sou · GLB3101 · 1998-01-01 00:00:00 — Ju 96/176) utsett Datainspektionen till tillsynsmyndighet. har föreslagit att reglerna om Datainspektionens uppgifter förs in i myndighetens instruktion och att det i persondatalagen bara tas in bestämmelser om inspektionens befogen- heter i samband med tillsynsverksamheten (, avsnitt 12.14.1.3). I förslaget till persondatalag föreskrivs rätt för Datainspektionen att för sin tillsyn på begäran få tillgång till de uppgifter som behandlas, upplysningar och dokumentation rörande behandlingen av personuppgifter och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter (45 §). Om Datainspektionen inte efter sådan begäran kan få tillräckligt underlag för att konstatera att behandlingen är laglig, får myndigheten vid vite förbjuda den persondataansvarige att behandla personuppgifter på annat sätt än genom att lagra dem (46 §). Om Datainspektionen konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, skall myndigheten genom påpe- kanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på annat sätt eller är det riskfyllt att vänta, får myndigheten vid vite förbjuda den persondata- ansvarige att fortsätta behandla personuppgifterna på ett annat sätt än att lagra dem (47 §). Datainspektionen får också hos länsrätten i det län där myndigheten är belägen ansöka om att sådana personuppgifter som behandlats på ett olagligt sätt skall utplånas. Beslut om utplå- nande får inte meddelas om det är oskäligt (49 §). Datainspektionens beslut i tillsyns- verksamheten får överklagas hos allmän förvaltningsdomstol. För att ett överklagande skall tas upp av kammarrätt krävs prövningstillstånd (50 §). Datainspektionens möjligheter att meddela föreskrifter i olika avseenden, t.ex. säkerhets- föreskrifter har redovisats ovan. För en sammanställning se avsnitt 6.7. Överväganden: Vi har ovan utgått från att Datainspektionen skall utöva tillsyn över Plikt- verkets behandling av personuppgifter om totalförsvarspliktiga (se bl.a. avsnitt 9.1.5). Så är fallet och något bärande skäl att undanta denna verksamhet från Data- inspektionens kontroll kan vi inte finna. Enligt gällande datalag har Datainspektionen vid sin tillsyn rätt att erhålla tillträde till lokaler där ADB utföres, att få tillgång till handlingar som rör ADB och föranstalta om körning av datamaskin. Vidare skall den registeransvarige lämna de uppgifter rörande ADB som Datainspektionen begär för sin tillsyn (16 och 17 §§ datalagen). Inspektionens rättigheter enligt datalagen är alltså i stort sett desamma som föreskrivs i förslaget till persondatalag. Vad gäller Datainspektionens befogenheter föreligger viss skillnad mellan gällande ordning och vad som föreslagits av . Om förandet av personregister lett till otillbörligt intrång i personlig integritet eller det finns anledning att anta att sådant intrång kan upp- komma, får Datainspektionen , enligt 18 § första stycket datalagen, meddela olika typer av föreskrifter för registret (se 6 § datalagen ang. vilka föreskrifter som kan meddelas). Om inte integritetsskydd kan åstadkommas på annat sätt får Datainspektionen förbjuda fortsatt förande av personregistret eller återkalla meddelat tillstånd (18 § andra stycket datalagen). Datainspektionens föreskrifter och förbud får förenas med vite (18 § tredje stycket datalagen). När ett register förs i strid mot ett meddelat förbud skall det förklaras förverkat om inte en sådan åtgärd framstår som uppenbart obillig (22 § datalagen). Skillnaderna mellan förbud mot fortsatt förande av registret och ett förbud mot behandling av personuppgifterna på annat sätt än att lagra dem förefaller marginell, liksom skillnaden mellan ett beslut om för- verkande av registret och ett som innebär att personuppgifterna skall utplånas. Datalagen och persondatalagen skiljer sig emellertid åt vad gäller Datainspektionens möjligheter att in- gripa mot de sk. statsmaktsregistren. Enligt datalagen får Datainspektionen meddela föreskrif- ter för statsmaktsregistren endast i den mån det inte står i strid med beslut av regeringen eller . Datainspektionen får aldrig förbjuda fortsatt förande av ett statsmaktsregister. Om Datainspektionen anser att en av eller regeringen beslutad föreskrift bör ändras eller att statsmaktsregistret inte längre bör föras, har inspektionen att göra en framställning om detta (se prop. 1973:33 s. 144). I förslaget till persondatalag görs ingen skillnad på behand- lingar av personuppgifter som beslutats av statsmakterna och andra. Datainspektionens befo- genheter är desamma oavsett vem som beslutat att verksamheten skall förekomma. De in- skränkningar som finns i Datainspektionens befogenheter vad gäller statsmakts- registren bottnar i att det inte ansetts lämpligt att inspektionen kan överpröva statsmakternas beslut (se prop. 1973:33 s. 93 ff.). Vi anser inte att en generell bestämmelse om att Datainspektionen inte får meddela före- skrifter som står i strid med vad statsmakterna beslutat är nödvändig. Om Datainspektionen finner missförhållanden som endast kan rättas till genom ändringar i statsmakternas beslut, bör inspektionen som vara hänvisad till att göra framställningar till regeringen om detta. registrering och övriga behandling av personuppgifter om totalförsvarspliktiga är nödvändig för att totalförsvarets personalförsörjning skall . Det är inte rimligt att Datainspektionen skall ha möjlighet att förbjuda behandling av personuppgifter i en statlig verksamhet av sådan vikt, även om inspektionen skulle finna att uppgifterna behandlades på ett olagligt sätt. Det förefaller inte troligt att ett behov skulle uppkomma för Datainspektionen att förbjuda att behandla personuppgifter. En sådan åtgärd förutsätter i praktiken dels att behandlat uppgifterna på ett olagligt sätt, dels att verket inte rättat sig efter påpekanden från Datainspektionen. Med tanke på den betydelse behandling av personuppgifter har för totalförsvar anser vi dock att lagstiftningen inte ens bör ge Datainspektionen möjlighet att stoppa verksamheten. Vi föreslår därför en undantagsbestäm- melse av det innehållet i lagen om behandling av personuppgifter om totalförsvarspliktiga. Ett sådant undantag avviker i från vad EG-direktivet föreskriver, vilket också är möjligt för en verksamhet som rör totalförsvaret dvs. för en verksamhet som inte omfattas av direktivet. Datainspektionens möjligheter att hos länsrätten ansöka om utplåning av uppgifter som behandlats på ett olagligt sätt bör gälla även för uppgifter om totalförsvarspliktiga. Skulle det vara fråga om utplåning av uppgifter av sådan omfattning eller karaktär att totalförsvaret är hotat som verksamhet, torde ett beslut om utplåning anses som oskäligt och därför inte komma att meddelas (se 49 § andra stycket persondatalagen). Slutligen bör det uppmärksammas att Datainspektionens befogenheter enligt persondata- lagen gäller vid all olaglig behandling av personuppgifter och inte bara vid behandling i strid med persondatalagens bestämmelser. Sålunda omfattas till skillnad mot vad som gäller för den enskildes möjligheter att få felaktigt behandlade uppgifter korrigerade även behandling som i och för sig överensstämmer med vad persondatalagen föreskriver men står i strid med bestämmelser i en särskild registerförfattning (jfr avsnitt 11.5 ovan). 11.8 Övriga bestämmelser i persondatalagen Överväganden som rör bevarande och gallring av personuppgifter, sekretess, sanktioner (straff och skadestånd) samt övergångsbestämmelser, redovisas nedan i kap. 1316. Förslaget till persondatalag innehåller utöver vad som ovan redovisats i detta kapitel och utöver vad som vi enligt förra stycket återkommer till, spridda bestämmelser om behandling av personuppgifter som vi inte funnit anledning att gå in på närmare, antingen därför att de inte berör verksamhet eller därför att det saknas anledning att överväga undantag för del. För fullständigheten redovisas här vilka bestämmelser i persondatalagen detta gäller: 11 § Förbud mot direkt marknadsföring Personuppgifter får inte behandlas för ändamål som rör direkt marknadsföring sedan den registrerade hos den persondataansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. 12 § Rätt att återkalla samtycke till behandling I de fall där behandling av personuppgifter bara är tillåten efter samtycke har den registrerade rätt att när som helst återkalla ett lämnat samtycke. Därefter får ytterligare personuppgifter om den registrerade inte behandlas. En registrerad har inte utöver vad som sagts och vad som följer av 11 § rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt persondatalagen. 29 § Rätt att slippa automatiserade beslut Ett beslut som har rättsliga följder för en fysisk person eller annars märkbart påverkar denne får grundas enbart på automatisk behandling av personuppgifter, vilka är avsedda att bedöma egenskaper hos den berörda personen, bara om den som berörs av beslutet har möjlighet att på begäran få beslutet omprövat på väg. I kommissionens förklaring till artikel 15.1 i EG-direktivet, som ligger till grund för denna bestämmelse i persondatalagen, framhålls att det skall vara fråga om ett beslut som grundar sig enbart på automatisk databehandling. Det som är förbjudet, enligt (, avsnitt 3.8), är att slaviskt följa det resultat som har producerats av ett system för automatisk databehandling. Den automatiska databehandlingen kan vara ett stöd vid beslutsfattandet, men behandlingen får inte utgöra slutresultatet utan det måste finnas utrymme för en mänsklig bedömning. beslut om inskrivning av totalförsvarspliktiga grundas till stor del på vad som framkommit vid de i och för sig databaserade undersökningarna av den enskilde, men inslaget av mänsklig bedömning från t.ex. läkare, psykologer och inskrivningsförrättare är betydande. arbetssätt strider inte mot förbudet mot automatiserade beslut, såvitt framkommit under utredningen. 3335 §§ Överföring av uppgifter utanför EG Huvudregeln är att det är förbjudet att föra över personuppgifter som behandlas till tredje land, dvs. en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekono- miska samarbetsområdet. En rad undantag finns angivna i persondatalagen och såväl reger- ingen som om regeringen så bestämmer Datainspektionen får föreskriva ytterligare un- dantag. Något utflöde av personuppgifter från till tredje land förekommer enligt upp- gift inte . Skulle det utökade internationella samarbetet på det militära eller civila området motivera undantag från persondatalagens bestämmelser finns det utrymme i persondatalagen för regeringen och Datainspektionen att föreskriva sådana undantag (se 35 § persondatalagen). 41 § Obligatorisk anmälan för särskilt integritetskänsliga behandlingar Regeringen får föreskriva att vissa behandlingar av personuppgifter som kan innebära sär- skilda risker för otillbörligt intrång i den personliga integriteten skall anmälas för förhand- skontroll till tillsynsmyndigheten behandlingen påbörjas. Sådan anmälan skall ske även om persondataombud utsetts. Bestämmelsen om anmälan för förhandskontroll innebär att behandlingen inte får sättas i gång förrän Datainspektionen lämnats tillfälle att kontrollera den. Om Datainspektionen vid sin förhandskontroll kommer fram till att personuppgifter kan komma att behandlas på ett olagligt sätt, kan inspektionen ingripa, ytterst genom att vid vite förbjuda den persondata- ansvarige att påbörja behandlingen. Enligt (, avsnitt 12.12.2.5) kan en förhandskontroll sägas ske i samband med att särskilda registerförfattningar beslutas av eller regeringen eftersom Datainspektionen regelmässigt hörs i sam- band med att sådana författningar beslutas (Jfr 7 kap. 2 § RF samt prop. 1993/94:217). Vi utgår ifrån att även de förslag som detta utredningsarbete utmynnar i, kommer att tillställas Datainspektionen för synpunkter. Bestämmelser om förhandskontroller förefaller därför inte aktuella vid behandling av personuppgifter om totalförsvarspliktiga som omfattas av vårt lagförslag. 12 ADB-register över totalförsvarspliktiga Den stora mängd personuppgifter som skall behandla i sin verksamhet medför att ADB måste användas. När registrering av personuppgifter sker med hjälp av ADB uppkommer särskilda risker för intrång i de registrerades personliga integritet. Den som har tillgång till ett ADB-register har i princip obegränsade möjligheter att söka bland uppgifterna och göra sam- manställningar av olika slag. Särskilda föreskrifter, som begränsar möjligheterna att anteckna personuppgifter i ADB-register och som skyddar de uppgifter som finns där, är därför motive- rade. Förslag: I lagen om behandling av personuppgifter om totalförsvarspliktiga anges uttömmande beträffande vilka personer anteckningar får göras i ADB-register över totalför- svarspliktiga och vilka typer av personuppgifter som får antecknas. Personuppgifter skall få antecknas i ADB-register över totalförsvarspliktiga endast beträf- fande den som är aktuell för mönstring (motsv. ), har tagits i anspråk för totalförsvarets räk- ning genom avtal, beslut om krigsplacering eller på annat sätt, skall utföra särskild uppgift vid höjd beredskap eller på grund av viss kompetens är viktig för totalförsvaret. Dessutom skall vissa uppgifter få antecknas om den som uppgetts som närstående av en redan registrerad, nämns bland uppgifter som åberopats av en registrerad eller fattat beslut, handlagt ärende eller gjort journalanteckning rörande den registrerade. I 13 punkter anges i lagen vidare de olika typer av personuppgifter som får förekomma i ADB-register över totalförsvarspliktiga, allt under förutsättning att behöver upp- gifterna för de ändamål som fastställts ovan (avsnitt 11.2). Regeringen skall ha möjlighet att föreskriva ytterligare begränsningar av vad som får registreras. 12.2.1 Allmänt om vad som bör få antecknas i ett ADB-register över totalförsvarspliktiga Bakgrund: Vid uttagning av personal till totalförsvaret är det nödvändigt att den ansvarige i första hand har tillgång till ett omfattande underlag av personuppgifter be- träffande de totalförsvarspliktiga. Förutom basuppgifter som namn och adress m.m. måste uppgifter finnas om de enskilda personernas hälsa och förmåga i olika avseenden. Säkerheten kräver t.ex. att kriminellt belastade personer inte ges känsliga befattningar. måste vidare känna till den enskildes egna intressen och önskemål liksom faktiska hinder för hans eller hennes tjänstgöring. (Beträffande den personal som har en uppgift inom totalförsvaret vid höjd beredskap utan att skyldigheten att fullgöra uppgiften grundar sig på totalförsvarsplikt se avsnitt 10.2 ovan torde det emellertid oftast vara tillräckligt med vissa basuppgifter om namn, personnummer, adress, befattning, kompetens etc.) Det är lätt att inse att intresse av att samla in och ordna uppgifter i ADB- register kan komma i konflikt med den enskildes krav på skydd för den personliga integriteten. Överväganden: verksamhet är nödvändig för att de bemanningsansvariga en- heterna skall erhålla personal som har kapacitet att fullgöra sina uppgifter i krig och andra krissituationer. Verksamheten syftar till att garantera rikets skydd och till att säkra att viktiga samhällsfunktioner upprätthålls även under exceptionella förhållanden. Det kollektiva intres- set av att denna verksamhet fungerar är mycket starkt. En utgångspunkt är därför att Plikt- verket måste tillåtas behandla de personuppgifter som krävs för att verksamheten skall kunna upprätthållas på en kvalitativt hög nivå. måste också kunna behandla uppgifterna på ett effektivt och funktionellt sätt, vilket innebär som tidigare nämnts att uppgifterna måste kunna hanteras automatiskt, i ADB-register. Även för redovisning av totalförsvarspersonal som inte är uttagna med plikt krävs det ADB för att hålla uppgifterna ordnade och aktuella samt för att de snabbt skall kunna tas fram vid behov. Vad som sagts innebär inte att kravet på skydd för den registrerades personliga integri- tet skall åsidosättas. Tvärtom är det viktigt att register av det slag som för register med känsliga uppgifter om en stor del av befolkningen regleras noggrant vad gäller innehållet. En generell fullmakt till den persondataansvarige att bestämma registerinnehållet kan resultera i att registret kommer att innehålla uppgifter som inte är nödvändiga men som bedöms vara bra att ha. Så får det inte vara. Visserligen tillåter förslaget till persondata- lag inte behandling av fler uppgifter än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (9 § första stycket f). Denna bestämmelse är emellertid enligt vår mening inte tillräcklig för att det på ett från integritetsskyddssynpunkt säkert sätt skall kunna fastställas, var gränserna går för vad som får registreras av . Vi föreslår därför att det i lagen om behandling av personuppgifter om totalförsvarspliktiga preciseras och i princip uttöm- mande anges vilka uppgifter eller kategorier av uppgifter som får förekomma i Plikt- verkets ADB-register över totalförsvarspliktiga. (Detta register planeras bli synonymt med PLIS, dvs. utgöra ett enda register. Det förefaller emellertid olämpligt att i lag nämna registret i bestämd form. kan en lösning med flera register komma att väljas.) Det skall återigen framhållas att vi i vårt lagförslag med totalförsvarspliktiga jämställer personer som har en uppgift inom totalförsvaret vid höjd beredskap, utan att deras skyldighet att fullgöra uppgiften grundar sig på totalförsvarsplikt. Kraven på skydd för uppgifter i ett ADB-register över totalförsvarspliktiga måste självfal- let vara mycket högt ställda. Att verksamhet kräver omfattande registrering av personuppgifter medför att skyddet för den enskildes personliga integritet måste tillgodoses genom såväl tekniska åtgärder som legala begränsningar av åtkomsten till uppgifterna. Även försvarssekretessen motiverar ett starkt skydd, t.ex. för uppgifter om vissa registrerades befatt- ningar och krigsplaceringar. 12.2.2 Beträffande vilka personer skall det få förekomma uppgifter i registret? Bakgrund: Totalförsvarsplikten omfattar alla personer som är bosatta i (se avsnitt 7.1). En stor del av dessa är emellertid inte på förhand tagna i anspråk för uppgifter inom totalförsvaret. Det finns vidare personal inom totalförsvaret som på grund av avtal eller bestämmelser i författning som inte avser totalförsvarsplikt är skyldiga att tjänst- göra eller utföra vissa uppgifter vid höjd beredskap. Den sist nämnda personalkategorien kan ha passerat den övre åldersgränsen för totalförsvarsplikten (t.ex. medlemmar av frivilligor- ganisationer som kvarstår efter och som har vissa uppgifter i organisationens krigsorganisation.) Överväganden: behöver för sin verksamhet inte hålla ett allmänt befolknings- register med uppgifter om alla som kan komma att tas ut till tjänstgöring i händelse av krig. Uppgifter om vilka som tillhör det åldersintervall som kan komma i fråga kan hämtas från vid behov. ADB-register över totalförsvarspliktiga bör begränsas till att inne- hålla uppgifter om sådana personer som på ett eller annat sätt är tagna i anspråk för total- försvarets räkning eller som ännu inte skrivits in men är aktuella för mönstring, särskild antag- ningsprövning eller annan mindre omfattande utredning. Det är enligt vår bedömning tillräck- ligt att uppgifter finns om dessa personer för att skall kunna utföra sina huvudsak- liga arbetsuppgifter, nämligen att mönstra, skriva in och krigsplacera totalförsvarspliktiga samt att redovisa totalförsvarets personal. Uppgifter om de nu berörda kan i sin tur utgöras av vissa begränsade uppgifter om andra personer. Mot bakgrund av det nu anförda bör uppgifter om en person få antecknas i ett ADB- register över totalförsvarspliktiga i följande fall: Om han eller hon är aktuell för mönstring eller mindre omfattande utredning enligt lagen om totalförsvarsplikt eller särskild antagningsprövning enligt lagen om möjlighet för kvinnor att fullgöra värnplikt eller civilplikt med längre grundutbildning. behöver kunna registrera uppgifter om pliktpersonalen redan när ett person- ärende påbörjas, vilket normalt sker genom avisering från . Ett ärende kan också inledas genom att den enskilde själv tar kontakt med och lämnar upplysningar, t.ex. om att han eller hon är förhindrad att inställa sig till mönstring eller annan utredning eller om särskilda önskemål beträffande sin tjänstgöring. En sådan kon- takt kan medföra krav på åtgärder senare från sida och därmed innebära att person- uppgifter behöver sparas. Med aktuell för mönstring etc. avses här alla personer som inom en inte allt för avlägsen framtid skall eller kan bli föremål för sådan utredning som nämns i punkt 1 och som på något sätt aktualiserats för en åtgärd eller ett ställningstagande från Plikt- verkets sida. Naturligtvis krävs det också att det finns ett behov av registrering i varje enskilt fall. Enbart en förfrågan från en enskild, t.ex. angående innehållet i en viss utbildning eller om förutsättningarna för vapenfri tjänst, skall inte föranleda att han eller hon antecknas i regist- ret. Om han eller hon genom avtal, beslut om krigsplacering eller på annat sätt tagits i anspråk för totalförsvaret. Härmed avses anställda inom Försvarsmakten, anställda inom civil verksamhet som krigs- placerats (eller motsvarande) av sin arbetsgivare med stöd av anställningsavtalet, medlemmar i frivilligorganisationer m.fl., som har tagits i anspråk genom att ställas till visst organs förfo- gande för försvarsändamål. Flertalet av dessa personer har varit aktuella för utred- ning som avses i punkt 1 och har därmed kunnat antecknas i registret redan med stöd av den punkten. För att kunna anteckna uppgifter också om personer som tagits i anspråk för total- försvaret utan att ha genomgått en sådan utredning, krävs emellertid detta tillägg. Det kan t.ex. gälla kvinnor som är ianspråktagna av sin arbetsgivare eller av en frivilligorganisation, men som inte är inskrivna med civilplikt och inte varit aktuella för utredningsåtgärder. Även vissa andra personer, som t.ex. utlänningar eller före detta utländska medborgare som erhållit en placering i totalförsvaret utan att ha genomgått sådan utredning som avses i punkt 1, fångas upp av förevarande punkt. Om han eller hon skall utföra särskild uppgift vid höjd beredskap eller på grund av viss kompetens är viktig för totalförsvaret Personer som avses i första ledet i denna punkt är sådana som har ålagts eller frivilligt åtagit sig begränsade uppgifter vid höjd beredskap, som t.ex. att ställa viss egendom till totalförsvarets förfogande enligt förfogandelagen och med stöd av den lagen meddelade för- ordningar. Andra ledet avser i första hand de personer som förekommer i regis- ter över hälso- och sjukvårdspersonal (INTEGER, se ovan avsnitt 8.4.8). skall överta driften av detta register som, såvitt nu kan bedömas, kommer att föras som en del av PLIS och sålunda vara integrerat med ADB-register över totalförsvarspliktiga i övrigt. I INTEGER-delen av register kan det vara nödvändigt att uppgifter om personer antecknas enbart på grund av deras yrkeskompetens, dvs. utan att formellt beslut fattats om att ta dem i anspråk för viss huvudmans räkning. Uppgifterna om denna personal- kategori kan sägas utgöra en inventarieförteckning som skall kunna användas för att i en krigssituation sätta in hälso- och sjukvårdspersonal, där den bäst behövs. Registrering av en person enbart på grund av hans eller hennes kompetens bör endast förekomma då det framstår som synnerligen viktigt för totalförsvarets funktion att ha uppgifterna tillgängliga. stämmelse som vi föreslår nedan (avsnitt 12.2.4) om att regeringen skall kunna begränsa inne- hållet i ett ADB-register över totalförsvarspliktiga bör bl.a. utnyttjas för att ge föreskrifter om i vilka fall registrering som här avses får förekomma.