har påförts på grund av att uppgifterna lämnats för sent. Förseningsavgiften och försummelseavgiften är båda administrativa påföljder av straffkaraktär, det vill säga administrativa sanktioner. Vite är däremot inte en påföljd av straffkaraktär och utdömande av vite kan inte strida mot förbudet mot dubbel straffbarhet (HFD 2016:96). Det föreslagna vitet är till sin karaktär en administrativ påföljd med vilket Inkomstregisterenheten förenar huvudförpliktelsen, det vill säga den lagstadgade anmälningsskyldigheten. Bestämmelsen inverkar således inte på Skatteförvaltningens möjlighet att påföra förseningsavgift eller försummelseavgift på grund av försummelse att lämna samma uppgifter. Inkomstregisterenhetens möjlighet att förena skyldigheten att göra anmälan till inkomstregistret med vite överlappar inte heller de befogenheter som dataombudsmannen har till sitt förfogande för att tillse efterlevnaden av dataskyddsförordningen.
Bedömningen av huruvida en försummelse är ringa görs utifrån i vilken omfattning korrekta uppgifter inte har anmälts till inkomstregistret, vilken betydelse de brister som finns i uppgifterna har för uppgiftsanvändarna i inkomstregistret, huruvida försummelsen att anmäla uppgifter har upprepats i fråga om en viss anmälare och huruvida försummelsen att anmäla uppgifter inbegriper uppsåt. Tillfälliga brister i enskilda inkomsttagares uppgifter bör i allmänhet anses vara av ringa betydelse, om korrekta uppgifter har lämnats inom en rimlig tid efter det att bristerna upptäcktes.
Att rikta vite mot en anställd hos den anmälningsskyldige kan bli aktuellt till exempel i en situation där bolagets verkställande direktör, styrelseordföranden eller någon annan person i betydande ställning i bolaget i väsentlig grad kan anses ha bidragit till att uppgifterna inte har anmälts till inkomstregistret på behörigt sätt. Som en aktör som handlar för den anmälningsskyldiges räkning betraktas till exempel en räkenskapsbyrå eller någon annan tjänsteleverantör till vilken bolagets löneräkning eller betalnings- och anmälningsverksamhet i anslutning till löneräkningen har lagts ut på entreprenad på basis av avtal. För att vite ska kunna riktas mot en utomstående tjänsteleverantör förutsätts det dock att tjänsteleverantören har tillgång till de uppgifter som behövs för anmälan samt en faktisk möjlighet och en på uppdragsförhållandet baserad skyldighet att för den anmälningsskyldiges räkning göra en anmälan i överensstämmelse med datainnehållet för en inkomstregisteranmälan. En ytterligare förutsättning är också då att en person som har en betydande ställning i bolaget har medverkat till försummelsen av anmälan på motsvarande sätt som i fråga om den anmälningsskyldige själv.
Enligt Inkomstregisterenhetens preliminära bedömning kommer det årligen att fattas cirka 500 beslut om utdömande av vite.
Under beredningen utreddes också möjligheten att föreskriva om behörighet för Inkomstregisterenheten att på grund av försummelse av anmälan till inkomstregistret påföra försummelseavgifter som bestäms schablonmässigt och som åtminstone delvis påförs i en automatiserad process. Detta alternativ bedömdes dock med tanke på förbudet mot dubbel straffbarhet vara en alltför svårhanterlig process och i betydande grad äventyra de anmälningsskyldigas rättsskydd. Det ansågs inte heller vara möjligt att ändra påföljdssystemet för försummelse av anmälningsskyldigheten i anslutning till beskattningen i så stor utsträckning att Skatteförvaltningen inte längre kan påföra försummelseavgifter för försummelse att anmäla uppgifter som ska anmälas via inkomstregistret i samband med verkställandet av beskattningen. Dessutom ansågs det att en administrativ påföljd som syftar till att skapa ett lagenligt rättsläge är en påföljd som lämpar sig bättre för anmälan till inkomstregistret som helhet än en administrativ påföljd av straffkaraktär för försummelse att göra anmälan, som till exempel en försummelseavgift. Vite ansågs också i tillräcklig utsträckning garantera Inkomstregisterenhetens möjligheter att säkerställa att de anmälningsskyldiga fullgör sin lagstadgade anmälningsskyldighet på behörigt sätt och det ansågs inte heller i detta avseende behövligt att införa en strängare påföljd, det vill säga en försummelseavgift.
24 a §. Utlämnande av uppgifter när den registrerade kräver begränsning av behandlingen.
Det föreslås att paragrafen och dess rubrik ändras så att undantaget från tillämpningen av artikel 18 i dataskyddsförordningen begränsas till vad som är nödvändigt och proportionerligt med beaktande av inkomstdatasystemets användningsändamål. Enligt paragrafens gällande ordalydelse tillämpas artikel 18 i dataskyddsförordningen om den registrerades rätt att begränsa behandlingen inte på behandling av personuppgifter i inkomstdatasystemet.
Det föreslås att bestämmelsens tillämpningsområde begränsas så att uppgifter får lämnas ut för de ändamål som anges i 13 och 13 a § i lagen om inkomstdatasystemet trots att den registrerade åberopar sin rätt enligt artikel 18.1 a i förordningen att begränsa behandlingen av personuppgifter och bestrider personuppgifternas korrekthet. Uppgift om att den registrerade kräver begränsning av behandlingen av personuppgifter förs in i inkomstregistret och lämnas ut för de ändamål som anges i 13 och 13 a §.
Paragrafens rubrik ändras så att den motsvarar den ändring som gjorts i paragrafens innehåll.
Enligt artikel 18.1 a ska den registrerade ha rätt att kräva att den personuppgiftsansvarige begränsar behandlingen om den registrerade bestrider personuppgifternas korrekthet, varvid behandlingen ska begränsas under en tid som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta (led a), om behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning (led b), om den personuppgiftsansvarige inte längre behöver personuppgifterna för ändamålen med behandlingen men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk (led c) eller om den registrerade har invänt mot behandling i enlighet med artikel 21.1 i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl (led d).
I artikel 18.2 i dataskyddsförordningen anges det att om behandlingen har begränsats i enlighet med punkt 1 får sådana personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt allmänintresse för unionen eller för en medlemsstat. Med hjälp av inkomstdatasystemet tar man emot och registrerar de personuppgifter som prestationsbetalarna lämnat Inkomstregisterenheten och förmedlar dessa uppgifter till de myndigheter och andra aktörer som har rätt att få dem för att prestationsbetalarna ska kunna fullgöra sin lagstadgade anmälnings- och uppgiftsskyldighet.
Såsom beskrivs närmare i avsnitt 5 använder en betydande del av användarna av uppgifterna i inkomstregistret de uppgifter som de fått ur inkomstregistret inte bara vid beslutsfattande som gäller inkomsttagaren själv utan också vid beslutsfattande som gäller den prestationsbetalare som lämnat uppgifterna. Uppgifterna i inkomstregistret är därför inte enbart sådana uppgifter om inkomsttagaren själv som enbart skulle inverka på det beslutsfattande som gäller inkomsttagaren, och användningen av dem kan således inte enbart bestämmas av inkomsttagaren, inte ens när det eventuellt finns fel i uppgifterna.
Den behandling av personuppgifter som följer av registerföringsuppgiften bestäms med stöd av dataskyddsförordningen också i situationer som avses i artikel 18.1 a i förordningen, och det är inte ändamålsenligt att till dessa delar föreskriva om behandlingen av personuppgifter i den nationella lagstiftningen. I fråga om inkomstregistrets användningsändamål (mottagande, lagring och förmedling av uppgifter) behöver det i den nationella lagstiftningen föreskrivas om utlämnande av uppgifter med avvikelse från den registrerades rätt att göra invändningar. Därför föreskrivs det i paragrafen om begränsning av rätten att göra invändningar i fråga om utlämnande av uppgifter.
Möjligheten att lämna ut uppgifter, trots att den registrerade har bestridit uppgifternas korrekthet, kan med beaktande av inkomstdatasystemets användningsändamål anses vara ett skäl som rör ett viktigt allmänintresse för en medlemsstat, men för att undvika oklarheter i tolkningen föreslås det dock att det uttryckligen föreskrivs att uppgifterna också i en sådan situation får lämnas ut i enlighet med 5 kap. För att säkerställa begränsningsåtgärdens nödvändighet och proportionalitet avgränsas bestämmelsens tillämpningsområde till att gälla endast de situationer som avses i artikel 18.1 a.
Den registrerades rätt att göra invändningar mot behandlingen i enlighet med artikel 18.1 b på den grunden att behandlingen är olaglig behöver inte begränsas särskilt. I ett sådant fall ligger det också i den personuppgiftsansvariges intresse att försäkra sig om att mottagaren av uppgifterna har rätt att behandla de uppgifter som lämnas ut. Artikel 18.1 c i dataskyddsförordningen blir däremot inte tillämplig, eftersom i de situationer som avses i artikeln kommer uppgifter inte heller annars längre att lämnas ut ur registret. Eftersom den rättsliga grunden för Inkomstregisterenhetens behandling av personuppgifter är artikel 6.1 c, på basis av vilken den registrerade inte har rätt att göra invändningar mot behandlingen av sina personuppgifter, blir inte heller artikel 18.1 d tillämplig.
Tillämpningsområdet för den registrerades rättigheter enligt dataskyddsförordningen kan begränsas i enlighet med artikel 23 i förordningen, om begränsningen i fråga till väsentliga delar respekterar de grundläggande fri- och rättigheterna och är en nödvändig och proportionell åtgärd i ett demokratiskt samhälle och om begränsningen uppfyller någon av de grunder för begränsning som anges i artikel 23.1. Grunden för den föreslagna begränsningen är led e i den artikeln, det vill säga att säkerställa en medlemsstats viktiga mål av generellt allmänt intresse. Den föreslagna bestämmelsen är nödvändig med tanke på inkomstdatasystemets användningsändamål och syftet med den är att undvika till exempel situationer där en person kan kräva att behandlingen av sina uppgifter begränsas till exempel i syfte att undvika betalning av skatter eller återkrav av förmåner eller för att på något annat sätt dra nytta av att myndigheter eller aktörer som sköter en lagstadgad uppgift inte har tillgång till korrekta och uppdaterade uppgifter. Med hjälp av bestämmelsen säkerställs det även att de uppgifter som prestationsbetalaren lämnat i alla situationer är tillgängliga för uppgiftsanvändarna sådana som prestationsbetalaren har lämnat dem till inkomstregistret. På det sätt som beskrivs närmare i avsnitt 5 har detta betydelse med tanke på rätten att få uppgifter, och i synnerhet när uppgifterna används i beslutsfattande som gäller prestationsbetalaren själv.
Om inkomstuppgifterna i inkomstregistret inte lämnas ut, äventyras uppgiftsanvändarnas lagstadgade rätt att få uppgifter i betydande grad och försvåras deras oftast långt automatiserade och till tidsfrister bundna beslutsprocesser väsentligt, och därför bör den föreslagna begränsningen av rätten att göra invändningar anses nödvändig och stå i rätt proportion till det eftersträvade syftet vad gäller ett stort ekonomiskt eller finansiellt intresse för en medlemsstat. Om den registrerade bestrider riktigheten av sina uppgifter i inkomstregistret, ska uppgift om detta föras in i inkomstregistret. I samband med att uppgifterna lämnas ut ska Inkomstregisterenheten samtidigt lämna uppgift till uppgiftsanvändarna om att den registrerade har bestridit uppgifternas korrekthet. På så sätt får också uppgiftsanvändarna information om att det kan finnas skäl att till vissa delar kontrollera uppgifterna från andra källor, även inkomsttagaren själv. Detta kan anses vara ett tillräckligt sätt att skydda en fysisk person.