sou · H5B397 · 2017-12-08 00:00:00 — Vid bedömningen av om behandling utgör ett otillbörligt intrång ska vikt läggas vid sådana aspekter som uppgifternas käns- lighet, den inställning de registrerade kan antas ha till att uppgiften behandlas, den spridning uppgiften skulle komma att få och risken för vidarebehandling för andra ändamål än insamlingsändamålet. 9.3.3Våra överväganden och förslag Utredningens förslag: Utöver vad som följer av 3 kap. data- skyddslagen får känsliga personuppgifter behandlas om det är absolut nödvändigt för de ändamål som anges i lagen. Detsamma ska gälla även vid annan utredning om den total- försvarspliktiges personliga förhållanden som enligt 2 kap. 1 § lagen om totalförsvarsplikt utförs av annan än Rekryterings- myndigheten. Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- dela ytterligare föreskrifter som begränsar användningen av käns- liga personuppgifter. I enlighet med förslag kommer vi i det följande att använda begreppet känsliga personuppgifter i stället för uttrycket särskilda kategorier av personuppgifter som används i dataskyddsförordningen. I verksamhet förekommer känsliga personuppgifter i stor utsträckning och behandlingen omfattar flera av de kategorier av personuppgifter som anges i artikel 9.1 i data- skyddsförordningen. Undantaget i 3 kap. 3 § dataskyddslagen är begränsat såtillvida att den endast ger myndigheter rätt att behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det (punk- ten 1). Myndigheter och andra organ som omfattas av offentlig- hetsprincipen ska även få behandla känsliga personuppgifter om dessa har lämnats till myndigheten eller organet och behandlingen krävs enligt annan lag (punkten 2). Dessutom ska myndigheter få behandla känsliga personuppgifter om det är absolut nödvändigt för ändamålet med behandlingen och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (punkten 3). Enligt vår bedömning är nämnda undantag inte tillräckliga för att täcka all nödvändig behandling av känsliga personuppgifter som för närvar- ande utförs av . Inte heller Försvarsmaktens och andra myndigheters m.fl. behov av att behandla känsliga per- sonuppgifter vid annan utredning enligt lagen om totalförsvarsplikt täcks in av bestämmelsen. särpräglade verksamhet innebär att myndigheten har ett stort behov av att behandla känsliga person- uppgifter för att kunna fullgöra sina uppgifter. Som redovisats ovan ansågs redan vid pliktregisterlagens tillkomst att behovet var om- fattande. Samma behov finns än . har behov av att i stor utsträckning kunna behandla uppgifter om enskildas hälsa. Framför allt resul- taten från de medicinska och psykologiska undersökningar som genomförs under mönstring är nödvändig information för att myn- digheten ska kunna bedöma om kraven för tjänstgöring är upp- fyllda. Underlaget är avgörande för att ska kunna fatta beslut om inskrivning till grundutbildning med värnplikt eller annan tjänstgöring inom totalförsvaret. Även vid annan utredning som utförs av andra myndigheter än Rekryterings- myndigheten enligt lagen om totalförsvarsplikt föreligger ett behov av underlag i form av uppgifter om hälsa. har även behov av att i vissa fall behandla uppgifter om religiös övertygelse för att kunna fatta be- slut om tjänstgöring inom totalförsvaret och i förlängningen lämp- lig befattning för den enskilde. Det kan finnas skäl för att inte kalla en totalförsvarspliktig till mönstring. Så kan vara fallet när den totalförsvarspliktige tillhör ett religiöst samfund. Enligt 10 kap. 8 § p. 2 lagen om totalförsvarsplikt får i särskilda fall besluta att en totalförsvarspliktig tills vidare inte ska kallas till mönstring eller inkallelse till värnplikt eller civilplikt, om han eller hon med hänvisning till sin anslutning till visst religiöst samfund förklarar att han eller hon inte kommer att fullgöra vare sig värnplikt eller civilplikt. I 7 kap. 3 § förordningen (1995:238) om totalförsvarsplikt nämns Jehovas vittnen. Motsvarande resone- mang gör sig gällande i fråga om en enskilds personliga övertygelse om att inte använda vapen. Till följd av detta regleras i 3 kap. 16 § samma lag en rätt för en totalförsvarspliktig att vara vapenfri. Det kan även bli aktuellt för att be- handla andra känsliga personuppgifter än hälsa och religiös över- tygelse. Så kan exempelvis bli fallet om en enskild själv, t.ex. i form av ett läkarintyg, lämnar och åberopar andra känsliga personupp- gifter för att inte behöva mönstra, tjänstgöra eller inneha viss be- fattning inom totalförsvaret. I sådant fall råder inte Rekryterings- myndigheten över vilka känsliga personuppgifter som kommer till dess kännedom men som ändå måste behandlas av myndigheten vid beslutsfattandet. Det är dock inte möjligt att uttömmande ange de fall då ett sådant behov föreligger. Det kan konstateras att de undantag från förbudet att behandla känsliga personuppgifter som anges i 3 kap. 2, 5 och 7 §§ data- skyddslagen inte är tillämpliga på verk- samhet. Inte heller de undantag som enligt 3 kap. 3 § data- skyddslagen generellt kan tillämpas av myndigheter och möjliggör viss ytterligare behandling av känsliga personuppgifter är tillräck- liga för att myndigheten ska kunna fullgöra de uppgifter som åligger den. Det står klart att har ett berättigat behov av att behandla känsliga personuppgifter i större omfattning än vad dataskyddslagens undantag medger. Detsamma gäller För- svarsmakten och andra myndigheter m.fl. som behöver behandla känsliga personuppgifter vid annan utredning enligt lagen om totalförsvarsplikt. Vi föreslår därför att en mer tillåtande reglering av behandling av känsliga personuppgifter bör införas i den nya lagen. Nästa fråga är hur en sådan bestämmelse bör utformas. En grund- läggande förutsättning för att en mer tillåtande reglering ska kunna införas i den nya lagen är att bestämmelserna utformas så att de är förenliga med regeringsformens och dataskyddsförordningens be- stämmelser. Det innebär att kraven i artikel i dataskyddsför- ordningen måste vara uppfyllda. Av bestämmelsen framgår att känsliga personuppgifter får behandlas om behandlingen är nöd- vändig av hänsyn till ett viktigt allmänt intresse, på grundval av nationell rätt. Den nationella regleringen måste dock stå i pro- portion till det eftersträvade syftet, vara förenligt med det väsent- liga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registre- rades grundläggande rättigheter och intressen. Därtill måste de grundläggande principerna för behandling av personuppgifter i arti- kel 5 i förordningen vara uppfyllda. Ytterligare en förutsättning för att känsliga personuppgifter över huvud taget ska få behandlas är att behandlingen inte innebär ett otillbörligt intrång i den enskildes personliga integritet. Ur integri- tetsskyddspunkt är det således viktigt att möjligheten att behandla känsliga personuppgifter begränsas. Enligt vår bedömning är det därför lämpligt att regleringen, i likhet med vad som är fallet , utformas med utgångspunkt från de i lagen angivna ändamålen. I enlighet med nuvarande bestämmelse i pliktregisterlagen bör undan- taget vidare inte begränsas till vissa känsliga personuppgifter, eftersom det inte är möjligt att förutse vilka personuppgifter som den enskilde själv kan komma att åberopa eller som av annat skäl måste behandlas av . Vårt förslag till ny reglering av be- handling av personuppgifter innebär att bestämmelsen ska tillämpas generellt i verksamheten. Någon åtskillnad görs alltså inte för behandling i register eller i annat sammanhang. Vi anser även att behovet av att behandla känsliga personuppgifter är lika stort i hela verksamheten. Den begränsning som finns i pliktregisterlagen i fråga om vilken sorts känsliga personuppgifter som får föras in i det automatiserade registret ska således inte finnas kvar. Det tillåtande undantag som vi föreslår ska alltså gälla generellt men måste kunna motiveras utifrån ett viktigt allmänt intresse. Bestämmelsen måste därför ges en särskilt restriktiv utformning. Vi föreslår därför att behandling endast får ske i de fall det är absolut nödvändigt. Samma begrepp används i dataskyddslagen (3 kap. 3 § 3) och även i flertalet registerförfattningar från senare tid, bl.a. polisdatalagen (2 kap. 10 §) och utlänningsdatalagen (15 §). I förarbetena (prop. 2015/16:65 s. 81) till utlänningsdatalagen diskuteras lämpligheten av att använda begreppet i lagtext. Ett skäl som väger tungt vid bedömningen är intresset av att så långt möjligt använda likartad terminologi i de olika lagar som reglerar myndigheternas personuppgiftsanvändning. Både i polisdatalagen och i åklagardatalagen används begreppet absolut nödvändigt för att avgränsa i vilken mån behandling av känsliga personuppgifter ska vara tillåten. Syftet med begränsningen att be- handlingen ska vara absolut nödvändig är att markera att behand- lingen av känsliga personuppgifter bör ske med försiktighet och aldrig slentrianmässigt. Rekvisitet innebär emellertid inte att känsliga personuppgifter endast får behandlas i undantagsfall. Genom rekvi- sitet markeras dock att behandling ska ske med restriktivitet och att behovet av att behandla den känsliga personuppgiften ska prövas noga i det enskilda ärendet. En sådan prövning ska inte bara göras när uppgiften samlas in eller behandlas utan även vid senare behandling av redan insamlade uppgifter. Mot denna bakgrund är vår bedömning att bestämmelsen bör utformas i enlighet med motsvarande bestämmelser i bl.a. polisdata- lagen och utlänningsdatalagen, dvs. att känsliga personuppgifter ska Den nya regleringen SOU 2017:97 få behandlas om det är absolut nödvändigt för de tillåtna ändamålen med behandlingen. Som redovisats ovan har även andra myndigheter m.fl. behov av att behandla känsliga personuppgifter vid annan utredning än mönst- ring enligt lagen om totalförsvarsplikt. Sådan utredning tjänar i regel samma syfte som vid egna utredningar. Att känsliga personuppgifter omfattas av pliktregisterlagens bestäm- melser i nu aktuellt avseende ansågs i förarbetena bero på att Rekry- teringsmyndighetens och den andra myndighetens åtgärder kunde sägas vara förenade i samma utredningsärende (prop. 1997/98:80, s. 40). Dock valde regeringen att i lagtexten markera att detta var ett undantag från lagens tillämpningsområde i övrigt och endast gällde i de berörda myndigheternas verksamhet för att utreda total- försvarspliktigas förhållanden enligt lagen om totalförsvarsplikt. Motsvarande synsätt gör sig alltjämt gällande. Vi föreslår därför att aktuella myndigheter, liksom tidigare, bör omfattas av den före- slagna bestämmelsen om behandling av känsliga personuppgifter med den begränsningen att behandling av känsliga personuppgifter endast får ske om det är absolut nödvändigt med hänsyn till de ändamål som anges i lagen. Vid kartläggningen har det kommit fram att det finns ett behov för att kunna behandla känsliga person- uppgifter för vissa statistikändamål och uppföljning av verksam- heten. Det är naturligtvis av vikt att myndigheten fortlöpande kan bevaka att effektiviteten och kvaliteten upprättshålls i verksamheten. Detta behov omfattas av den föreslagna ändamålsbestämmelsen i avsnitt 8.2.3, dvs. att personuppgifter får behandlas för tillhanda- hållande av information som behövs i verksamhet för att planera, följa upp och utvärdera verksamheten. Detta innebär att sådan behandling omfattas av den nu föreslagna bestämmelsen att känsliga personuppgifter ska få behandlas endast i de fall det är absolut nödvändigt för de i lagen tillåtna ändamålen. Avslutningsvis föreslår vi att bestämmelsen om behandling av känsliga personuppgifter kompletteras med en upplysningsbestäm- melse om att regeringen med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare föreskrifter som begränsar användningen av känsliga personuppgifter. I avsnitt 11.3 behandlar vi frågan om bevarande av känsliga personuppgifter för arkivändamål. 9.4Behandling av personnummer och samordningsnummer Enligt 22 § personuppgiftslagen får uppgifter om personnummer eller samordningsnummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Upp- gift om personnummer eller samordningsnummer utgör inte en känslig personuppgift enligt personuppgiftslagens definition men är ändå en uppgift som påkallar viss försiktighet när den behandlas. Bestämmelsen bör tillämpas restriktivt och innebär att en avväg- ning måste göras mellan behovet av att uppgiften behandlas och de integritetsrisker som behandlingen innebär. För en personuppgifts- ansvarig som inte fått samtycke till behandling av personnummer eller samordningsnummer innebär bestämmelsen att denne själv måste göra den intresseavvägning som framgår av bestämmelsen. Den personuppgiftsansvarige torde också ha bevisbördan för att det finns sådana omständigheter som gör att uppgifter om person- nummer eller samordningsnummer får behandlas (SOU 2017:39, s. 198 f.). I ett flertal sektorspecifika registerförfattningar har mot- svarande avvägningar gjorts genom en hänvisning till 22 § person- uppgiftslagen. Vikten av en säker identifiering har bl.a. föranlett att såväl polisdatalagen, kustbevakningsdatalagen och utlänningsdata- lagen innehåller hänvisning till personuppgiftslagens bestämmelse om behandling av personnummer. Enligt 50 § c personuppgiftslagen får regeringen eller den myn- dighet som regeringen bestämmer, dvs. Datainspektionen, meddela närmare föreskrifter om i vilka fall användning av personnummer är tillåten. Några sådana föreskrifter har inte meddelats av Datainspek- tionen men det är däremot relativt vanligt med sektorsspecifika förordningsbestämmelser om behandling av personnummer och samordningsnummer (a.a. s. 198). Varken den nu gällande pliktregisterlagen eller förordningen (1998:1229) om behandling av personuppgifter om totalförsvars- pliktiga innehåller särskilda bestämmelser om personnummer eller samordningsnummer. Det innebär att personuppgiftslagens bestäm- melser är tillämpliga vid sådan behandling hos Rekryteringsmyndig- heten (jfr 4 § pliktregisterlagen). Enligt artikel 87 i dataskyddsförordningen får medlemsstaterna när- mare bestämma på vilka särskilda villkor ett nationellt identifika- tionsnummer eller något annat vedertaget sätt för identifiering får behandlas. Villkoren ska i sådana fall säkerställa att identifikations- uppgifterna bara får användas med iakttagande av lämpliga skydds- åtgärder för de registrerades fri- och rättigheter. Det finns inga uttalanden i skälen till dataskyddsförordningen som konkretiserar vilken typ av skyddsåtgärder det bör vara frågan om. Sannolikt kan kraven på skyddsåtgärder inte ställas särskilt högt eftersom det är upp till medlemsstaterna själva att bedöma om några särskilda villkor ska införas över huvud taget. I denna del ges alltså medlemsstaterna ett stort utrymme att själva bedöma vilka skyddsåtgärder som behövs (SOU 2017:39, s. 199). har i sitt förslag till dataskyddslag (SOU 2017:39, s. 197 f.) övervägt om det även fortsättningsvis bör finnas särskilda villkor för behandling av personnummer eller sam- ordningsnummer. Även om personnummer och samordningsnum- mer inte har bedömts som känsliga personuppgifter i data- skyddsförordningens mening, har de ändå getts en särställning genom att medlemsstaterna medgetts möjlighet att införa särskilda villkor för behandlingen. Regeringen har uttalat att själva person- numret inte i sig är en integritetskränkande uppgift men att viss användning av det, såsom samköring av register och liknande, kan uppfattas som integritetskränkande. Regeringen har också uttalat att ”onödig” användning ska betraktas som ett integritetsintrång (se bl.a. prop. 1990/91:60, s. 69). Den nuvarande lydelsen i 22 § personuppgiftslagen, som innebär att en intresseavvägning ska ske, ligger väl i linje med förordningens intentioner. Det har inte fram- kommit att regleringen har mötts av kritik eller annars inte fungerat. Tvärtom har den i lagstiftningsärenden be- dömts vara flexibel och väl avpassad för att förhindra omotiverad behandling av personnummer och samordningsnummer (se t.ex. prop. 2014/15:148 s. 51). bakgrund bedömt att en särreglering av personnummer och sam- ordningsnummer i dataskyddslagen är motiverad (a.a. s. 200). En bestämmelse motsvarande den i 22 § personuppgiftslagen föreslås därför i den nya dataskyddslagen. Enligt 3 kap. 13 § data- skyddslagen får följaktligen uppgifter om personnummer eller sam- ordningsnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Bestämmelsen innebär att en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär ska göras. Omständigheter som bör tillmätas betydelse vid intresseavvägningen är exempelvis om det eftersträvade syftet med behandlingen hade kunnat uppnås på annat sätt, behandlingens omfattning och om den förutsätter samkörning av register (a.a. s. 373). Av 3 kap. 14 § framgår vidare att regeringen får meddela ytter- ligare föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten. Bestämmelsen motsvarar delvis 50 § c personuppgiftslagen. Bestämmelsen innehåller således ett bemyndigande för regeringen att meddela föreskrifter som tillåter behandling av personnummer och samordningsnummer i andra fall än enligt 3 kap. 13 §. finns bestämmelser på förordningsnivå som reglerar behandlingen av personnummer och samordnings- nummer i sektorsspecifika författningar. har bedömt att det även fortsättningsvis finns behov av en möjlighet för regeringen att meddela sådana föreskrifter. Enligt Dataskydds- utredningen kan det inte uteslutas att det finns behov av föreskrifter som går utöver regeringens kompetens enligt 8 kap. 7 § 2 reger- ingsformen, varför ett bemyndigande behövs. Sådana föreskrifter får dock bara meddelas om dataskyddsförordningens krav på lämpliga skyddsåtgärder för de registrerades grundläggande rättigheter och friheter iakttas (a.a. s. 200). Utredningens bedömning: Bestämmelserna om personnummer och samordningsnummer i den föreslagna dataskyddslagen bör tillämpas vid behandling av personuppgifter enligt denna lag. Bestämmelser om personuppgifter och samordningsnummer be- höver därför inte föras in i lagen. förslag till bestämmelser i 3 kap. 13 och 14 §§ dataskyddslagen om personnummer och samordningsnummer motsvarar 22 § och delvis 50 § c personuppgiftslagen. En tillämp- ning av de föreslagna bestämmelserna i dataskyddslagen innebär därför inga större förändringar i förhållande till vad som gäller . Vikten av en säker identifiering av totalförsvarspliktiga och annan personal inom totalförsvaret medför vidare att personnummer och samordningsnummer regelmässigt måste behandlas av Rekry- teringsmyndigheten. Vi bedömer därför att det inte bör införas några inskränkningar i rätten att behandla personnummer eller sam- ordningsnummer i förhållande till dataskyddslagens bestämmelser. Det har inte heller framkommit skäl att avvika från eller i övrigt föreskriva undantag från dataskyddsförordningens bestämmelser i detta avseende. Vi föreslår därför att bestämmelserna i den före- slagna dataskyddslagen bör tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag. Bestämmelser om personnummer och samordningsnummer behöver därför inte föras in i den nya lagen. 9.5Behandling av personuppgifter om lagöverträdelser Enligt 21 § första stycket personuppgiftslagen är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträ- delser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Med admini- strativa frihetsberövanden avses bl.a. frihetsberövanden enligt lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1988:870) om vård av missbrukare och lagen (1990:52) med särskilda bestämmelser om vård av unga. Personuppgifter om lagöverträdelser får dock be- handlas för forskningsändamål om behandlingen har godkänts en- ligt lagen (2003:460) om etikprövning av forskning som avser män- niskor (andra stycket). Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter eller beslut i enskilda fall om undantag från förbudet (tredje och fjärde stycket). Datainspek- tionen har med stöd av bemyndigandet i 9 § personuppgiftsförord- ningen meddelat sådana föreskrifter bl.a. för att möjliggöra be- handling av enstaka uppgifter som är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras i ett enskilt fall, liksom behandling av enstaka uppgifter som är nödvän- dig för att anmälningsskyldighet enligt lag ska kunna fullgöras.14 Eftersom pliktregisterlagen inte innehåller några bestämmelser om behandling av personuppgifter om lagöverträdelser blir 21 § per- sonuppgiftslagen tillämplig vid sådan behandling (jfr 4 § pliktregister- lagen). Enligt förarbetena (prop. 1997/98:80 s. 37) kan Rekryterings- myndigheten ta in uppgifter om lagöverträdelser som innefattar brott från olika polisregister för att förhindra att en kriminellt belastad person placeras i en från säkerhetssynpunkt olämplig be- fattning. Vidare fick uppgifter från då- varande om intagningar och avgångar från kriminalvårdsanstalter, främst som underlag för beslut om kallelser till mönstring och repetitionsövningar, och från domstolar om domar i mål om brott mot totalförsvarsplikten. Regeringen anförde att som myndighet har rätt att behandla sådana uppgifter så länge behandlingen är nödvändig med hänsyn till ändamålen. Enligt artikel 10 i dataskyddsförordningen får behandling av person- uppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämp- liga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. En betydande skillnad i dataskyddsförordningen jämfört med motsvarande bestämmelse i 14 2010:1, Datainspektionens föreskrifter om ändring av Datainspektionens föreskrifter (1998:3) om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m. dataskyddsdirektivet (artikel 8.5) är att någon möjlighet för med- lemsstaterna att på denna grund begränsa behandlingen av person- uppgifter om avgöranden i tvistemål och administrativa sanktioner inte finns (SOU 2017:39, s. 192). har i sitt förslag till dataskyddslag (SOU 2017:39, s. 189 f.) analyserat i vilken utsträckning det bör införas regler i den kompletterande regleringen som tillåter be- handling av uppgifter om lagöverträdelser som inte sker under kontroll av en myndighet. Utgångspunkten för analysen har varit den befintliga regleringen om behandling för forskningsändamål och den delegerade föreskriftsrätten i personuppgiftslagen. Dataskydds- utredningen har dock i sitt förslag inte behandlat frågan om behand- ling av uppgifter om lagöverträdelser för forskningsändamål. Denna fråga behandlas i stället av i delbetänk- andet Personuppgiftsbehandling för forskningsändamål (SOU 2017:50). I 3 kap. 9–12 §§ i den föreslagna dataskyddslagen finns bestäm- melser om personuppgifter som rör lagöverträdelser. Enligt 3 kap. 9 § får personuppgifter som rör fällande domar i brottmål, lagöver- trädelser som innefattar brott eller straffprocessuella tvångsmedel enligt artikel 10 i dataskyddsförordningen behandlas av myndig- heter. Bestämmelsen avses delvis motsvara 21 § första stycket personuppgiftslagen (a.a. s. 371).