Syftet med den föreslagna lagstiftningen är att samordna den nationella lagstiftningen om social trygghet och försäkringar med den nya EU-lagstiftningen om dataskydd och den nya nationella dataskyddslagstiftningen. Dataskyddsförordningen (förordning (EU) 2016/679, GDPR) är till alla delar förpliktande och den tillämpas som sådan i alla medlemsstater. De bestämmelser som står i strid med eller överlappar med dataskyddsförordningen måste upphävas. 

Den reglering som proposition gäller ligger i huvudsak inom social- och hälsovårdsutskottets ansvarsområde, men en del hör också till ekonomiutskottets ansvarsområde eller tangerar det. Ekonomiutskottet koncentrerar sig i detta utlåtande i enlighet med sitt ansvarsområde i synnerhet på regleringen om försäkringsbolag. 

Propositionen har i allt väsentligt samma innehåll som proposition RP 52/2018 rd, som ekonomiutskottet redan behandlat och lämnat utlåtande om (EkUU 23/2018 rd) till social- och hälsovårdsutskottet i maj 2018. Den lagstiftningen blev emellertid inte slutbehandlad i riksdagen, utan propositionen förföll i mars 2019. 

Fokus för bedömningen av den föreslagna lagstiftningen ligger på att överväga hur och på vilka grunder integritetsskyddet bestäms när skyldigheterna och rättigheterna enligt flera olika mål i lagstiftningen ska samordnas. Den genomsyrande principen i den nya dataskyddslagstiftningen är att insamling, lagring, hantering och överlåtelse av personuppgifter ska begränsas endast till det som är nödvändigt och de situationer där uppgifterna används anges exakt och noga avgränsat. Enligt grundlagsutskottets utlåtande (GrUU 14/2018 rd — RP 9/2018 rd) bör man överlag undvika nationell speciallagstiftning, som bör reserveras för situationer där den är dels tillåten enligt dataskyddsförordningen, dels nödvändig för att tillgodose skyddet för personuppgifter. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser. 

Det föreslås att lagstiftningen om försäkringsbolag (lagförslag 36 om ändring av försäkringsbolagslagen) utökas med bestämmelser som möjliggör behandling av personuppgifter som hänför sig till brottsmisstankar och domar i brottmål och utlämnande av sådana uppgifter till andra försäkringsbolag för förvaltning av så kallade missbruksregister. De skyddsåtgärder som bestämmelserna inbegriper och dataskyddsförordningen kräver motsvarar de tillståndsvillkor som datasekretessnämnden har uppställt för de nuvarande missbruksregistren. 

Det föreslås att den gällande regleringen av missbruksregister kompletteras eftersom försäkringsbolagens rätt att föra missbruksregister och behandla registeruppgifter hittills har grundat sig på tillstånd av datasekretessnämnden. Till följd av att dataskyddsförordningen trätt i kraft och nämnden lagts ned måste bestämmelser om registret införas i lag. 

Riksdagen ändrade på förslag av ekonomiutskottet de bestämmelser som våren 2019 föreslogs i proposition RP 100/2018 rd på så sätt att ”eller till ett företag eller en sammanslutning som hör till samma finans- och försäkringskonglomerat” lades till i 15 kap. 15 § (Undantag som gäller utlämnandet av uppgifter från tystnadsplikten) 1 mom. 3 punkten i kreditinstitutslagen. På så sätt blev det möjligt för aktörer inom samma konglomerat att utbyta information om kundanmärkningar med varandra. 

Ekonomiutskottet föreslår att social- och hälsovårdsutskottet granskar möjligheten att göra samma komplettering i försäkringsbolagslagen och understryker därvid att försäkringsbedrägeri statistiskt sett anmärkningsvärt ofta är förbrott till senare, mer allvarliga brott. 

Utskottet poängterar att informationsutbyte inom konglomerat inte kringgår dataskyddsförordningen eftersom den berörda bestämmelsen (30 kap. 3 § i försäkringsbolagslagen) redan i den form som regeringen föreslår är utformad på så sätt att ett villkor för informationsutbyte är att utbytet inte strider mot dataskyddsförordningen. Det föreslagna 3 § 1 mom. inleds med orden ”Om inte något annat följer av dataskyddsförordningen, ...”. 

Enligt ekonomiutskottet vore en sådan ändring ändamålsenlig när man också beaktar att de parter som hör till lagstiftningens tillämpningsområde har åligganden när det gäller kundkontroll, att följa kundens verksamhet och att ge akt på omvärlden. Dessa åligganden anges i bestämmelser vars syfte är att förhindra att det finansiella systemet används för penningtvätt och finansiering av terrorism. Det ligger i linje och är konsekvent med dessa åligganden att information får utbytas. 

Ekonomiutskottet påpekar att den föreslagna paragrafen om rätten att föra register fungerar dels som ett bemyndigande för den personuppgiftsansvarige att lagra uppgifter, men dels också som en begränsning för vilka uppgifter som får lagras samt på vilka villkor och hur länge. 

Den berörda paragrafens 3 mom. gäller de omständigheter som, när de är för handen, ska leda till att en registeranteckning raderas. Ekonomiutskottet anser att bestämmelsen är utformad på ett sätt där ett oklart mellanläge kan uppkomma, om någon i en rättsprocess i ärendet söker ändring i en dom i första instans. 

Utskottet vill också fästa uppmärksamhet vid 4 mom. i samma paragraf. Enligt det ska uppgifterna avföras ur registret senast fem år från det att en uppgift om brottet registrerades första gången. Med tanke på hur länge rättegångar i genomsnitt varar är en tidsfrist på fem år kort om det innefattar överklagande. 

Eftersom den absoluta tidsgränsen på fem år räknas från den första registeranteckningen måste det för beräkningen av tidsfristen finnas en anteckning av något slag, åtminstone på metadatanivå, också för det fall att underrätten meddelar en friande dom som överklagas. 

Bedömningen av föreslagen lagstiftning måste ske med beaktande av finansbranschens villkor överlag, eftersom tillståndsplikten för verksamheten, den detaljerade regleringen och tillsynen sammantagna ger ett mycket gott skydd för den registrerade och dennes rättigheter. Ekonomiutskottet konstaterar att regeringen på ett balanserat sätt i propositionen beaktar å ena sidan de gränser som den förpliktande EU-lagstiftningen uppställer för den nationella lagstiftningen och å andra sidan också hur de tekniska lösningarna har utvecklats. Därför fäster utskottet social- och hälsovårdsutskottets uppmärksamhet vid det och även vid det föreslagna nya 70 § 4 mom. i lagförslag 2 (lagen om pensionsstiftelser), som enligt uppgift verkar stå i strid med artikel 6 i dataskyddsförordningen.