sou · GLB3101 · 1998-01-01 00:00:00 — Med totalförsvarspliktiga jämställes personer som har en uppgift inom totalförsvaret vid höjd beredskap utan att skyldigheten att fullgöra uppgiften grundar sig på totalförsvarsplikt. Lagen skall vidare tillämpas i verksamhet. För ett par fall, bl.a. vad gäller behandling av känsliga personuppgifter, bör det dock övervägas om lagen skall innehålla bestämmelser för verksamhet som bedrivs av annan än . Bakgrund: har enligt sin instruktion bl.a. till uppgift att mönstra, skriva in och krigsplacera totalförsvarspliktiga samt att svara för att de bemanningsansvariga får stöd och service i fråga om de totalförsvarspliktigas tjänstgöring. skall dessutom kunna re- dovisa annan personal inom totalförsvaret. De personuppgifter som behövs för uttagning och placering m.m. av totalförsvarspliktiga kommer i relativt stor utsträckning tillhanda från andra organ, företrädesvis andra myndigheter. Efter behandling skall vissa uppgifter lämnas vidare, t.ex. till de enheter inom försvaret som skall utbilda den enskilde. Det är således flera myndigheter och andra organ utanför som i sina respektive verksamheter behöver behandla uppgif- ter om totalförsvarspliktiga, även om roll är helt central i sammanhanget. Överväganden: Enligt våra direktiv skall vi lägga fram förslag om den författningsreglering av personregister över totalförsvarspliktiga som behövs för den verksamhet som skall bedrivas av . Denna verksamhet består i huvudsak i att mönstra (motsv. ), skriva in och krigs- placera den personal som omfattas av värnplikt eller civilplikt. Totalförsvarspliktiga är emel- lertid alla svenska medborgare och utlänningar som är bosatta i , från och med det kalenderår de fyller till utgången av det år de fyller (ang. totalförsvarspliktens innebörd se avsnitt 7.1). I fredstid, och även i vissa fall vid höjd beredskap, grundas skyldighe- ten att tjänstgöra för en stor del av totalförsvarets personal på andra omständigheter än värn- plikt och civilplikt. Detta gäller Försvarsmaktens fast anställda personal, arbetstagare som är ianspråktagna av sina arbetsgivare för uppgifter vid höjd beredskap, medlemmar i frivillig- organisationer och vissa personer med begränsade uppgifter, t.ex. enligt förfogandelagstift- ningen. De sist nämnda är inte personal i egentlig mening men de har uppgifter att lösa vid höjd beredskap ibland tidigare och de måste finnas förtecknade i någon typ av register för att det skall vara möjligt att ta deras tjänster i anspråk vid behov. Härtill kommer hälso- och sjukvårdspersonalen som , enligt överenskommelse med , skall hålla ett personalförsörjningsregister över. arbetsuppgifter enligt verkets instruk- tion förutsätter en möjlighet att behandla personuppgifter om all personal inom totalförsvaret, dvs. såväl pliktpersonal som personal vars skyldighet att tjänstgöra grundar sig på annat än totalförsvarsplikt. För ett effektivt system för redovisning av totalförsvarets personal är det närmast nöd- vändigt att kunna ta fram uppgifter om de olika personalkategorierna i ett sammanhang. Mot bakgrund härav utformar vi vårt förslag så att lagens tillämpningsområde omfattar behand- ling av personuppgifter om totalförsvarets hela personal. Dock med den begränsningen att det skall vara fråga om personer som har en uppgift att lösa vid höjd beredskap. Till dessa perso- ner räknas också hälso- och sjukvårdspersonalen även om de inte redan i fredstid är krigspla- cerade eller motsvarande på särskild plats inom totalförsvaret. Eftersom den behandling av personuppgifter beträffande totalförsvarets personal som behöver kunna utföra till helt övervägande del avser pliktpersonal, föreslår vi den författningstekniska lösningen att personer som har en uppgift inom totalförsvaret vid höjd beredskap jämställes med totalförsvarspliktiga vid tillämpning av lagen om behandling av personuppgifter om totalförsvarspliktiga. Anpassningen till persondatalagen medför att vårt förslag omfattar även annan behand- ling av personuppgifterna än registreringen av dem. Övergången från att reglera register till att reglera behandling medför att gränserna för uppdraget måste övervägas ytterligare något efter- som det till skillnad för vad som gäller för själva registreringen av totalförsvarspliktiga är många olika organ som behandlar uppgifterna. Dessutom är behandling ett i viss mån flytande begrepp såtillvida att flera aktörer kan vara inblandade . Enligt definitionen av be- handling i EG-direktivet är t.ex. såväl inhämtande som utlämnande av en personuppgift en behandlingsåtgärd. När mottar en uppgift från en annan myndighet är båda kon- trahenterna åtminstone för inblandade i samma behandling. Vi har emel- lertid inte funnit skäl att reglera den behandling som myndigheter och andra utanför totalför- svaret utför innan och när de lämnar ut personuppgifter om totalförsvarspliktiga till Plikt- verket (med undantag för att vissa kan ges möjlighet att lämna uppgifter till genom att själva lägga in dem direkt i ADB-register över totalförsvarspliktiga, se nedan avsnitt 12.3). De personuppgifter som andra myndigheter m.fl. förfogar över är som regel inte insamlade för räkning och utformningen av det skydd för uppgifterna som bör finnas hos den utlämnande myndigheten ankommer därför inte på oss. En särställning intar de myndigheter och andra som utför mindre omfattande utredningar än mönstring i syfte att fastställa den totalförsvarspliktiges förmåga att fullgöra civilplikt med grundutbildning under (se avsnitt 7.2.2). Erhållna uppgifter (i form av kopior av handlingar) skall efter sådan utredning tillställas tillsammans med en begäran om att den totalförsvarspliktige skrivs in (3 kap. 3 § Totalförsvarets pliktverks föreskrifter om totalförsvarsplikt). Vad som sker i praktiken är att den utredande myndigheten tar fram ett underlag och föreslår ett inskrivningsbeslut med visst innehåll. Personuppgifterna som den utredande myndigheten härvid behandlar är inte så omfattande och inte heller av den känsliga natur som de som framkommer vid en mönstringsförrättning. Behandlingen hos de utredande myndigheterna är än så länge i huvudsak . I den utsträckning automatisk behandling förekommer, kommer den att omfattas av persondatalagens bestämmelser och därmed av Datainspektionens tillsyn. Persondatalagens bestämmelser så som de är utfor- made enligt föreliggande förslag och de föreskrifter som kan emotses från Datainspektio- nen, bör därvid enligt vår mening ge uppgifterna ett tillräckligt skydd vid den utredande myn- digheten. Att det behövs en särskild lag för behandling av personuppgifter om totalförsvarspliktiga vid sidan av persondatalagen, beror främst på att register är mycket omfattande med integritetskänsliga uppgifter och därför kräver tydliga föreskrifter i lagform och en hög skyddsnivå. Det saknas skäl till motsvarande särskild reglering för verk- samheten hos de myndigheter som utför mindre utredningar och endast behandlar ett begrän- sat antal personuppgifter. Bemannings- och utbildningsansvariga enheter inom totalförsvaret behandlar också person- uppgifter om totalförsvarspliktiga. För uppgifter som dessa emottar från gäller enligt den föreslagna persondatalagens bestämmelser att de inte får behandlas på sätt som är oförenligt med de ändamål som angavs när samlade in uppgifterna. (Som fram- går av kap. 11 nedan föreslår vi att dessa ändamål anges i lagtexten.) Denna begränsning, jämte vad som följer av persondatalagsförslaget i övrigt, bedömer vi som en tillfredsställande reglering för berörda enheters behandling av mottagna personuppgifter. Här skall också tilläg- gas att föreskrifter om hur uppgifter får lämnas från , vilka som får ha direkt åt- komst till registret via terminal m.m., är sådant som påverkar mottagarnas behandlings- möjligheter. Överväganden beträffande sådana föreskrifter redovisas nedan i kap. 12. Sammanfattningsvis är det inte som utgångspunkt betraktat motiverat att låta en lag om behandling av personuppgifter om totalförsvarspliktiga omfatta annan verksamhet än den som bedrivs av . Våra direktiv anger också att det är behoven i denna verksamhet som skall tillgodoses med våra förslag. Som anmärktes ovan är det främst anpassningen till persondatalagens behandlingsbegrepp som fått oss att överväga ett vidare tillämpningsområde än vad våra direktiv egentligen anvisar. Slutsatsen att lagen skall tillämpas bara på behandling av personuppgifter skall ses som en huvudprincip. För ett par situationer finns det anledning att överväga om lagen också skall innehålla bestämmelser som delvis rör verksamhet som utövas av annan. Det gäller främst frågor om undantag från persondatalagens bestämmelser om att behandlingen inte får vara oförenlig med de ändamål för vilka uppgifterna insamlades och om förbud mot behandling av vissa känsliga personuppgifter. Övervägandena i dessa delar återfinns nedan i avsnitt 11.2.2 och 11.3. 10.3 Tillämpningsområdet skall anknytas till ändamålen med behandlingen Förslag: Lagen skall tillämpas vid behandling av personuppgifter för vissa i lagen angivna ändamål. skall anses ha samlat in personuppgifterna för dessa ändamål om inte annat uttryckligen angivits av vid insamlingen. Överväganden: Enligt förslaget till persondatalag skall ändamålen med behandlingen av personuppgifter vara uttryckligt angivna när uppgifterna samlas in. enligt huvudregeln inte behandlas för något ändamål som är oförenligt med dessa (9 § första stycket c och d). De sålunda angivna ändamålen utgör därmed en gräns för hur uppgif- terna får behandlas. En bestämmelse som anger ändamålen är därför central och viktig vid särskild författningsreglering av behandling av personuppgifter inom en viss verksamhet. En sådan särskild författning bör inte vara utformad så att den hindrar den ansvarige att behandla personuppgifter för andra ändamål. Författningen kan därför inte uttömmande ange när och hur ett visst subjekt får behandla personuppgifter. Det skulle strida mot grunderna för persondatalagen, enligt vilken tillstånd till behandling av personuppgifter inte krävs. Den sär- skilda författningen skulle behöva ändras varje gång vederbörande behövde behandla person- uppgifter för andra ändamål än de ursprungligen angivna, även om behandlingen var tillåten enligt persondatalagens bestämmelser och även om en särskild reglering av den nya behand- lingen annars inte var påkallad. En särskild lag om behandling av personuppgifter om totalförsvarspliktiga bör endast reglera vad som skall gälla vid den behandling av uppgifterna som sker för vissa i lagen an- givna ändamål. Tillämpningsområdet för lagen bör därför knytas till dessa så att det framgår att lagen bara gäller vid behandling för dem. Vidare bör det framgå att av personuppgifter skall anses ha skett för de i lagen angivna ändamålen om inget annat ut- tryckligen uppgivits vid denna insamling. Detta för att tydligt visa att behandling för andra ändamål än dem som anges i lagen är tillåten, men endast om vid insamlingen av uppgifterna angett att de skall användas för dessa andra ändamål. Vilka ändamål lagen om behandling av personuppgifter om totalförsvarspliktiga bör avse och hur dessa skall uttryckas behandlas i avsnitt 11.2. 10.4 Behandling som faller utanför tillämpningsområdet Sammanfattningsvis föreslår vi att lagen om behandling av personuppgifter om totalförsvarspliktiga skall tillämpas i verksamhet för vissa i lagen angivna ända- mål, under förutsättning att behandlingen är helt eller delvis automatisk eller att personuppgifte- rna ingår i eller är avsedda att ingå i ett register. Skälen har redovisats ovan i avsnitt 10.1 10.3. Det är viktigt att lagens tillämpningsområde är klart och tydligt angivet. Övergången från ett invant system med regler om ADB-register och tillståndsgivning till ett med övergri- pande regler om behandling av personuppgifter är inte okomplicerat. Det kan därför vara på sin plats med ett ytterligare förtydligande av vad vi avser reglera med den nya lagen. Vad som sägs i detta avsnitt följer i huvudsak redan av de tidigare avsnitten i detta kapitel. Här redovi- sar vi andra sidan av myntet genom att ange vad som inte avses falla under lagens tillämp- ningsområde samt berör kort vad som då gäller i stället. (Här finns anledning att erinra om att persondatalagens bestämmelser så som förslaget till den lagen är utformat skall gälla vid behandling av personuppgifter om inte annat följer av lag eller annan författning, se ovan avsnitt 9.2.) Lagen om behandling av personuppgifter om totalförsvarspliktiga gäller inte be- handling av personuppgifter som inte ingår och inte heller är avsedda att ingå i ett register. Lagens tillämpningsområde följer i det här avseendet persondatalagens bestämmelser om vilka behandlingsåtgärder som omfattas. För del torde det vara mycket få behandlingar av personuppgifter som kommer att falla utanför de bägge lagarnas tillämpningsområden på grund av den här begränsningen. I princip är alla uppgifter som inhämtas från den enskilde själv och från andra myndigheter m.fl. ämnade för registret över totalförsvarspliktiga. I den mån uppgifterna, på grund av föreskrifter om vilka uppgifter som får tas in i registret (se nedan avsnitt 12.2), inte kan antecknas där, ankommer det på att ta ställning till om uppgiften skall behandlas helt manuellt utanför registerverksamheten, så att vare sig persondata- lagen eller lagen om behandling av personuppgifter om totalförsvarspliktiga blir tillämplig, eller om uppgiften t.ex. genom att tas in i ett manuellt register, skall underkastas viss del av regleringen i dessa lagar. Som utvecklats i avsnitt 10.2 föreslås att lagen om behandling av personuppgifter om totalförsvarspliktiga i princip endast skall gälla sådana behandlingar som utförs i verksamhet. Myndigheter m.fl. som lämnar personuppgifter till eller tar emot personuppgifter från är underkastade persondatalagens bestämmelser, men inte vad som föreskrivs i den särskilda lagen om behandling av personuppgifter om totalförsvarspliktiga (se dock av- snitt 12.3 vad gäller möjligheter för dem som lämnar uppgifter till att göra detta genom att lägga in uppgifterna direkt i register). Mottagande myndigheters möj- ligheter att behandla uppgifterna begränsas dock indirekt genom vad denna lag föreskriver, dels om ändamålen med behandlingen (eftersom behandling inte får ske för ändamål som är oförenliga med dem för vilka uppgifterna en gång insamlades) dels om sättet för utlämnande (skall mottagaren ha direkt åtkomst via egen terminal? Lagen gäller endast behandling av personuppgifter om totalförsvarspliktiga och med dessa enligt lagen jämställda personer i denna deras egenskap. eventuella be- handling av uppgifter om andra personer eller beträffande personer som i och för sig är totalförsvarspliktiga men där behandlingen inte grundas på detta förhållande, faller utanför lagens tillämpningsområde. Som exempel kan nämnas sådan registrering av krigsfångar som skall sköta under krigsförhållanden och eventuell behandling av uppgifter om den egna personalen, t.ex. för löneutbetalningar. Fråga har uppkommit om behovet i vissa fall att registrera uppgifter om anhöriga till totalförsvarspliktiga. Våra överväganden i denna del återfinns i avsnitt 12.2.2. Här skall bara framhållas att även en uppgift om att den totalförsvarspliktige har en relation till en annan person är att anse som en personuppgift om den totalförsvarspliktige. Att uppgiften dessutom utgör en personuppgift om en annan person den anhörige innebär inte att behandlingen faller utanför tillämpningsområdet för lagen. Lagen gäller vidare endast då personuppgifter om totalförsvarspliktiga behandlas för vissa ändamål som också skall anges i lagen. kan samla in och behandla uppgifter för andra ändamål så länge åtgärderna är förenliga med persondatalagens bestämmelser och så länge också anger dessa ändamål vid insamlingen. För sådan behandling gäller inte lagen om behandling av personuppgifter om totalförsvarspliktiga. Persondatalagen innehåller, enligt förslaget, vissa bestämmelser som begränsar den lagens tillämpningsområde, utöver vad som angetts ovan i avsnitt 10.1; Den gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur (6 §) och den gäller bara för sådana persondataansvariga som är etablerade i eller om den persondataansvarige är etablerad i tredje land om denne använder sig av utrustning som finns i för behandling av personuppgifter (4 §). Lagen om behandling av personuppgifter om totalförsvarspliktiga gäller enligt vårt förslag endast vid behandling för vissa ändamål i verksamhet. Härav följer att inte heller den av oss föreslagna lagen gäller i verksamhet av privat natur eller för någon med persondata- ansvar utanför riket. Bestämmelserna i persondatalagen gäller, med vissa undantag som avser säkerheten vid behandlingen av personuppgifter, inte för spridning av personuppgifter och andra förfaranden som är skyddade enligt tryckfrihetsförordningen eller yttrandefrihetsgrundlagen och inte hel- ler för annan behandling som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (7 §). Persondatalagens bestämmelser skall inte tillämpas i den utsträck- ning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter (offentlighetsprincipen) (8 §). Sådana behandlingsåtgärder som avses i 7 och 8 §§ i persondatalagen faller utanför tillämpning- sområdet för vårt lagförslag så som vi dragit upp gränserna för detta. I den mån det blir aktuellt för att behandla personuppgifter om totalförsvarspliktiga för ändamål som skyddas av principer om tryckfrihet, yttrandefrihet och offentlighet gäller tryckfrihetsförordning- ens, yttrandefrihetsgrundlagens och sekretesslagens bestämmelser och inte med de undan- tag som anges i 7 § i förslaget till persondatalag persondatalagen eller lagen om behandling av personuppgifter om totalförsvarspliktiga. 11Behandling av personuppgifter om totalförsvarspliktiga Avvikelser och preciseringar i förhållande till bestämmelserna i den föreslagna persondatalagen Som utvecklats ovan anser vi att en lag om behandling av personuppgifter om totalförsvarspliktiga i princip endast bör innehålla sådana preciseringar och undantag i förhål- lande till persondatalagens bestämmelser som motiveras av verksamheten. Vidare anser vi att det finns anledning att ge särskilda bestämmelser för behandlingen av personuppgifter i ADB- register över totalförsvarspliktiga, eftersom registrering med hjälp av ADB-teknik framstår som en särskilt riskfylld hantering av personuppgifter från integritetsskyddsynpunkt i vart fall då fråga är om en så stor mängd uppgifter av känslig karaktär som kommer att finnas i register. I detta kapitel redovisar vi de preciseringar av persondatalagsförslagets allmänt hållna bestämmelser och de avvikelser från förslaget som vi anser motiverade. I kapitel 12 redovisas våra överväganden vad gäller register över totalförsvarspliktiga. 11.2 Ändamålen med behandlingen Förslag: Ändamålen med behandling av personuppgifter om totalförsvarspliktiga formuleras med utgångspunkt i arbetsuppgifter och åligganden gentemot uppdrags- givarna inom totalförsvaret enligt följande. Lagen är tillämplig när ändamålen med behandlingen är: att ta fram underlag för beslut om inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret, att redovisa personal med uppgifter inom totalförsvaret, att säkerställa att den registrerade fortlöpande erhåller ändamålsenlig utbildning och lämp- lig placering inom totalförsvaret, att tillse att den registrerade fullgör sina skyldigheter såvitt avser totalförsvarsplikten, att tillgodose den registrerades rättigheter och trygghet i hans eller hennes egenskap av totalförsvarspliktig samt att planera, följa upp och utvärdera den verksamhet som nämnts. 11.2.1Pliktverkets behov av att behandla personuppgifter Bakgrund: I 10 § i förslaget till persondatalag anges när behandling av personuppgifter är tillåten. Enligt bestämmelsen får personuppgifter behandlas bara om den registrerade lämnat sitt samtycke till behandlingen eller när behandlingen är nödvändig a)för att fullgöra ett avtal med den registrerade, b)för att på den registrerades begäran vidta åtgärder innan ett avtal träffas, c)för att den persondataansvarige skall kunna fullgöra en rättslig skyldighet, d)för att skydda vitala intressen för den registrerade, e)för att utföra en arbetsuppgift av allmänt intresse, f)för att den persondataansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning eller g) för ändamål som rör ett berättigat intresse hos den persondataansvarige eller hos sådana tredje män till vilka personuppgifterna lämnas ut när detta intresse väger tyngre än den registrerades intresse. Om inte samtycke från den enskilde inhämtats måste något av de övergripande ändamål som anges i punkterna ag vara för handen för att det över huvud taget skall vara tillåtet att behandla personuppgifter med automatik, eller manuellt om personuppgifterna ingår i eller är avsedda att ingå i ett register. Den persondataansvarige skall själv ange konkreta ändamål för sin behandling av personuppgifterna. I 9 § första stycket c beskrivs detta så att den persondataansvarige skall se till att personuppgifter ...samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål,... Enligt (, avsnitt 12.4.3) innebär kravet på att ändamålen skall vara särskilda att en alltför allmänt hållen ändamålsangivelse inte god- tas. Att ändamålen skall vara berättigade torde, enligt , inte innebära nå- got annat än att ändamålen skall hålla sig inom de ramar persondatalagen och anknytande lagstiftning anvisar. Det finns inget krav på att ändamålen skall nedtecknas av den persondata- ansvarige. Ändamålen med behandlingen så som de angivits av den persondataansvarige sätter grän- ser för hur uppgifterna får behandlas sedan de samlats in. I 9 § persondatalagen anges de grundläggande kraven på behandlingen av personuppgifter. Enligt detta lagrum skall den persondataansvarige bl.a. se till d)att personuppgifter inte behandlas för något ändamål som är oförenligt med de för vilka uppgifterna samlades in, e)att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, f)att inte flera personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen h)att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga, missvisande eller ofullständiga med hänsyn till ändamålen med behandlingen och i)att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Överväganden: Lagen om behandling av personuppgifter om totalförsvarspliktiga skall tillämpas i viss av bedriven verksamhet. De ändamål som denna verksamhet skall tjäna bör anges i lagen. Ändamålen bestämmer i visst avseende lagens tillämpningsområde (se ovan avsnitt 10.3) och gör att de ovan redovisade bestämmelserna i persondatalagens 9 § går att tillämpa. Våra förslag förutsätter att ändamålen är givna och det kan därför inte överlåtas åt eller annan att uttrycka dessa. För att uppfylla persondatalagens krav på att ändamålen skall vara särskilda måste de vara preciserade. bör de inte vara så skräddarsydda till rutinerna att de hindrar varje förändring av verksamheten. En lösning, som innebär att ändamålen formuleras med utgångspunkt i de uppgifter som det åligger att utföra, är enligt vår bedömning lämplig. Metoden innebär att ändamålen anges på ett heltäckande sätt och att detaljerings- nivån blir rimlig. Det är viktigt att de ändamål som uttrycks i lagtexten är tillräckliga och omfattar såväl de uppgifter som skall dvs. är skyldiga att utföra, som sådana uppgifter som efter begäran från organ inom totalförsvaret skall kunna dvs.