sou · H5B397 · 2017-12-08 00:00:00 — Enligt 38 kap. 1 § första stycket 1 offentlighets- och sekretesslagen gäller sekretess för samtliga uppgifter som framkommer vid utred- ning om totalförsvarspliktigas personliga förhållanden. Uppgifter om hälsotillstånd som lämnas i samband härmed inom ramen för den medicinska grenen av verksamheten omfattas även av sekretess enligt 25 kap. 1 § offentlighets- och sekretesslagen. Enligt denna bestämmelse gäller sekretess även inom annan medicinsk verksam- het än hälso- och sjukvård, varmed bl.a. avses Rekryteringsmyndig- hetens verksamhet, för uppgifter om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men. För medicinska verksamhet gäller således samma sekretess som för annan hälso- och sjukvård. Möjligheten att lämna ut sekretessbelagda uppgifter som om- fattas av sekretess enligt 25 kap. 1 § offentlighets- och sekretess- lagen till annan verksamhet är mycket begränsad och förekommer endast i undantagsfall (se de sekretessbrytande bestämmelserna i 25 kap. 11–14 §§ offentlighets- och sekretesslagen). Sekretess en- ligt 25 kap. 1 § har också undantagits från tillämpningsområdet för den s.k. generalklausulen i 10 kap. 27 § offentlighets- och sekre- tesslagen, som i vissa fall bryter sekretess mellan myndigheter (andra stycket). Enligt 8 kap. 1 § offentlighets- och sekretesslagen får en uppgift för vilken sekretess gäller enligt den lagen inte röjas för andra myndigheter, om inte annat anges i den lagen eller i lag eller för- ordning som lagen hänvisar till. Av 8 kap. 2 § följer att vad som föreskrivs om sekretess mot andra myndigheter i 1 § och vad som föreskrivs i andra bestämmelser om uppgiftslämnande till andra myndigheter och överföring av sekretess mellan myndigheter, gäller också mellan olika verksamhetsgrenar inom en myndighet när de är att betrakta som självständiga i förhållande till varandra. Det är således inte fritt fram för personal inom en myndighet att lämna uppgifter som omfattas av sekretess till varandra. Frågan om det finns en sekretessgräns mellan olika verksam- heter inom en myndighet har behandlats i ett antal olika proposi- tioner (se t.ex. prop. 2007/08:126, s. 162 f.). I dessa förarbeten har slagits fast att om olika delar av en myndighets verksamhet har att tillämpa olika sekretessbestämmelser får de anses utgöra olika verk- samhetsgrenar i sekretesslagens mening. Först om olika delar av en myndighet utgör olika verksamhetsgrenar i sekretesslagens mening finns det skäl att även ta ställning till om de också är att betrakta som självständiga i förhållande till varandra. Frågan om när verk- samhetsgrenar inom samma myndighetsorganisation är att betrakta som självständiga i förhållande till varandra kan dock vara svår- bedömd och har diskuterats både i lagstiftningsarbetet och i rätts- praxis (se bl.a. a. prop. s. 162 f. och HFD 2013 ref. 40). Det kan konstateras att den behandling av personuppgifter som utförs inom medicinska verksamhet om- fattas av patientdatalagens tillämpningsområde. Uppgifter om en totalförsvarspliktigs hälsotillstånd som behandlas i denna verksam- het, t.ex. vid medicinska undersökningar, omfattas av den s.k. hälso- och sjukvårdssekretessen i 25 kap. 1 § offentlighets- och sekretess- lagen. Den verksamhet som bedrivs i samband med inskrivning av totalförsvarspliktiga till värnplikt, civilplikt eller i en utbildnings- reserv enligt lagen om totalförsvarsplikt omfattas av pliktregisterlagen och kommer även att omfattas av den nya lagens tillämpningsområde. De uppgifter som behandlas i denna verksamhet omfattas av sekre- tess enligt 38 kap. 1 § offentlighets- och sekretesslagen. Eftersom inskrivningsverksamheten och den medicinska delen av verksamheten tillämpar helt skilda sekretessbestämmelser talar mycket för att de kan anses utgöra olika verksamhetsgrenar i offent- lighets- och sekretesslagens mening. Vidare är Rekryteringsmyn- digheten organiserad på ett sådant sätt att det kan hävdas att de båda verksamhetsgrenarna kan anses vara självständiga i förhållande till varandra. Det kan därför finnas ett behov av att möjligheten att lämna över uppgifter från den medicinska verksamheten till inskriv- ningsverksamheten säkerställs genom en sekretessbrytande bestäm- melse. För att ställning ska kunna tas till om en totalförsvarspliktig ska skrivas in till värnplikt, civilplikt eller i en utbildningsreserv enligt lagen om totalförsvarsplikt behövs uppgifter om den totalförsvars- pliktiges hälsa. Uppgifter om hälsa inhämtas framför allt vid de medi- cinska undersökningar som genomförs i samband med mönstringen. För att inskrivningshandläggarna ska kunna fatta ett välgrundat beslut om inskrivning krävs att de har tillgång till ett fullständigt beslutsunderlag om den totalförsvarspliktiges hälsotillstånd. Uppgif- terna behövs också för att ställning ska kunna tas till om den total- försvarspliktige av hälsoskäl inte är lämplig för tjänstgöring inom totalförsvaret. För att säkerställa att uppgifter om hälsotillstånd kan lämnas över från medicinska verksamhet till personal som arbetar inom inskrivningsverksamheten utan hinder av sekre- tess, föreslår vi att en sekretessbrytande bestämmelse införs i 25 kap. offentlighets- och sekretesslagen. Bestämmelsen ska endast vara tillämplig då uppgifter lämnas inom . Det ska också understrykas att uppgifter bara får lämnas till den per- sonal inom inskrivningsverksamheten som behöver dem för beslut om inskrivning enligt lagen om totalförsvarsplikt. I förhållande till övrig personal gäller vanliga regler om sekretess. Utredningens förslag: Lagen och förordningen liksom lagen om ändring i offentlighets- och sekretesslagen ska träda i kraft . Dataskyddsförordningen trädde i kraft . Enligt arti- kel 99.2 i dataskyddsförordningen ska förordningen tillämpas . Av artikel 94 följer vidare att dataskydds- direktivet ska upphöra att gälla med verkan från och att hänvisningar till det upphävda direktivet ska anses som hänvis- ningar till förordningen. Eftersom dataskyddsförordningen till alla delar är bindande och direkt tillämplig i medlemsstaterna, måste nationella författningar som inte är förenliga med förordningen antingen upphävas eller anpassas per detta datum. har föreslagit att den kompletterande dataskyddslagen ska träda i kraft , som personuppgiftslagen (1998:204) ska upphöra att gälla. Personupp- giftslagen föreslås dock övergångsvis fortsätta gälla i den utsträck- ning som det i en annan lag eller förordning finns bestämmelser som innehåller hänvisningar till den (SOU 2017:39, s. 340 f.). Vårt förslag till ny lag och förordning har utformats mot bakgrund av den föreslagna dataskyddslagens bestämmelser. Eftersom den nya lagen föreslås ha företräde framför dataskyddslagen (se avsnitt 6.2.6) innebär det att bestämmelserna i dataskyddslagen ska gälla om inte annat följer av den nya lagen eller föreskrifter som har meddelats med stöd av denna. En förutsättning för att den nya lagen och förordningen ska kunna träda i kraft är därmed att dataskyddslagen har trätt i kraft. Eftersom både dataskyddsförordningen och data- skyddslagen ska tillämpas bör den föreslagna regleringen träda i kraft därefter. Vi föreslår därför att den nya lagen och förordningen ska träda i kraft . Eftersom dataskyddsförordningen är direkt tillämplig och enligt vårt förslag i tillämpliga delar ska tillämpas av Rekryteringsmyn- digheten (se 1 kap. 2 § dataskydds- lagen) medför ett införande av de föreslagna övergångsbestämmel- serna vissa tillämpningsproblem för myndigheten. Som övergångs- bestämmelserna är utformade innebär de att personuppgiftslagen, genom hänvisningen till densamma i pliktregisterlagen, övergångs- vis ska tillämpas trots att dataskyddsförordningen är direkt tillämplig och därigenom har företräde framför personuppgiftslagen. I prak- tiken innebär det att under övergångs- perioden till och med har att tillämpa fyra lagar parallellt – dataskyddsförordningen, dataskydds- lagen, personuppgiftslagen och pliktregisterlagen. Rekryterings- myndighetens behandling av personuppgifter utgör emellertid ett led i en verksamhet som inte omfattas av unionsrätten och faller som sådan utanför dataskyddsförordningens egentliga tillämpnings- område (jfr artikel 2.2. a i dataskyddsförordningen). Det är således inte nödvändigt att dataskyddsförordningen och dataskyddslagen ska tillämpas . I stället skulle enbart pliktregisterlagen och personuppgiftslagen kunna tillämpas . Detta förutsätter emellertid att övergångs- bestämmelserna till dataskyddslagen utformas på ett annat sätt än vad som har föreslagits. Denna fråga får således beaktas inom ramen för det fortsatta lagstiftningsarbetet om införandet av den kompletterande dataskyddslagen och de överväganden som då görs av behovet av övergångsbestämmelser till den lagen. De föreslagna ändringarna i offentlighets- och sekretesslagen (2009:400) är i och för sig inte beroende av att dataskyddsförord- ningen och dataskyddslagen har trätt i kraft men bör ändå träda i kraft som den nya lagen och förordningen, dvs. Eftersom den nya lagen och förordningen ersätter pliktregister- lagen respektive förordningen (1998:1229) om behandling av per- sonuppgifter om totalförsvarspliktiga, bör dessa författningar upp- hävas när den nya regleringen träder i kraft. Den nya lagen och för- ordningen kompletterar dataskyddsförordningen och den föreslagna dataskyddslagen samt innehåller hänvisningar till dessa. Vid den nya regleringens ikraftträdande har såväl dataskyddsförordningen som dataskyddslagen trätt i kraft. Några särskilda övergångsbestämmel- ser med anledning av detta behövs således inte. Enligt vår bedöm- ning finns det inte heller i övrigt behov av några särskilda över- gångsbestämmelser med anledning av de förslag som lämnas. Enligt 14–15 a §§ kommittéförordningen (1998:1474) ska en utred- ning redovisa vilka konsekvenser förslagen i ett betänkande kan få i vissa avseenden. Om förslagen i ett betänkande påverkar kostnad- erna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, ska en beräkning av dessa konsekvenser redovisas i betänkandet. Om förslagen innebär samhällsekonomiska konsekven- ser i övrigt, ska dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kommuner eller landsting, ska kommittén föreslå en finansiering (14 §). Om förslagen i ett be- tänkande har betydelse för den kommunala självstyrelsen, ska kon- sekvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsföre- byggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrens- förmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen (15 §). Om ett betänkande inne- håller förslag till nya eller ändrade regler, ska förslagens kostnads- mässiga och andra konsekvenser anges i betänkandet. Konsekven- serna ska anges på ett sätt som motsvarar de krav på innehållet i konsekvensutredningar som finns i 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning (15 a §). Enligt våra direktiv ska vi bedöma de ekonomiska konsekvenserna för det allmänna och för enskilda som utredningens förslag kan komma att medföra. Om förslagen kan förväntas leda till kostnads- ökningar för det allmänna ska vi föreslå hur dessa ska finansieras. Vi ska också redovisa förslagens konsekvenser för den personliga integriteten. 14.2Vårt förslag till ny reglering I enlighet med våra direktiv har vi utarbetat ett förslag till en ny lag om behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret i verksam- het (totalförsvarsdatalagen) och en anslutande förordning (totalför- svarsdataförordningen) som föreslås ersätta den nu gällande plikt- registerlagen respektive förordningen (1998:1229) om behandling av personuppgifter om totalförsvarspliktiga. Vi har också analyserat vilket förhållande lagstiftningen ska ha till EU:s dataskyddsförord- ning och den kommande kompletterande dataskyddslagen. I den delen har vi funnit att dataskyddsförordningen och den kompletterande dataskyddslagen i tillämpliga delar ska tillämpas vid Rekryterings- myndighetens behandling av personuppgifter i enlighet med bestäm- melserna i förslaget till dataskyddslag. Utgångspunkten för vårt uppdrag har varit att verksamhet ska kunna bedrivas effektivt med rationellt datorstöd som enskildas rätt till personlig integritet tillgodoses. Syftet med förslagen är att införa en modern, teknikneutral och flexibel reglering för personuppgifts- behandling för att myndighetens verksamhet ska kunna bedrivas så effektivt och ändamålsenligt som möjligt som enskildas rätt till personlig integritet tillgodoses vid sådan behandling. 14.3Konsekvenser för den personliga integriteten Vår bedömning: Sammantaget gör vi bedömningen att våra förslag innebär en förstärkning av skyddet för enskildas personliga integritet. Förslagen kan emellertid i vissa enskilda delar uppfattas ha negativa konsekvenser för den personliga integriteten. I dessa delar har den avvägning som vi har gjort mellan detta och andra intressen redovisats. Dataskyddsförordningens bestämmelser anses sammantaget inne- bära ett förstärkt skydd för enskildas personliga integritet och ge enskilda bättre möjligheter att kontrollera behandlingen av deras personuppgifter. Vårt förslag innebär att förordningens bestäm- melser i tillämpliga delar även ska tillämpas i fråga om Rekryterings- myndighetens behandling av personuppgifter liksom bestämmelser i den kompletterande dataskyddslagen. Enbart i de fall där det finns behov av särskilda bestämmelser för myndighetens del har sådana föreslagits. Dessa bestämmelser innebär i flertalet fall inte någon avvikelse från de generellt tillämpliga bestämmelserna utan endast en precisering av dessa. Våra författningsförslag syftar allmänt till att modernisera regleringen så att den är anpassad till gällande ter- minologi och dagens användning av datorstöd samt annan reglering på området. På detta sätt blir regleringen tydligare och enklare att tillämpa. Sammantaget innebär detta enligt vår bedömning en för- stärkning av skyddet för enskildas personliga integritet vid Rekry- teringsmyndighetens behandling av personuppgifter. I enlighet med vårt uppdrag har vi också analyserat den behand- ling av personuppgifter som får ske hos utifrån det nya grundlagsskyddet för den personliga integriteten i 2 kap. 6 § andra stycket regeringsformen. Genom vår analys har vi funnit att grundlagsskyddet påkallar lagstöd för vissa delar av den behandling som sker och vi har utformat våra bestämmelser utifrån det. I samband därmed har vi också funnit att de grundläggande bestämmelserna för behandling av personuppgifter om totalförsvars- pliktiga bör ges i form av lag, medan övriga bestämmelser kan regleras på en lägre normhierarkisk nivå i form av förordning. Det kan således konstateras att skyddet för den personliga integriteten har beaktats också utifrån ett mer principiellt perspektiv. I materiell mening innebär förslagen inte så stora förändringar jämfört med den nu gällande regleringen. Däremot har de enskilda bestämmelserna om exempelvis ändamålsbegränsningar, sökförbud och avskiljande av personuppgifter utformats så att de är bättre anpassade till dagens förhållanden både rent faktiskt och rättsligt. Bestämmelsen om begränsning av tillgången till personuppgifter är dock en nyhet och innebär ett förstärkt skydd för den personliga integriteten. Även förslaget om ett starkare sekretesskydd för upp- gift om enskilds personliga förhållanden i ärenden om bl.a. utred- ning om totalförsvarspliktigas personliga förhållanden innebär ett förstärkt integritetsskydd. Det föreslagna undantaget för behandling av känsliga personupp- gifter innebär en utvidgad möjlighet till behandling både i förhåll- ande till nu gällande bestämmelser i pliktregisterlagen och till vad som avses gälla generellt på myndighetsområdet i den kommande dataskyddslagen. Bestämmelsen har emellertid utformats med en begränsning att sådan behandling måste vara absolut nödvändig för de i lagen angivna ändamålen. Det är vår bedömning att förslaget är väl motiverat med hänsyn till behov. Det får därför anses vara ett viktigt allmänt intresse att behand- lingen kan ske. Bestämmelsen har dock avgränsats så att nödvändiga integritetsskyddsaspekter beaktas. Vårt förslag om att dataskydds- förordningens och dataskyddslagens bestämmelser om tillsynsmyn- dighetens befogenhet att förbjuda behandling inte ska gälla vid behandling enligt denna lag kan uppfattas som negativt för skyddet för enskildas personliga integritet. Detsamma gäller det föreslagna undantaget från skyldigheten att rapportera personuppgiftsinci- denter till tillsynsmyndigheten enligt dataskyddsförordningen. Båda förslagen har emellertid motiverats med hänsyn till att myndig- hetens verksamhet har betydelse för rikets säkerhet. Det kan konstateras att våra förslag i vissa enskilda delar kan upp- fattas ha negativa konsekvenser för den personliga integriteten. I dessa delar har den avvägning som vi har gjort mellan detta och andra intressen redovisats. Sammantaget gör vi emellertid bedöm- ningen att förslagen innebär en förstärkning av skyddet för enskildas personliga integritet. Vår bedömning: Förslagen kommer inte att innebära någon kost- nadsökning för det allmänna eller för enskilda. Vår konsekvensbedömning utgår från vårt uppdrag så som det är formulerat i direktiven. Det innebär att vi har gjort en analys av om den nya lagstiftningen bör vara helt fristående och har därvid funnit att dataskyddsförordningen och den kompletterande dataskydds- lagen i tillämpliga delar i princip ska tillämpas även i fråga om behandling av personuppgifter. Genom bestämmelser i dataskyddslagen görs dataskyddsförordningen tillämplig även för personuppgiftsbehandling som sker i verksam- het som inte omfattas av unionsrätten. En konsekvensanalys av denna bestämmelse görs i det lagstiftningsärende som rör den lagen. Det framstår inte som meningsfullt att i detalj försöka analysera vilka konsekvenser som enskilt kan uppstå för Rekryteringsmyn- digheten med anledning av detta. Vi har därför begränsat konse- kvensanalysen till sådana konsekvenser som följer direkt av våra förslag. I de delar dataskyddsförordningen och den kompletterande dataskyddslagen ska tillämpas av kan det dock antas uppstå behov av ökad administration, nya interna rutiner, utbildningsinsatser m.m. Förslagen avser att reglera en redan pågående verksamhet hos och har därför anpassats till befintliga informationssystem. Dessa kan således behållas. Eftersom förslagen är teknikoberoende kan även informationssystemen utvecklas och ändras utan att lagstiftningen behöver ändras. De krav som regler- ingen ställer bör därför kunna uppfyllas genom en anpassning eller utveckling av de befintliga systemen samt genom utbildning och instruktioner till myndighetens anställda. Kostnader för utbildning täcks normalt av myndighetens anslag och bör därför rymmas inom befintliga kostnadsramar. Nya interna föreskrifter och styrande dokument som kan komma att krävas med anledning av den nya lagstiftningen får anses ingå i de normala uppgifterna för Rekry- teringsmyndigheten. Även förslaget om krav på avskiljande får an- ses utgöra en del av det ordinarie utvecklingsarbetet och borde följaktligen inte medföra några större merkostnader för Rekryterings- myndigheten. Förslagen har inga ekonomiska konsekvenser för kommuner, landsting, företag eller andra enskilda. Vi gör därför bedömningen att författningsförslagen inte kommer att medföra sådana kost- nadsmässiga konsekvenser som avses i 14 § kommittéförordningen. Vår bedömning: Förslagen förväntas inte få några konsekvenser i övrigt. Förslagen får inte några särskilda konsekvenser för kommuner, landsting eller den kommunala självstyrelsen. Förslagen förväntas inte heller få några konsekvenser för jämställdheten, integrationen eller andra sådana konsekvenser som avses i 15 och 15 a §§ kom- mittéförordningen. 1 § Syftet med denna lag är att ge Totalförsvarets rekryteringsmyndig- het () möjlighet att i sin verksamhet behand- la personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret på ett effektivt och ändamålsenligt sätt som skyddet för den enskildes personliga integritet tillgodoses vid sådan behandling. I paragrafen anges lagens övergripande syfte. Övervägandena finns i avsnitt 7.2. Syftet med lagen är dubbelt. Lagen ska både ge Rekryterings- myndigheten möjlighet att i sin verksamhet behandla personupp- gifter om totalförsvarspliktiga och annan personal inom försvaret på ett effektivt och ändamålsenligt sätt och skydda en- skilda mot att deras personliga integritet kränks vid sådan behand- ling. Därmed tydliggörs att lagen har till syfte att balansera båda dessa intressen. Paragrafen är en portalbestämmelse som har en informativ och symbolisk betydelse. Paragrafen klargör dels den övergripande mål- sättningen med regleringen, vilken är att reglera Rekryterings- myndighetens personuppgiftsbehandling i förhållande till enskildas behov av dataskydd. Paragrafen klargör även att lagen endast inne- håller dataskyddsrättsliga bestämmelser och att den ger vägledning för hur de materiella bestämmelserna i lagen bör tolkas. 2 § Denna lag tillämpas i verksamhet vid behandling av personuppgifter om totalförsvarspliktiga och annan per- sonal inom totalförsvaret. I de fall det anges särskilt gäller lagen även i verksamhet som be- drivs av någon annan än . När sådan behandling av personuppgifter som avses i första stycket utförs av i egenskap av vårdgivare inom hälso- och sjukvården tillämpas patientdatalagen (2008:355). Paragrafen anger lagens materiella tillämpningsområde. Övervägan- dena finns i avsnitt 7.3.3 (första och andra stycket) och 7.3.5 (tredje stycket). I första stycket anges att lagen tillämpas i Rekryteringsmyndig- hetens verksamhet vid behandling av personuppgifter om totalför- svarspliktiga och annan personal inom totalförsvaret. Begreppen behandling respektive personuppgifter har samma betydelse som i artikel 4 i dataskyddsförordningen. Med behandling avses således en åtgärd eller kombination av åtgärder beträffande personuppgif- ter eller uppsättningar av personuppgifter, oberoende av om de ut- förs automatiserat eller inte, såsom insamling, registrering, organi- sering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, be- gränsning, radering eller förstöring. Begreppet personuppgifter omfattar varje upplysning som avser en identifierad eller identi- fierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hän- visning till en identifierare som ett namn, ett identifikationsnum- mer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Behandling av personuppgifter om avlidna eller juridiska personer omfattas således inte av lagens bestämmelser (jfr arti- kel 4.1 och skäl 27 i dataskyddsförordningen). Både behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret omfattas. Med behandling av personuppgifter om annan personal inom totalförsvaret avses den behandling som på grund av sitt uppdrag utför beträffande både anställd personal och avtalspersonal. Bestäm- melsen är uttömmande i den meningen att lagen varken är tillämp- lig på interna administrativa verksam- het eller civila uppdragsverksamhet.