sou · H5B397 · 2017-12-08 00:00:00 — Med administrativ verksamhet avses t.ex. anställning och avlöning av personal, lokalfrågor, faktura- hantering och liknande administrativa göromål hos myndigheten. Den civila uppdragsverksamheten omfattar uppdrag som Rekry- teringsmyndigheten inom sakområdet åtar sig att utföra åt andra myndigheter, kommuner, landsting och enskilda, exempelvis upp- drag om rekrytering åt , Kriminalvården eller Myndigheten för samhällsskydd och beredskap. Även behandling av personuppgifter om rekryter som genomgår utbildning enligt förordningen (2015:613) om militär grundutbildning faller utanför lagens tillämpningsområde. Detsamma gäller sådan behandling av personuppgifter om totalförsvarspliktiga som bemanningsansvariga organ utför. Behandling av personuppgifter inom viss annan verk- samhet faller också utanför lagens tillämpningsområde på grund av hur tillämpningsområdet för dataskyddsförordningen respektive den kompletterande dataskyddslagen har bestämts. I andra stycket anges att i de fall det anges särskilt gäller lagen även i verksamhet som bedrivs av någon annan än Rekryterings- myndigheten. Här avses i första hand 9 § andra stycket som ger annan än rätt att behandla känsliga per- sonuppgifter enligt lagen vid annan utredning om den totalförsvars- pliktiges personliga förhållanden enligt 2 kap. 1 § lagen (1994:1809) om totalförsvarsplikt. I 4 kap. 5 § andra stycket förordningen (1995:238) om totalförsvarsplikt anges uttömmande vilka aktörer som har så- dan rätt. Därtill kan Försvarsmakten medges rätt att föra in och rätta personuppgifter i informations- system (14 § första stycket). Även annan aktör än Försvarsmakten kan medges en sådan rätt (14 § andra stycket). Tredje stycket innehåller en upplysning om att patientdatalagen tillämpas när sådan behandling av personuppgifter som avses i första stycket utförs av i egenskap av vårdgiva- re inom hälso- och sjukvården. Genom bestämmelsen erinras om att vårdgivares behandling av personuppgifter inom hälso- och sjuk- vården, dvs. sådan personuppgiftsbehandling som utförs i Rekry- teringsmyndighetens medicinska verksamhet, omfattas av patient- datalagen och faller därmed utanför denna lags tillämpningsområde. 3 § Lagen tillämpas vid sådan behandling av personuppgifter som är helt eller delvis automatisk. Lagen gäller även för annan behandling av personuppgifter som ingår i eller kommer att ingå i en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier. I paragrafen anges vilken typ av personuppgiftsbehandling som regleras av lagen. Övervägandena finns i avsnitt 7.3.4. Paragrafen begränsar lagens tillämpningsområde genom att det klargörs att inte all slags behandling av personuppgifter omfattas av tillämpningsområdet. Det krävs att behandlingen är helt eller delvis automatisk eller ingår i eller kommer att ingå i en strukturerad sam- ling av personuppgifter som är tillgänglig enligt särskilda kriterier. Rekvisiten är desamma som i artikel 2.1 i dataskyddsförordningen och ska ha motsvarande innebörd (jfr artikel 4 i dataskyddsförord- ningen). Helt behandling av personuppgifter som inte in- går i ett register eller annan samling som är tillgänglig för sökning faller därmed utanför lagens tillämpningsområde. Förhållandet till annan dataskyddsreglering 4 § Lagen (2018:xx) med kompletterande bestämmelser till EU:s data- skyddsförordning (dataskyddslagen) gäller vid behandling av person- uppgifter i verksamhet, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen. Vad som anges i första stycket innebär att denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. Paragrafen reglerar förhållandet mellan lagens bestämmelser om per- sonuppgiftsbehandling och andra dataskyddsbestämmelser. I para- grafen anges inledningsvis lagens relation till den generella data- skyddslag som har föreslagit i sitt betänk- ande Ny dataskyddslag. Kompletterande bestämmelser till EU:s data- skyddsförordning (SOU 2017:39). Dataskyddslagen avser att komplet- tera dataskyddsförordningen på nationell generell nivå. Paragrafen innehåller även en upplysning om lagens förhållande till dataskydds- förordningen. Övervägandena finns i avsnitt 6.2.6. Första stycket uttrycker förhållandet mellan dataskyddslagen och denna lag. Av 1 kap. 3 § dataskyddslagen följer att om en annan lag eller en förordning innehåller någon bestämmelse som rör behand- ling av personuppgifter och som avviker från den lagen tillämpas den bestämmelsen. Bestämmelsen i första stycket innebär att data- skyddslagen gäller vid behandling av personuppgifter i Rekryter- ingsmyndighetens verksamhet. En förutsättning är dock att inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen. Dataskyddslagen är således subsidiär i förhållande till denna lag eller föreskrifter som har meddelats med stöd av lagen. Andra stycket innehåller en upplysning om att denna lag, till följd av bestämmelserna i dataskyddslagen, kompletterar dataskydds- förordningen. Enligt 1 kap. 2 § dataskyddslagen ska bestämmel- serna i dataskyddsförordningen, i den ursprungliga lydelsen, och i dataskyddslagen i tillämpliga delar gälla även vid behandling av per- sonuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten och i verksamhet som omfattas av avdelning V kapitel 2 i fördraget om Europeiska unionen. Bestämmelsen inne- bär att förordningens bestämmelser gäller som svensk rätt vid per- sonuppgiftsbehandling som utförs i sådan verksamhet som enligt artikel 2.2 a och 2.2 b i dataskyddsförordningen är undantagen från förordningens tillämpningsområde. Förordningens bestämmelser gäller alltså även vid personuppgiftsbehandling som utförs som ett led i en verksamhet som inte omfattas av unionsrätten, bl.a. verk- samhet som rör nationell säkerhet och försvar. Någon avvikande bestämmelse föreslås inte i denna lag. Till följd av 1 kap. 2 § data- skyddslagen blir dataskyddsförordningen, i tillämpliga delar, direkt tillämplig vid behandling av personuppgifter i Rekryteringsmyndig- hetens verksamhet. Begränsningen av dataskyddsförordningens generella tillämplighet genom uttrycket ”tillämpliga delar” i 1 kap. 2 § dataskyddslagen innebär att vissa bestämmelser i dataskyddsförordningen inte kan tillämpas i rent nationell verksamhet och därmed inte heller av eller Datainspektionen i egenskap av natio- Förordningens bestämmelser i kapitel VII om tillsynsmyndigheternas skyldighet att samarbeta med varandra kan inte bli tillämpliga. Detsamma gäller bestämmelserna i kapi- tel X om kommissionens befogenhet att anta delegerade akter. I denna lag föreskrivs också särskilt att dataskyddsförordningens och dataskyddslagens bestämmelser i vissa avseenden inte ska gälla vid behandling av personuppgifter enligt lagen, se kommentaren till 5 §. Vilka bestämmelser som i övrigt kan komma att falla utanför förordningens egentliga tillämpningsområde får avgöras i rättstillämpningen. Förutom något enstaka undantag innehåller lagen inte några termer och uttryck som avviker från de som används i dataskyddsförord- ningen och dataskyddslagen utan de ska förstås på samma sätt. Det innebär bl.a. att definitionerna i artikel 4 i dataskyddsförordningen gäller vid tillämpning av lagen (jfr 1 kap. 1 § andra stycket data- skyddslagen). 5 § Vid behandling enligt denna lag eller föreskrifter som har meddelats med stöd av lagen gäller inte följande bestämmelser i dataskyddsför- ordningen och dataskyddslagen: 1.artikel 21.1 i dataskyddsförordningen om rätt att göra invänd- ningar, 2.artikel 33 i dataskyddsförordningen om anmälan av en person- uppgiftsincident till tillsynsmyndigheten, 3.artikel 34 i dataskyddsförordningen om information till den regi- strerade om en personuppgiftsincident, och 4.artikel 58.2 f i dataskyddsförordningen och 6 kap. 1 § dataskydds- lagen om tillsynsmyndighetens befogenhet att införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling. Paragrafen reglerar dataskyddsförordningens tillämplighet i fråga om rätten att göra invändningar samt anmälan av personuppgiftsinci- denter till tillsynsmyndigheten och information till den registrerade med anledning härav. Paragrafen reglerar också dataskyddsförord- ningens och dataskyddslagens tillämplighet i fråga om tillsyns- myndighetens befogenhet att förbjuda behandling av personuppgifter. Övervägandena finns i avsnitt 9.10.4, 9.12.5 och 9.13.3. Första stycket 1 innebär att dataskyddsförordningens bestämmelse om den registrerades rätt att göra invändningar mot behandling av personuppgifter inte gäller vid behandling enligt denna lag eller föreskrifter som har meddelats med stöd av lagen. Första stycket 2 och 3 innebär att inte heller bestämmelserna i dataskyddsförordningen om anmälan av en personuppgiftsincident till tillsynsmyndigheten och information till den registrerade i samband därmed gäller vid behandling enligt denna lag eller föreskrifter som har meddelats med stöd av lagen. behandling av personuppgifter om totalförsvarspliktiga är nödvändig för att totalförsvarets personalför- sörjning ska kunna upprätthållas. Genom första stycket 4 undantas därför behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret från tillsynsmyndighetens befogenhet enligt artikel 58.2 f i dataskydds- förordningen och 6 kap. 1 § dataskyddslagen att förbjuda behand- ling. I övrigt ska bestämmelserna om tillsynsmyndighetens befogen- heter i dataskyddsförordningen och dataskyddslagen tillämpas vid behandling av personuppgifter om total- försvarspliktiga och annan personal inom totalförsvaret. 6 § ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. I paragrafen regleras vem som ska vara personuppgiftsansvarig för behandlingen av personuppgifter. Övervägandena finns i avsnitt 7.4.3. Av definitionen i artikel 4.7 i dataskyddsförordningen framgår att personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsam- mans med andra bestämmer ändamålen och medlen för behand- lingen av personuppgifter. Om ändamålen och medlen för behand- lingen bestäms av unionsrätten eller medlemsstaternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlems- staternas nationella rätt. Det är således tillåtet enligt dataskydds- förordningen att i nationell lagstiftning peka ut vem som är person- uppgiftsansvarig. I bestämmelsen anges att ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Bestämmelsen klargör för de registrerade vem som ska hållas ansvarig för behandlingen av personuppgifter enligt lagen. Bestämmelsen innebär att ansvarar för den personuppgiftsbehandling som sker inom ramen för myn- dighetens verksamhet. Bestämmelsen utesluter emellertid inte att kan ha ett med andra aktörer, t.ex. myn- digheter, gemensamt personuppgiftsansvar. 7 § Personuppgifter får behandlas om det behövs för att 1.ta fram underlag för beslut om mönstring, inskrivning, krigs- placering eller annat ianspråktagande av personal till totalförsvaret, 2.redovisa personal med uppgifter inom totalförsvaret, 3.säkerställa att den registrerade fortlöpande får ändamålsenlig ut- bildning och lämplig placering inom totalförsvaret, 4.se till att den registrerade fullgör sina skyldigheter i fråga om totalförsvarsplikten, 5.tillgodose den registrerades rättigheter och trygghet i egenskap av totalförsvarspliktig, 6.fullgöra serviceskyldighet gentemot be- manningsansvariga organ inom totalförsvaret, och 7.planera, följa upp och utvärdera den verksamhet som anges i 1–6. Paragrafen reglerar de primära ändamålen, dvs. de ändamål för vilka personuppgifter får behandlas i verksam- het. De uppräknade ändamålen i punkterna 1–7 är uttömmande och motsvarar de centrala delarna i verk- samhet. Övervägandena och en närmare beskrivning av ändamålen finns i avsnitt 8.1.2 och 8.2.3. En första förutsättning för att ska få behandla personuppgifter är att behandlingen vilar på en rättslig grund. I artikel 6.1 i dataskyddsförordningen finns en uttömmande uppräkning av de rättsliga grunderna. ter får inte utföras om inte minst ett av de uppräknade villkoren är uppfyllt. Flera rättsliga grunder kan också vara tillämpliga för en och samma behandling. Behandling av personuppgifter för de i lagen angivna ändamålen kan i teorin grundas på vilken som helst av punkterna i artikel 6.1 c och e i dataskyddsförordningen. Framför allt torde dock den rättsliga grunden allmänt intresse (punkten e) bli tillämplig. Utöver att det finns en rättslig grund för behandlingen enligt artikel 6.1 c och e krävs att den rättsliga grunden är fastställd i unionsrätten eller nationell rätt (artikel 6.3 första stycket). Den rättsliga grunden för behandling av per- sonuppgifter finns fastställd i förordningen (2010:1472) med in- struktion för Totalförsvarets rekryteringsmyndighet (myndighets- instruktionen). De primära ändamålen syftar till att precisera den rättsliga grunden för behandlingen. Artikel 6.3 andra stycket i dataskydds- förordningen medger ändamålsbegränsningar i förhållande till den rättsliga grunden. De primära ändamålen kan inordnas under den rättsliga grund som tillåter att en behandling av personuppgifter sker, dvs. uppdrag så som det är formu- lerat i myndighetsinstruktionen. behand- ling av personuppgifter för de uppräknade ändamålen är således förenlig med de grundläggande rättsliga förutsättningarna för be- handlingen. För att en enskild behandling ska vara tillåten är det emellertid inte tillräckligt att den har sin grund i uppdrag så som det är formulerat i myndighetsinstruktionen och kan inordnas under något av de vitt formulerade primära ändamålen för myndighetens behandling. Därtill måste den enskilda behand- lingen uppfylla de grundläggande principerna i artikel 5 i dataskydds- förordningen som bl.a. innebär att varje sådan behandling måste vara förenlig med särskilda, uttryckligt angivna och berättigade ända- mål. 8 § Personuppgifter som behandlas enligt 7 § får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Paragrafen reglerar för vilka sekundära ändamål som personupp- gifter får behandlas i verksamhet. Behand- ling enligt denna bestämmelse förutsätter att uppgifterna har sam- lats in för något primärt ändamål som följer av 7 §. Bestämmelsen utgör således inte något stöd för att samla in personuppgifter enbart i syfte att behandla dem enligt denna paragraf. Övervägandena finns i avsnitt 8.2.4. Av bestämmelsen framgår att personuppgifter som behandlas enligt 7 § också får behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Ett uppgiftsläm- nande kan ske av olika anledningar. I vissa fall sker utlämnandet på grund av en skyldighet att lämna uppgifter till vissa myndigheter enligt olika författningar. I andra fall är myndigheterna enligt lag eller förordning skyldiga att på begäran lämna ut uppgifter till andra. Vidare finns det ett antal författningar med bestämmelser som medger att uppgifter får lämnas ut utan att det finns någon uttryck- lig skyldighet att göra det. Det kan exempelvis vara fråga om en åtgärd som vidtas för att fullgöra serviceskyldigheten gentemot enskilda enligt 4 § förvaltningslagen (1986:223). Ett annat exempel är 10 kap. 27 § offentlighets- och sekretesslagen som innebär att en sekretessbelagd uppgift får lämnas till en annan myndighet, om det är uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda. Behandling av känsliga personuppgifter 9 § Utöver vad som följer av 3 kap. dataskyddslagen får känsliga person- uppgifter behandlas om det är absolut nödvändigt för de ändamål som anges i 7 och 8 §§. Vad som anges i första stycket gäller även vid annan utredning om den totalförsvarspliktiges personliga förhållanden som enligt 2 kap. 1 § lagen (1994:1809) om totalförsvarsplikt utförs av annan än Rekryterings- myndigheten. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter som begränsar användningen av känsliga person- uppgifter. Paragrafen reglerar när känsliga personuppgifter får behandlas. Med känsliga personuppgifter avses samtliga kategorier av personuppgif- ter som anges i artikel 9.1 i dataskyddsförordningen och som där benämns särskilda kategorier av personuppgifter. Övervägandena finns i avsnitt 9.3.3. Av första stycket följer att känsliga personuppgifter, utöver vad som följer av 3 kap. dataskyddslagen, får behandlas för de ändamål som avses i 7 och 8 §§ om det är absolut nödvändigt. De grundlägg- ande bestämmelserna om när känsliga personuppgifter får behand- las regleras i artikel 9.2 i dataskyddsförordningen. Genom 3 kap. 1 och 3 §§ dataskyddslagen ges stöd för ytterligare behandling av känsliga personuppgifter på myndighetsområdet. Bestämmelsen i denna lag tillåter att känsliga personuppgifter därutöver får behand- las om det är absolut nödvändigt för de ändamål som gäller för myndighetens behandling. Behandling av känsliga personuppgifter är tillåten för samtliga primära ändamål i 7 § och sekundära ända- mål i 8 §. Syftet med begränsningen att behandlingen ska vara absolut nödvändig är att markera att behandlingen av känsliga per- sonuppgifter bör ske med försiktighet och aldrig slentrianmässigt. Rekvisitet innebär emellertid inte att känsliga personuppgifter endast får behandlas i undantagsfall. verksam- het kräver regelmässigt att vissa typer av känsliga personuppgifter kan behandlas, exempelvis uppgifter om hälsa. Genom kravet på absolut nödvändighet markeras dock att behandlingen ska ske med restriktivitet och att behovet av att behandla den känsliga person- uppgiften ska prövas noga i det enskilda fallet. En sådan prövning ska inte bara göras när uppgiften samlas in eller behandlas utan även vid senare behandling av redan insamlade uppgifter. Det bör noteras att en tillåten behandling av känsliga person- uppgifter förutsätter att behandlingen är tillåten enligt de grund- läggande principerna i artikel 5 i dataskyddsförordningen. Det kan alltså förutsättas att det aldrig blir aktuellt att behandla vissa typer av känsliga personuppgifter, såsom ras, etniskt ursprung, politiska åsikter eller medlemskap i fackförening, eftersom sådana uppgifter över huvud taget inte är relevanta för den uppgift som Rekryterings- myndigheten har att utföra. I andra stycket anges att motsvarande ska gälla vid annan utred- ning om den totalförsvarspliktiges personliga förhållanden som enligt 2 kap. 1 § lagen om totalförsvarsplikt utförs av annan än Rekryterings- myndigheten. Annan utredning innebär att en totalförsvarspliktig är skyldig att, på begäran av , en annan statlig myndighet som regeringen bestämmer, en kommun eller ett landsting, skriftligen eller muntligen eller, om det behövs, vid en personlig inställelse lämna nödvändiga uppgifter om hälsotillstånd, utbildning, arbete och personliga förhållanden i övrigt. Såväl För- svarsmakten som andra myndigheter m.fl. har i samband med annan utredning ett berättigat behov av att behandla känsliga personupp- gifter i större omfattning än vad dataskyddslagens undantag med- ger. Dessa aktörer ges därför vid sådan behandling en motsvarande rätt att behandla känsliga personuppgifter som den Rekryterings- myndigheten har. I tredje stycket finns en upplysningsbestämmelse om att reger- ingen kan meddela ytterligare föreskrifter om begränsning av använd- ningen av känsliga personuppgifter. 10 § Tillgången till personuppgifter ska begränsas till vad varje an- ställd behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om hur tillgången till personuppgifter ska begränsas. Paragrafen reglerar den interna tillgången till personuppgifter för personal som arbetar vid . Övervägan- dena finns i avsnitt 9.6.1. I första stycket slås fast att tillgången till personuppgifter hos ska begränsas till vad varje anställd be- höver för att kunna fullgöra sina arbetsuppgifter. Bestämmelsen har sin grund i att risken för integritetsintrång minskar om endast en begränsad krets av anställda har tillgång till uppgifterna. Det är som avgör vilka uppgifter som respek- tive anställd behöver för att kunna fullgöra sina uppgifter. Rekry- teringsmyndigheten ansvarar också för att myndighetens informa- tionssystem utformas så att det är möjligt att på ett ändamålsenligt sätt begränsa tillgången till information, t.ex. genom krav på be- hörighet, utbildning och lämplighet. I andra stycket finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer har möjlighet att meddela föreskrifter om hur tillgången till personuppgifter ska begränsas. 11 § Direktåtkomst till personuppgifter får medges 1.Försvarsmakten i den utsträckning som följer av föreskrifter som meddelats av regeringen, och 2.den registrerade själv. Direktåtkomst enligt första stycket 2 får endast avse personuppgifter i den registrerades ärende. Regeringen får meddela föreskrifter om att medge annan aktör direkt- åtkomst. Sådan direktåtkomst ska begränsas till de personuppgifter som aktören behöver för att fullgöra sina uppgifter enligt lag eller förord- ning och får endast avse vissa personuppgifter. I paragrafen anges vilka aktörer som får medges direktåtkomst till personuppgifter. Övervägandena finns i avsnitt 9.7.2. har i rättsfallet HFD 2015 ref. 61 uttalat att begreppet direktåtkomst ska tolkas med utgångspunkt från 2 kap. 3 § andra stycket tryckfrihetsförordningen. I rättsfallet slås fast att med direktåtkomst avses att en myndighet hos en annan myndighet har en sådan teknisk tillgång till den aktuella upptag- ningen som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen, dvs. att upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan avläsas, avlyssnas eller på annat sätt uppfattas. Avgörande för om direktåtkomst föreligger är således om upptag- ningen kan anses förvarad hos den mottagande myndigheten enligt tryckfrihetsförordningen. I bestämmelsen föreskrivs att direktåtkomst får medges. Det innebär att det är det den myndighet som avses lämna ut uppgifter genom direktåtkomst som avgör om direktåtkomst ska medges i praktiken. Det ankommer således på att avgöra om direktåtkomst faktiskt ska medges. Att bestämmelsen ger en möjlighet att medge direktåtkomst innebär således inte någon rätt för de angivna mottagarna att få sådan åtkomst. I första stycket 1 och 2 anges vilka aktörer som får medges direkt- åtkomst. Utöver Försvarsmakten kan direktåtkomst medges den registrerade själv. Omfattningen av den medgivna direktåtkomsten regleras för Försvarsmaktens del i föreskrifter som meddelas av regeringen. Av andra stycket följer att direktåtkomst för den registrerade själv endast får avse personuppgifter i den registrerades eget ärende. Det ska alltså vara frågan om personuppgifter som hänför sig till den registrerade själv. Det ankommer på att genom tillräckliga säkerhetsrutiner se till att personuppgifter genom direktåtkomsten inte lämnas ut till någon annan än den registrerade. I tredje stycket finns ett bemyndigande för regeringen att med- dela föreskrifter om att medge annan aktör direktåtkomst. Befogen- heten är begränsad såtillvida att direktåtkomsten endast får omfatta de personuppgifter som aktören i fråga behöver för att fullgöra sina uppgifter enligt lag eller förordning. Därtill får den medgivna direkt- åtkomsten endast avse vissa personuppgifter.