sou · H5B397 · 2017-12-08 00:00:00 — SOU och Ds kan köpas från kundservice. Beställningsadress: kundservice, 106 47 Ordertelefon: Webbplats: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2017 Till statsrådet och chefen för bemyndigade regeringen chefen för departementet att tillkalla en särskild utredare med uppdrag att göra en översyn av regleringen av behandlingen av personuppgifter om totalförsvarspliktiga. Regeringen beslutade om direktiv för utredningen (dir. 2016:103). Till särskild utredare förordnades kammarrättsrådet . Utredningen har antagit namnet (Fö 2016:01). Som sakkunniga i utredningen förordnades militärsakkunnige , kanslirådet och rätts- sakkunnige , samtliga vid Försvarsdepartementet. Som experter att biträda utredningen förordnades försvarsjuristen och stabschefen , båda vid Försvarsmakten, dåvarande chefsjuristen och avdelningschefen , båda vid Totalförsvarets rekryter- ingsmyndighet, och juristen , Datainspektionen. Som sekreterare anställdes förvaltnings- rättsfiskalen . Härmed överlämnas betänkandet Totalförsvarsdatalag – Rekry- teringsmyndighetens personuppgiftsbehandling (SOU 2017:97). Uppdraget är härmed slutfört. Förslag till totalförsvarsdatalag.............................................. 1.2Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)................................................ Förslag till totalförsvarsdataförordning ................................ Utredningens uppdrag och arbete................................ Gällande regler om personuppgiftsbehandling och enskildas rätt till personlig integritet ..................... 3.1Nationell reglering till skydd för den personliga Offentlighets- och sekretesslagen .......................... 3.2Internationell reglering till skydd för den personliga 3.2.3Övriga internationella åtaganden och Allmänt om personalförsörjningen och verksamheten..... Personalförsörjningen inom totalförsvaret........................... Totalförsvarsplikten och totalförsvarspliktiga...... Annan personal inom totalförsvaret...................... Övrig personal inom Försvarsmakten ................... 4.2Utredningar om totalförsvarspliktigas personliga Möjligheten att själv initiera annan utredning....... Allmänt om verksamheten ..................................... Andra uppdrag för Försvarsmakten....................... Beredskapsunderlaget och mönstring.................... Stöd och service till bemanningsansvariga Behandling av personuppgifter vid mönstring...................... Kallelse till mönstring ............................................. Behandling av personuppgifter vid annan utredning............ Resultatet av kartläggningen .................................................. Allmänna utgångspunkter för den nya regleringen ......... En ny reglering införs............................................................. Våra överväganden och förslag ............................... 6.2Förhållandet till EU:s dataskyddsreglering och förslaget till dataskyddslag .............................................. Allmänt om EU:s dataskyddsreform ................... Våra överväganden och förslag ............................. Behov av lagreglering............................................................ Krav på lagform ..................................................... 7.3 Lagens tillämpningsområde ................................................. 7.3.2Metod för reglering av tillämpningsområde omfattas av lagens tillämpningsområde? utanför lagens tillämpningsområde?.................... Våra överväganden och förslag............................. Rättslig grund och tillåtna ändamål ........................... Rättslig grund för behandlingen av personuppgifter ......... Tillåtna ändamål för behandlingen av personuppgifter...... Allmänt om primära och sekundära ändamål ...... 8.2.3För vilka primära ändamål ska personuppgifter få behandlas?.......................................................... 8.2.4För vilka sekundära ändamål ska personuppgifter få behandlas?.............................. Den nya regleringen ................................................. Registret över totalförsvarspliktiga ..................................... Allmänt om begreppen register, databaser och gemensamt tillgängliga uppgifter.................. Personuppgifter som får behandlas..................................... Våra överväganden och förslag............................. Dataskyddsförordningen och dataskyddslagen... Våra överväganden och förslag ............................. 9.4Behandling av personnummer och 9.5 Behandling av personuppgifter om lagöverträdelser .......... Tillgång till personuppgifter................................................. Våra överväganden och förslag ............................. Allmänt om direktåtkomst ................................... Reglering av direktåtkomst................................... Allmänt om sökbegränsningar.............................. Våra överväganden och förslag ............................. Annans registrering och rättelse av uppgifter ..................... Våra överväganden och förslag ............................. Rätten att göra invändningar................................................ Våra överväganden och förslag ............................. Säkerheten för personuppgifter ........................................... 9.12.1 Allmänt om begreppet personuppgiftsincident .. Förslag till brottsdatalag....................................... 9.12.5 Våra överväganden och förslag............................. Dataskyddsförordningen och dataskyddslagen .. 9.13.3 Våra överväganden och förslag............................. Vissa andra frågor av särskild vikt för dataskyddet ....... Rättelse och annan korrigering............................................ Dataskyddsförordningen och dataskyddslagen .. Anmälningsskyldighet och dataskyddsombud................... Information till den registrerade ......................................... Dataskyddsförordningen och dataskyddslagen .. Dataskyddsförordningen och dataskyddslagen .. Bevarande och gallring m.m. .................................... Allmänt om bevarande och gallring..................................... Bevarande och gallring i Bevarande för arkivändamål.................................. 11.2.3 Våra överväganden och förslag ............................. Särskilt om bevarande av känsliga personuppgifter för Allmänt om offentlighet och sekretess ............................... 12.2.3 Hälsotillstånd samt hälso- och sjukvård .............. Våra överväganden och förslag............................................. Ett förstärkt sekretesskydd................................... 12.3.2 En ny sekretessbrytande bestämmelse................. Vårt förslag till ny reglering ................................................. Konsekvenser för den personliga integriteten .................... Konsekvenser i övrigt........................................................... Förslaget till totalförsvarsdatalag ........................................ Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) ............................................. Bilaga 1 Kommittédirektiv 2016:103......................................... direktiv /46/EG av den 24 ok- tober 1995 om skydd för enskilda personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana upp- förordning (EU) 2016/679 av den om skydd för fy- siska personer med avseende på och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- om skydd för en- skilda vid automatisk databehand- till lag (2018:xx) med komplet- terande bestämmelser till EU:s Rådets rambeslut /977/RIF skydd av personuppgifter som be- handlas inom ramen för polis- samarbete och straffrättsligt sam- Europeiska unionens domstol/ för de mänskliga rättigheterna och Europeiska unionens stadga om följande sida/sidor Med plikt tjänstgörande grupp- befäl, soldater och sjömän direktiv (EU) 2016/680 av den om skydd för fy- siska personer med avseende på ling av personuppgifter för att förebygga, förhindra, utreda, av- slöja eller lagföra brott eller verk- ställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF lag (1998:938) om behandling av Kortformer för viss citerad litteratur En kommentar, uppl. 4, 2016, Vårt uppdrag har varit att göra en översyn av regleringen av be- handlingen av personuppgifter om totalförsvarspliktiga i form av lagen (1998:938) respektive förordningen (1998:1229) om behand- ling av personuppgifter om totalförsvarspliktiga och att ta fram för- slag till en ny lag och förordning. Utgångspunkten har varit att Totalförsvarets rekryteringsmyndighets () verksamhet ska kunna bedrivas effektivt med rationellt datorstöd som enskildas rätt till personlig integritet tillgodoses. Som ett led i detta har det bl.a. ingått att göra en kartläggning av behandling av personuppgifter. Uppdraget har inte omfattat behandling av person- uppgifter inom ramen för myndighetens civila uppdragsverksamhet. Vi har också haft i uppdrag att analysera vilket förhållande lag- stiftningen ska ha dels till EU:s dataskyddsförordning och den kompletterande nationella lagstiftning som föreslagits till följd av den, dels till annan reglering på området. Vid utformningen av en ny reglering har vi också beaktat den nya bestämmelsen i 2 kap. 6 § andra stycket regeringsformen med krav på lagform vid betydande intrång i den personliga integriteten. I betänkandet redovisas även vissa andra frågeställningar som har ingått i uppdraget. Allmänna utgångspunkter för den nya regleringen Vår kartläggning av personuppgifts- behandling visar att behandlingen är omfattande och att myndig- heten i allt större utsträckning använder sig av elektronisk behand- ling av personuppgifter i sin verksamhet. fungerar i huvudsak väl men är i behov av modernisering för att bättre vara anpassad till annan reglering inom rättsområdet och för att möta såväl myndighetens som uppdragsgivarnas krav. Vi föreslår att en ny lag införs, som ska heta totalförsvarsdata- lag, samt en anslutande förordning. Den nya regleringen ska ersätta den nu gällande lagen och förordningen om behandling av person- uppgifter om totalförsvarspliktiga som därigenom upphävs. Vi föreslår att regleringen av behand- ling av personuppgifter inte ska vara helt fristående utan anpassas till bestämmelserna i dataskyddsförordning och den komplet- terande dataskyddslagen. I den nya lagen införs därför en bestäm- melse som anger att dataskyddslagen gäller vid behandling av per- sonuppgifter i verksamhet, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen. Dataskyddslagen är således subsidiär i förhållande till denna lag eller föreskrifter som har meddelats med stöd av lagen. Till följd av bestämmelserna i dataskyddslagen kompletterar den nya lagen dataskyddsförordningen som, i tillämpliga delar, blir direkt tillämplig vid behandling av personuppgifter i Rekryteringsmyndig- hetens verksamhet. Uttrycket ”tillämpliga delar” tydliggör att vissa bestämmelser i dataskyddsförordningen inte kan tillämpas i rent nationell verksamhet och därmed inte av . Vårt förslag till ny reglering innebär att de grundläggande reglerna för behandling av personuppgifter om totalförsvarspliktiga ges i form av lag. De grundläggande reglerna avser, med beaktande av 2 kap. 6 § andra stycket regeringsformen, både moment i personuppgifts- behandlingen som kan uppfattas som intrång i enskilds personliga förhållanden och sådant som är centralt för skyddet av den enskildes personliga integritet. Vi föreslår att övriga bestämmelser ges i form av förordning och kompletterande föreskrifter. Den nya lagen ges en mer generell utformning jämfört med den lag som gäller för . Lagen innehål- ler exempelvis inte bestämmelser som, till skillnad från vad som är fallet , särskilt tar sikte på att viss behandling sker i register. I lagen anges inte heller vilka kategorier av personer eller person- uppgifter som får behandlas utan alla personuppgifter får behand- las som är nödvändiga för de ändamål för vilken behandlingen får utföras. Lagens syfte och tillämpningsområde Lagens syfte är att ge möjlighet att i sin verksamhet behandla personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret på ett effektivt och ändamåls- enligt sätt som skyddet för den enskildes personliga integritet tillgodoses vid sådan behandling. Lagen ska tillämpas i verksamhet vid behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret. Här avses den behandling som Rekry- teringsmyndigheten på grund av sitt uppdrag utför beträffande både totalförsvarspliktiga samt anställd personal och avtalspersonal inom totalförsvaret. Lagen gäller i de fall det anges särskilt även i verksam- het som bedrivs av någon annan än . Ett sådant fall är då behandling av känsliga personuppgifter sker vid annan utredning enligt lagen (1994:1809) om totalförsvarsplikt. Ett annat fall är om Försvarsmakten eller annan aktör medges rätt att föra in och rätta personuppgifter i infor- mationssystem. Utanför lagens tillämpningsområde faller Rekryteringsmyndighe- tens administrativa verksamhet och civila uppdragsverksamhet. Den nya lagen tillämpas inte heller vid behandling som Rekryterings- myndigheten utför i egenskap av vårdgivare inom hälso- och sjuk- vården. Vid sådan behandling tillämpas, precis som tidigare, patient- datalagen (2008:355). Det förekommer att bemanningsansvariga organ lämnar personuppgifter om totalförsvarspliktiga till Rekryter- ingsmyndigheten eller tar emot sådana uppgifter från myndigheten. Sådan behandling av personuppgifter om totalförsvarspliktiga som bemanningsansvariga organ utför faller också utanför lagens tillämp- ningsområde. Lagens tillämpningsområde begränsas också genom att lagen endast ska tillämpas vid sådan behandling av personuppgifter som är helt eller delvis automatisk eller som ingår i eller kommer att ingå i en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier. I lagen klargörs att är personuppgifts- ansvarig för den behandling som myndigheten utför. Rättslig grund och tillåtna ändamål Enligt dataskyddsförordningen är behandling av personuppgifter laglig endast om den grundar sig på åtminstone en av vissa särskilt uppräknade rättsliga grunder. För ett par av de rättsliga grunderna krävs att de ska vara fastställda i unionsrätten eller i nationell rätt, bl.a. i fråga om den rättsliga grunden allmänt intresse. Rekryterings- myndighetens behandling av personuppgifter grundar sig fram- för allt på denna rättsliga grund. Vår bedömning är att den rättsliga grunden är fastställd i förordningen (2010:1472) med instruktion för Totalförsvarets rekryteringsmyndighet (myndighetsinstruktio- nen). Dataskyddsförordningens krav i denna del medför därför inte något behov av ytterligare författningsstöd. I lagen anges uttömmande de primära ändamål för vilka person- uppgifter får behandlas i verksamhet i syfte att precisera den rättsliga grunden för behandlingen. De primära ändamålen motsvarar de centrala delarna i verksamhet, bl.a. att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret samt att redovisa personal med uppgifter inom totalförsvaret. Av lagen framgår även att personuppgifter som har samlats in för något av de primära ändamålen får behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller för- ordning. Behandling av känsliga personuppgifter I verksamhet förekommer känsliga per- sonuppgifter i stor utsträckning. Dataskyddsförordningens bestäm- melser innebär att det som huvudregel är förbjudet att behandla känsliga personuppgifter, men det finns vissa undantag som tillåter behandling. Den kompletterande dataskyddslagen ger stöd för ytter- ligare behandling av känsliga personuppgifter på myndighetsområdet. Vår bedömning är att undantagen i dataskyddsförordningen och dataskyddslagen inte är tillräckliga för att ska kunna utföra sin verksamhet. Vi föreslår därför en bestämmelse i den nya lagen som tillåter att känsliga personuppgifter därutöver får behandlas om det är absolut nödvändigt för de primära och sekun- dära ändamålen i lagen. Även annan än ges vid annan utredning enligt lagen om totalförsvarsplikt motsva- rande rätt att behandla känsliga personuppgifter. Genom kravet på absolut nödvändighet markeras att behandlingen ska ske med restriktivitet och att behovet av att behandla den känsliga person- uppgiften ska prövas noga i det enskilda fallet. Behandling av käns- liga personuppgifter förutsätter också att behandlingen är tillåten enligt de grundläggande principerna i dataskyddsförordningen. För att minska risken för integritetsintrång ska tillgången till per- sonuppgifter hos begränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. I lagen införs bestämmelser om att direktåtkomst får medges Försvarsmakten och den registrerade själv. Regeringen får meddela föreskrifter om omfattningen av den direktåtkomst som medges Försvarsmakten. Direktåtkomst för den registrerade själv får endast avse personuppgifter i den registrerades eget ärende. Regeringen ges genom ett bemyndigande en begränsad befogenhet att meddela föreskrifter om att medge även annan aktör direktåtkomst. Direkt- åtkomsten ska därvid begränsas till de personuppgifter som aktören behöver för att fullgöra sina uppgifter enligt lag eller förordning och får endast avse vissa uppgifter. Utlämnande av uppgifter till myndigheter Bestämmelserna om direktåtkomst bryter inte eventuell sekretess som kan gälla för personuppgifterna. En sekretessbrytande bestäm- melse om uppgiftsskyldighet i förhållande till Försvarsmakten som motsvarar den direktåtkomst som myndigheten får medges införs därför i den nya lagen. För det fall behov skulle uppstå att medge andra myndigheter än Försvarsmakten direktåtkomst ges reger- ingen befogenhet att meddela sekretessbrytande föreskrifter som möjliggör sådan åtkomst. För att tillgodose dataskyddsförordningens krav på särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen införs ett förbud mot att använda känsliga personuppgifter som sökbegrepp. I lagen förbjuds också användning av vissa andra integritetskänsliga uppgifter som sökbegrepp. Sådana uppgifter får dock användas som sökbegrepp vid behandling för ändamålet att planera, följa upp och utvärdera verk- samhet eller då uppgifter lämnas ut för framställning av statistik eller för forskningsändamål. Uppgifter om resultat från begåvningstest eller anlagstest som utförs vid mönstring eller annan utredning får även användas som sökbegrepp vid behandling för ändamålet att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret. Annans registrering och rättelse av personuppgifter I lagen införs en bestämmelse som ger Försvarsmakten rätt att föra in och rätta personuppgifter i informa- tionssystem i den omfattning som följer av förordning. Försvars- makten är personuppgiftsansvarig för behandling enligt bestämmel- sen. Regeringen ges befogenhet att meddela föreskrifter om att även andra aktörer än Försvarsmakten kan medges rätt att registrera och rätta personuppgifter. Avskiljande av personuppgifter från den löpande verksamheten Vår kartläggning av behandling av per- sonuppgifter visar att någon gallring i egentlig mening, dvs. att infor- mationen förstörs, i allmänhet inte förekommer. Däremot avskiljs personuppgifter från de olika informationssystemen där de behand- las när de inte längre behövs för de olika ändamål för vilka de har samlats in. Det finns ett fortsatt stort behov av att huvuddelen av uppgifterna bevaras i myndighetens s.k. forskningsarkivregister i syfte att utgöra underlag för forskning. Någon särskild bestämmelse om gallring införs därför inte i den nya lagen. I stället ska Rekry- teringsmyndigheten, i egenskap av personuppgiftsansvarig, avskilja personuppgifter så att tillgången till dem begränsas när de inte längre behövs i myndighetens löpande verksamhet för de primära ända- målen. Det är ansvar att dels införa rutiner för när och på vilket sätt avskiljandet ska ske, dels begränsa tillgången till avskilda personuppgifter till det som varje anställd behöver för att kunna utföra sina arbetsuppgifter. För att tillgodose integritetsskyddet föreskrivs i lagen en yttersta gräns för hur länge personuppgifter om totalförsvarspliktiga får be- handlas i den löpande verksamheten. Uppgifterna ska som regel avskiljas senast vid utgången av det kalenderår den totalförsvars- pliktige fyller , dvs. vid totalförsvarspliktens upphörande. Om det står klart att uppgifterna inte behövs utifrån de primära ändamålen ska de avskiljas redan vid denna tid- punkt. Ett undantag införs dock för det fall där den totalförsvars- pliktige, efter att totalförsvarsplikten har upphört, har en uppgift att utföra vid höjd beredskap. Regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om avskiljande. Vissa bestämmelser i dataskyddsförordningen och dataskyddslagen som inte ska tillämpas Vi föreslår att vissa bestämmelser i dataskyddsförordningen och data- skyddslagen inte ska gälla vid behandling av personuppgifter enligt lagen. Dataskyddsförordningens bestäm- melser om den registrerades rätt att göra invändningar samt anmälan av en personuppgiftsincident till tillsynsmyndigheten och informa- tion till den registrerade i samband därmed ska inte gälla vid behand- ling enligt denna lag eller föreskrifter som har meddelats med stöd av lagen. ska inte heller kunna förbjuda Rekry- teringsmyndigheten att behandla personuppgifter. I övrigt ska dock bestämmelserna om tillsynsmyndighetens befogenheter i dataskydds- förordningen och dataskyddslagen tillämpas vid behandling enligt lagen. Vissa andra frågor av särskild vikt för dataskyddet I betänkandet har vi också tagit upp vissa andra frågor som är av särskild vikt för dataskyddet, bl.a. den registrerades rätt till rättelse, radering och begränsning av behandling, dataskyddsombud, säker- het för personuppgifter, den registrerades rätt till information och tillgång till personuppgifter och rätten till skadestånd. Vi har funnit att regleringen i dataskyddsförordningen och dataskyddslagen är tillräcklig i dessa delar. Vi bedömer alltså att något behov av en sär- skild reglering för behandling av person- uppgifter inte finns. Några sådana bestämmelser föreslås därför inte i den nya lagen. I dataskyddsförordningen och i viss utsträckning även i den kom- pletterande dataskyddslagen finns också andra bestämmelser som ska tillämpas av men som inte behandlas särskilt i detta betänkande. Ett sådant exempel är bestämmelser om överklagande. Det finns inget behov av andra sekretessbestämmelser än de som redan finns i offentlighets- och sekretesslagen (2009:204) för att skydda totalförsvarspliktigas personliga integritet. Sekretesskyddet behöver dock stärkas i ärenden som rör utredning, inskrivning, krigsplacering m.m. Sekretess enligt 38 kap. 1 § offentlighets- och sekretesslagen föreslås därför gälla med ett s.k. omvänt skaderekvisit, dvs. med presumtion för sekretess. Vi föreslår också att det i offentlighets- och sekretesslagen in- förs en ny sekretessbrytande bestämmelse som innebär att sekre- tess inte hindrar att uppgift lämnas från den verksamhet som Rekry- teringsmyndigheten i egenskap av vårdgivare bedriver inom hälso- och sjukvården, dvs. den medicinska grenen av verksamheten, till myndighetens inskrivningsverksamhet.