sou · H5B397 · 2017-12-08 00:00:00 — Därefter anges i 5 § att personupp- gifter som samlats in av myndigheten ska anses insamlade för de ändamål som anges i 1 § om inte myndigheten har uttryckt ett annat ändamål i samband med insamlingen av uppgifterna. Denna regleringsmetod innebär att ändamålsbestämmelsen i sig inte be- gränsar när en behandling kan anses tillåten enligt pliktregister- lagen utan det som avgör är om myndigheten har uttryckt något annat ändamål. Ändamålsbegränsningen står följaktligen inte ”på egna ben”. Resultatet blir en sammanblandning av lagens tillämp- ningsområde och ändamålsbestämmelser. Följden blir att ändamåls- bestämmelserna enbart specificerar tillämpningsområdet för lagen men inte begränsar vilken behandling som är tillåten inom ramen för lagen. Mot denna bakgrund är vår bedömning att den nya lagens tillämpningsområde ska regleras åtskilt från ändamålen med be- handlingen. Detta bör komma till tydligt uttryck i den nya regler- ingen. Utredningens förslag: Lagen ska tillämpas i Rekryteringsmyn- dighetens verksamhet vid behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret. I de fall det anges särskilt gäller lagen även i verksamhet som bedrivs av någon annan än . Vilka uppgifter i verksamhet bör omfattas? verksamhet regleras i första hand genom bestämmelserna i förordningen (2010:1472) med instruktion för Totalförsvarets rekryteringsmyndighet. Enligt 1 § i instruktionen har till uppgift att ansvara för att myn- digheter och andra som har bemanningsansvar inom totalförsvaret får stöd och service i frågor som avser bemanning med totalför- svarspliktiga som skrivs in för värnplikt eller civilplikt. Stöd och service ska lämnas även till de bemanningsansvariga i fråga om totalförsvarspliktigas tjänstgöring och om redovisning av annan personal inom totalförsvaret. På uppdrag av Försvarsmakten ska tillhandahålla urvalstester av dem som ansökt till militär utbildning inom Försvarsmakten. Myndigheten ska vidare utföra utredning om personliga förhållanden, mönstra, skriva in och krigsplacera totalförsvarspliktiga enligt lagen (1994:1809) om totalförsvarsplikt. Enligt 2 § i instruktionen ska särskilt ansvara för att information om vad lagen om totalförsvarsplikt innebär sprids till den som skriftligen lämnar uppgifter enligt 2 kap. 1 § lagen om totalförsvarsplikt. Det innebär att det är Rekryterings- myndighetens uppgift att informera alla 18-åringar om skyldigheten att lämna uppgifter om hälsa, utbildning och andra personliga för- hållanden i beredskapsunderlaget. Det är också Rekryteringsmyndig- heten som ska informera om skyldigheten att genomgå mönstring och skyldigheten att fullgöra grund- utbildning med värnplikt . Samtliga dessa uppgifter i verksam- het bör enligt vår bedömning, liksom tidigare, omfattas av den föreslagna lagens tillämpningsområde. Vilka personalkategorier bör omfattas? Nuvarande reglering omfattar behandling av personuppgifter om totalförsvarspliktiga i verksamhet (1 § pliktregisterlagen). Med totalförsvarspliktiga jämställs personer som har en skyldighet att fullgöra uppgift inom totalförsvaret vid höjd beredskap utan att skyldigheten grundar sig på totalförsvarsplikt (2 § pliktregisterlagen). Totalförsvarspliktiga är samtliga svenska medborgare – och de som utan att vara svenska medborgare är bosatta i – som är 16–(se avsnitt 4.1.1 för en närmare beskrivning av totalförsvarspliktens innebörd). Enligt instruktion ska myndigheten även redovisa annan personal inom totalförsvaret. Annan personal avser både anställd personal och avtalspersonal, vilket innebär att tjänstgöringsskyldigheten har sin grund i det anställningsavtal eller annat avtal som ingåtts med Försvarsmakten eller annan arbets- givare. Tjänstgöringen inom totalförsvaret grundar sig således på det ingångna avtalet och inte på totalförsvarsplikt. De som tjänst- gör inom totalförsvaret enligt anställningsavtal består av yrkesoffi- cerare, reservofficerare, kontinuerligt anställda eller tjänst- görande gruppbefäl, soldater och sjömän, tjänstgörande specia- lister, direktrekryterad personal för tjänstgöring i en internationell militär insats samt civila arbetstagare, exempelvis hälso- och sjuk- vårdspersonal, präster, jurister och tekniker. Personal som inte är anställda inom totalförsvaret utan har tecknat avtal om frivillig tjänst- i Försvarsmakten är bl.a. hemvärnsmän. Till annan personal inom totalförsvaret hör även personer med begränsade uppgifter, t.ex. enligt förfogandelagstiftningen, samt totalförsvarspliktiga som tjänst- gör med allmän tjänsteplikt. verksamhet förutsätter följaktligen även fortsättningsvis att myndigheten kan behandla personupp- gifter om både totalförsvarspliktiga och annan personal inom total- försvaret. Mot denna bakgrund är vårt förslag att lagens tillämp- ningsområde ska omfatta behandling av personuppgifter om såväl totalförsvarspliktiga som annan personal inom totalförsvaret. I särskilda registerförfattningar har det varit brukligt att reglera den aktuella författningens tillämpningsområde genom att specificera i vilken verksamhet som den berörda lagen ska tillämpas. pelvis fallet i polisdatalagen, kustbevakningsdatalagen och utlän- ningsdatalagen. När det gäller den nya lagen bör det framgå att dess tillämp- ningsområde endast tar sikte på verk- samhet i fråga om totalförsvarspliktiga och annan personal inom totalförsvaret och således inte myndighetens uppdragsverksamhet som avser rekrytering till civila myndigheter, exempelvis Polismyn- digheten och Kriminalvården. Det saknas skäl för att den särskilda reglering för behandling av personuppgifter som ges i lagen ska omfatta också den verksamheten. Vi gör därför bedömningen att det i författningstexten bör anges att lagens tillämpningsområde omfattar behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret. Däremot anser vi att det saknas skäl för att, såsom är fallet , i lagen uttryckligen begränsa tillämpningsområdet till att endast om- fatta behandling av uppgifter rörande, förutom totalförsvarspliktiga, personer som har en skyldighet att fullgöra uppgift inom totalför- svaret vid höjd beredskap. I vilka situationer det blir aktuellt att behandla uppgifter om dessa personkategorier regleras i de regelverk som styr verksamhet. Det behöver alltså inte framgå av den nya lagen. Bör andra myndigheter omfattas av lagens tillämpningsområde? Av 1 § första stycket 1 pliktregisterlagen framgår att lagen tillämpas vid behandling av personuppgifter om totalförsvarspliktiga i den verksamhet som bedriver för att ta fram underlag för beslut om inskrivning, krigsplacering eller annat ian- språktagande av personal till totalförsvaret. I bestämmelsens andra stycke anges att i de fall det anges särskilt gäller lagen även i verksamhet som bedrivs av någon annan än Rekryteringsmyndig- heten. En sådan bestämmelse har införts i 6 § andra stycket plikt- registerlagen där det föreskrivs att statliga myndigheter m.fl. får behandla känsliga personuppgifter om uppgifterna behövs för ut- redning om den totalförsvarspliktiges personliga förhållanden enligt 2 kap. 1 § lagen om totalförsvarsplikt. I 2 kap. 1 § lagen om totalförsvarsplikt anges att för att den totalförsvarspliktiges förut- sättningar att fullgöra värnplikt ska kunna utredas föreligger möj- lighet efter begäran från, förutom , annan statlig myndighet som regeringen bestämmer, en kommun eller ett landsting, att individen vid en personlig inställelse ska lämna nöd- vändiga uppgifter om hälsotillstånd, utbildning, arbete och person- liga förhållanden i övrigt. Regeringen har föreskrivit att en totalför- svarspliktig är skyldig att lämna uppgifter om hälsotillstånd, utbild- ning, arbete och personliga förhållanden i övrigt på begäran av en länsstyrelse, , Säkerhetspolisen, Försvarsmakten, , , Transportstyrelsen, Statens jord- bruksverk, , och Affärs- verket (4 kap. 5 § andra stycket förordningen [1995:238] om totalförsvarsplikt). På grundval av de inlämnade upp- gifterna kan annan utredning utföras hos samtliga av dessa myn- digheter. Vid annan utredning kan alltså de ovan angivna myndig- heterna samla in, behandla och registrera känsliga personuppgifter om den totalförsvarspliktige med stöd av pliktregisterlagen. Enligt 13 § pliktregisterlagen får regeringen meddela föreskrifter om att annan än får föra in personupp- gifter i det automatiserade registret över totalförsvarspliktiga och rätta dessa. Enligt 3 § och bilaga 2 i förordningen om behandling av personuppgifter om totalförsvarspliktiga får , Arbetsförmedlingen, Försvarsmakten, kommuner, lands- ting, Myndigheten för samhällsskydd och beredskap, Polismyndig- heten, , , , , och föra in och rätta vissa upp- gifter i registret över totalförsvarspliktiga. Av det anförda följer att när dessa myndigheter m.fl. behandlar känsliga personuppgifter i samband med annan utredning eller för in och rättar vissa uppgifter i registret över totalförsvarspliktiga, omfattas behandlingen av pliktregisterlagen. Någon anledning till att inskränka eller utvidga den krets av myndigheter m.fl. som i vissa avseenden ska tillämpa den nya lagen i förhållande till vad som gäller enligt nuvarande reglering har inte kommit fram. Vi åter- kommer i avsnitt 9.3.3 och 9.9.2 till i vilka fall den nya lagen ska omfatta verksamhet som bedrivs av någon annan än Rekryterings- myndigheten. 7.3.4Vilken personuppgiftsbehandling bör omfattas av lagens tillämpningsområde? Nästa fråga rörande tillämpningsområdet är vilken slags personupp- giftsbehandling som ska omfattas av den nya regleringen. Nedan följer en kort beskrivning av gällande rätt och relevanta delar i EU:s dataskyddsförordning och den kompletterande dataskyddslagen. Avsnittet avslutas med en redogörelse för våra överväganden och förslag. Enligt 1 § tredje stycket pliktregisterlagen gäller lagen endast om behandlingen är helt eller delvis automatiserad eller om person- uppgifter ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (jfr 3 § personuppgiftslagen). Vid pliktregisterlagens tillkomst ansågs ett utvidgat integritets- skydd vara påkallat vid behandlingen av personuppgifter om total- försvarspliktiga. I lagen anges därför uttryckligen att den endast gäller för sådan behandling som är helt eller delvis automatiserad samt för annan behandling om uppgifterna ingår i eller är avsedda att ingå i ett register. Avgränsningen av tillämpningsområdet ansågs vara så central att en upprepning var att föredra framför en hän- visning till personuppgiftslagen (prop. 1997/98:80, s. 28 f.) I likhet med personuppgiftslagen används dock i lagen inte begreppet register utan en modifierad formulering av dataskyddsdirektivets definition av ett register, nämligen en strukturerad samling av per- sonuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Dataskyddsförordningen kommer att gälla för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1). Ett register defi- nieras som en strukturerad samling av personuppgifter som är till- gänglig enligt särskilda kriterier, oavsett om samlingen är centrali- serad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden (artikel 4.6). Med personuppgifter avses varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en iden- tifierare som ett namn, ett identifikationsnummer, en lokaliserings- uppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet (artikel 4.1). Dataskyddsförordningen hindrar inte att medlemsstaterna fritt bestämmer tillämpningsområdet för nationell lagstiftning som kompletterar dataskyddsförordningen. Frågor som ligger utanför dataskyddsförordningens tillämpningsområde kan således regleras i en författning som kompletterar dataskyddsförordningen. En sådan författning behöver inte heller reglera alla typer av behandling eller personuppgifter som dataskyddsförordningen reglerar. Det innebär att den nationella registerlagstiftningen för den verksamhet som regleras kan ha ett vidare eller snävare tillämpningsområde än data- skyddsförordningen och t.ex. omfatta sådan behandling som inte omfattas av dataskyddsförordningen samt uppgifter om avlidna personer. har genom sitt förslag till ny dataskydds- lag med tillhörande förordning samlat generella bestämmelser om behandling av personuppgifter avsedda att komplettera dataskydds- förordningen. Dataskyddslagen ska, i enlighet med dataskydds- förordningen, tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register såsom definierat i dataskyddsförordningen. Någon skill- nad mot tidigare gällande ordning enligt personuppgiftslagen är således inte avsedd. Vidare kommer bestämmelserna i dataskydds- förordningen och dataskyddslagen i tillämpliga delar gälla även vid behandling av personuppgifter som faller utanför dataskyddsförord- ningens tillämpningsområde. Det innebär att behandling av person- uppgifter om totalförsvarspliktiga och annan personal inom totalför- svaret kommer att omfattas av dataskyddslagens tillämpningsområde (se avsnitt 6.2.5 och 6.2.6). Våra överväganden och förslag Utredningens förslag: Lagen ska – i likhet med dataskydds- förordningen och dataskyddslagen – tillämpas vid sådan behand- ling av personuppgifter som är helt eller delvis automatisk. Lagen gäller även för annan behandling av personuppgifter som ingår i eller kommer att ingå i en strukturerad samling av personupp- gifter som är tillgänglig enligt särskilda kriterier. Särskilda registerförfattningar omfattar i princip samma slags be- handling och personuppgifter som enligt dataskyddsdirektivet och personuppgiftslagen. Befintliga registerförfattningar har således i detta avseende i allmänhet samma tillämpningsområde som person- uppgiftslagen. Något tungt vägande skäl till varför den nya lagen skulle avvika från en sådan ordning finns inte. En lag som, liksom tidigare, reglerar all automatisk behandling av personuppgifter inom Rekryterings- myndighetens verksamhetsområde överensstämmer också med regel- systemet i dataskyddsförordningen och den föreslagna dataskydds- lagen (jfr kapitel 6). På de skäl som redovisats i avsnitt 6.2.6 anser vi att regleringen av behandling av per- sonuppgifter bör följa dataskyddslagens bestämmelser med undantag för de fall avvikelser är befogade på grund av verksamhetens särskilda karaktär. Enligt vår uppfattning bör den nya lagen således omfatta sådan behandling av personuppgifter som avses i den föreslagna dataskyddslagen. Eftersom denna avgränsning av tillämpnings- området är så central för regleringen bör en upprepning göras i den nya lagen om att den, liksom tidigare, omfattar all behandling av personuppgifter som sker helt eller delvis automatiskt samt manuellt i register. Lagen ska således tillämpas vid sådan behandling av personupp- gifter i verksamhet som är helt eller del- vis automatisk. Lagen ska gälla även för annan behandling av person- uppgifter som ingår i eller kommer att ingå i en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier. innebär att även behandling av personuppgifter omfattas av lagens tillämpningsområde under förutsättning att uppgifterna ingår i ett register såsom det definieras i dataskyddsförordningen. Den nya lagens tillämpningsområde kommer således inte att utvidgas i förhål- lande till vad som gäller . 7.3.5Vilken personuppgiftsbehandling faller utanför lagens tillämpningsområde? Utredningens förslag: Vid sådan behandling av personuppgifter som i egenskap av vårdgivare utför inom hälso- och sjukvården tillämpas patientdatalagen. Lagen ska innehålla en upplysning om detta förhållande. Genom den begränsning av den nya lagens tillämpningsområde som föreslås ovan kommer viss behandling av personuppgifter hos Rek- ryteringsmyndigheten att falla utanför tillämpningsområdet. Det gäller de typer av behandlingar som redovisas i det följande. Som vid alla myndigheter finns hos behov av att behandla uppgifter för rent administrativa ändamål som inte har något samband med sådan verksamhet som avses i avsnitt 7.3.3 och som där föreslås omfattas av lagen. Det kan vara fråga om behandling av personuppgifter om anställda, arbetssök- ande eller leverantörer. Sådan personuppgiftsbehandling är att betrakta som intern administrativ verksamhet och faller som sådan utanför vårt uppdrag. Enligt vår bedömning finns det inte heller något behov av en särreglering för behandlingen av personuppgifter i administrativa verksamhet. Sådan per- sonuppgiftsbehandling föreslås således falla utanför lagens tillämp- ningsområde. För behandling av uppgifter som rör administrativa frågor blir i stället dataskyddsförordningen och den föreslagna dataskyddslagen tillämpliga fullt ut. Liksom tidigare bör den nya lagen inte gälla behandling av personuppgifter som inte ingår i eller är avsedda att ingå i ett register, dvs. en strukturerad samling av personuppgifter som är tillgängliga enligt särskilda kriterier. Den behandlingen av personuppgifter i verksamhet är dock mycket begränsad. I princip alla personuppgifter som myndigheten samlar in, oavsett om de inhämtas från totalförsvarspliktiga eller från andra myndigheter m.fl., hanteras i elektroniska informationssystem. Endast ett fåtal behandlingar av personuppgifter som utförs av torde där- igenom falla utanför lagens tillämpningsområde med anledning av denna begränsning. Behandling av personuppgifter om rekryter som genomgår utbild- ning enligt förordningen (2015:613) om militär grundutbildning faller också utanför lagens tillämpningsområde. Först när rekryterna anställs, krigsplaceras eller tecknar avtal om frivillig tjänstgöring inom totalförsvaret omfattas de av den föreslagna lagens tillämpnings- område. Det bör också erinras om att den personuppgiftsbehandling som utförs av hälso- och sjukvårdspersonal inom ramen för den medi- cinska och psykologiska verksamheten hos Rekryteringsmyndig- heten omfattas av patientdatalagen (2008:355). Patientdatalagen är tillämplig för personuppgiftsbehandling i all individinriktad patient- verksamhet som innefattar vård, undersökning eller behandling. Det är dock endast vårdgivares personuppgiftsbehandling inom hälso- och sjukvården som regleras av lagen (1 kap. 1 § patientdatalagen). Med vårdgivare avses – med ett undantag – en fysisk eller juridisk person som bedriver hälso- och sjukvård. Undantaget avser, enligt förarbetena till patientdatalagen, individinriktad hälso- och sjuk- vård som tillhandahålls av statliga myndigheter (prop. 2007/08:126, s. 49). Sådan hälso- och sjukvård bedrivs parallellt med annan verk- samhet som utgör myndighetens huvuduppgift. I förarbetena anges universitet, högskolor, , och som exempel på myndigheter som bedriver sådan hälso- och sjukvård. Regeringen menar därför att det är naturligt att behandla dessa statliga myndigheter som sepa- rata vårdgivare i patientdatalagens mening (a. prop. s. 50). framgår det direkt av 1 kap. 3 § patientdatalagen att vårdgivare bl.a. avser statlig myndighet i fråga om sådan hälso- och sjukvård som myndigheten har ansvar för. Det innebär att den personuppgifts- behandling som utförs av hälso- och sjukvårdspersonal i Rekry- teringsmyndighetens medicinska och psykologiska verksamhet faller utanför lagens tillämpningsområde. Sådan personuppgiftsbehand- ling omfattas i stället av det förslag till ändring i patientdatalagen (SOU 2017:66) som överlämnades av och kommer således även fortsättningsvis att falla utanför lagens tillämpningsområde. En upplysningsbestämmelse om detta förhållande bör tas in i den nya lagen. Utanför lagens tillämpningsområde faller också, såsom anförts ovan, uppdragsverksamhet i förhållande till civila myndigheter som rör rekrytering till bl.a. Polismyndig- heten och Kriminalvården. Annans personuppgiftsbehandling som rör totalförsvarspliktiga m.fl. Lagen ska endast tillämpas vid sådan behandling av personuppgifter som sker i verksamhet, med undantag för vissa särskilt angivna fall. Det innebär att behandling av person- uppgifter om totalförsvarspliktiga som andra aktörer utför i sin verk- samhet i allmänhet faller utanför lagens tillämpningsområde. Beman- ningsansvariga organ och andra myndigheter m.fl. som lämnar personuppgifter om totalförsvarspliktiga till Rekryteringsmyndighe- ten eller tar emot sådana uppgifter från myndigheten – i den mån det inte är fråga om direktåtkomst – omfattas således inte av bestäm- melserna i den nya lagen. Detsamma gäller exempelvis beträffande Försvarsmaktens mottagande av uppgifter från Rekryteringsmyn- digheten vid rekrytering i egen regi. Vid sådan behandling kommer i stället bestämmelserna i dataskyddsförordningen och den föreslagna dataskyddslagen att bli tillämpliga samt i förekommande fall bestäm- melser i annan särskild registerförfattning. Personuppgiftsbehandling som allmänt undantas Avslutningsvis faller viss personuppgiftsbehandling utanför tillämp- ningsområdet för vårt lagförslag på grund av dataskyddsförord- ningens och dataskyddslagens bestämmelser. Bestämmelserna i dataskyddsförordningen och dataskyddslagen ska enligt 1 kap. 4 § i den senare lagen inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihets- förordningen eller yttrandefrihetsgrundlagen. alltså också utanför tillämpningsområdet. Detsamma gäller för behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande samt för behandling av personuppgifter som utförs av en fysisk person som ett led i verksamhet av privat natur eller som har samband med hans eller hennes hushåll. Sådan behandling förekommer inte heller i verksamhet. Enligt 3 § personuppgiftslagen är personuppgiftsansvarig den som ensam eller tillsammans med andra bestämmer ändamålet och medlen för behandlingen av personuppgifter. Enligt 7 § pliktregisterlagen är personuppgiftsansvarig för den behand- ling av personuppgifter som myndigheten utför. I förarbetena (prop. 1997/98:80, s. 44 f.) till bestämmelsen anförde regeringen att bör bära personuppgiftansvaret vid be- handling av personuppgifter i myndighetens verksamhet. Någon annan som kan fullgöra de skyldigheter som följer med detta ansvar finns inte. Ansvaret kan emellertid endast omfatta Rekryterings- myndighetens egen behandling av personuppgifter. De myndigheter och andra som lämnar uppgifter till ansvarar för behandlingen till dess att uppgiften är överlämnad. På samma sätt är de organ inom totalförsvaret som erhåller uppgifter från ansvariga för sin behandling från det att de tagit emot uppgiften. Bestämmelsen om att Rekryterings- myndigheten bär personuppgiftsansvaret för sina behandlingsåtgär- der, syftar till att klarlägga att ingen annan ansvarar för vad myn- digheten gör med uppgifterna och att en registrerad alltid ska kunna vända sig till för att få informa- tion och för att få felaktigheter rättade m.m., såvitt avser uppgifter som myndigheten behandlar. Bestämmelsen utesluter emellertid inte att annan bär ett ansvar för sin behandling av samma uppgift. Enligt dataskyddsförordningen ska det finnas en personuppgifts- ansvarig för all personuppgiftsbehandling.