sou · H5B397 · 2017-12-08 00:00:00 — Som anförts i avsnitt 9.3.2 avses med känsliga personuppgifter uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, genetiska och biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa samt uppgifter om en fysisk persons sexualliv eller sexuella lägg- ning (artikel 9.1 i dataskyddsförordningen). I registerförfattningar som rör myndigheters personuppgiftsbehandling finns därför i regel bestämmelser som begränsar möjligheten att söka och sammanställa känsliga personuppgifter, t.ex. bestämmelser om vilka sökbegrepp som får användas, olika typer av sökbegränsningar och sökförbud. En följd av att bestämmelser om sökförbud av vissa känsliga personuppgifter finns i olika registerförfattningar är att offentlig- hetsprincipen inskränks enligt den s.k. begränsningsregeln i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. En begäran om att få tillgång till en sammanställning av uppgifter som är resultatet av en förbjuden sökning ska enligt den bestämmelsen avslås på den grunden att sammanställningen inte anses förvarad hos myndigheten. Den utgör då följaktligen inte heller en allmän handling. Syftet med begränsningsregeln är att hindra allmänheten från att göra anspråk på att få del av sammanställningar av uppgifter ur upptagningar hos myndigheten som myndigheten själv, av integritetsskäl, är rättsligt förhindrad att ta fram i sin egen verksamhet. Integritetsskyddet ska alltså upprätthållas även om 2 kap. tryckfrihetsförordningen åberopas (se t.ex. prop. 2015/16:65, s. 85). I pliktregisterlagen finns bestämmelser om förbud mot användning av vissa särskilt angivna sökbegrepp. Enligt 14 § första stycket plikt- registerlagen får personuppgifter som avses i 9 § första stycket 2 och 3 samt 5–9 inte användas som sökbegrepp annat än om det behövs för tillsyn, uppföljning eller utvärdering av Rekryterings- myndighetens verksamhet eller för framtagande av material för forskning eller statistik. Det innebär att uppgift om hinder för genomförande av mönstring eller annan utredning, för utbildning eller för krigsplacering eller annat ianspråktagande av den registrerade för totalförsvarets räkning inte får användas som sökbegrepp. Inte heller uppgift om boende- och familjeförhållanden och försörjning får enligt nuvarande reglering användas som sökbegrepp. Det- samma gäller uppgifter om resultat från kunskapsprov och anlags- test som utförts vid mönstring eller annan utredning. Uppgift om fysisk och psykisk hälsa och förmåga jämte de uppgifter som ligger till grund för bedömningen härav faller också utanför vad som är tillåtet att söka fram. Sökning får vidare inte ske beträffande upp- gifter om den registrerade är svensk medborgare eller inte, utgången i mål om ansvar för brott mot totalförsvarsplikten eller att den registrerade har dömts till påföljd för brott som framgår av uppgift ur belastningsregistret. Slutligen får inte heller uppgift om att den registrerade genomgått säkerhetsprövning enligt säkerhetsskydds- lagen, vilken säkerhetsklass prövningen avsett och resultatet av denna användas som sökbegrepp. 9.8.3Våra överväganden och förslag Utredningens förslag: Vid sökning i personuppgifter är det förbjudet att som sökbegrepp använda känsliga personuppgifter. Det är också förbjudet att som sökbegrepp använda upp- gifter om 1.hinder för mönstring, annan utredning, utbildning, krigs- placering eller annat ianspråktagande av den registrerade för totalförsvarets räkning, 2.boende- och familjeförhållanden samt försörjning, 3.resultat från begåvningstest eller anlagstest som utförs vid mönstring eller annan utredning, 5.lagöverträdelser, säkerhetsprövning enligt säkerhetsskydds- lagen samt vilken säkerhetsklass prövningen avsett och resul- tatet av denna. De sökbegrepp som anges i andra stycket får användas som sökbegrepp vid behandling för ändamålet planering, uppföljning och utvärdering av verksamheten eller vid utlämnande för fram- ställning av statistik eller för forskningsändamål. De sökbegrepp som anges i andra stycket 3 får även användas som sökbegrepp vid behandling för ändamålet att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret. I 3 kap. 4 § i den föreslagna dataskyddslagen uppställs ett generellt förbud för myndigheter att använda sökbegrepp som avslöjar käns- liga personuppgifter. Bestämmelsen är dock enbart tillämplig vid myndigheters behandling som sker med stöd av 3 kap. 3 § samma lag. Såsom beskrivits ovan anser vi att nämnda bestämmelse inte är tillräcklig för att ska kunna fullgöra sina uppgifter. Myndigheten har således ett berättigat behov av att be- handla känsliga personuppgifter i större omfattning än vad data- skyddslagens undantag medger. Vi föreslår därför att en mer tillåt- ande bestämmelse om behandling av känsliga personuppgifter tas in i lagen (se avsnitt 9.3.3). Vidare omfattar den nu föreslagna lagen, liksom tidigare, behand- ling av en stor mängd känsliga personuppgifter som – om det inte fanns några sökbegränsningar – skulle möjliggöra sammanställ- ningar av stor omfattning eller kartläggning av totalförsvarspliktigas personliga förhållanden, vilket i sig kan utgöra ett intrång i den per- sonliga integriteten. Mot den bakgrunden föreslår vi att det i lagen, i likhet med nu- varande reglering, införs en bestämmelse om sökförbud. Av bestäm- melsen bör det framgå att det vid sökning i personuppgifter ska vara förbjudet att som sökbegrepp använda känsliga personupp- gifter, bl.a. uppgifter om fysisk och psykisk hälsa. Därutöver bör det vara förbjudet att som sökbegrepp använda uppgifter om 1.hinder för mönstring, annan utredning, utbildning, krigsplacer- ing eller annat ianspråktagande av den registrerade för totalför- svarets räkning, 2.boende- och familjeförhållanden samt försörjning, 3.resultat från begåvningstest eller anlagstest som utförs vid mönst- ring eller annan utredning, 5.lagöverträdelser, säkerhetsprövning enligt säkerhetsskyddslagen samt vilken säkerhetsklass prövningen avsett och resultatet av denna. Det föreslagna sökförbudet omfattar samma sökbegrepp som enligt nu gällande reglering med undantag för uppgifter om resultat från kunskapsprov. Anledningen är att totalförsvarspliktiga vid mönstring eller annan utredning inte längre utför kunskapsprov utan begåv- ningstest. Det innebär att sökförbudet i den nya lagen bör omfatta uppgifter om resultat från begåvningstest eller anlagstest som utförs vid mönstring eller annan utredning. Från sökförbudet föreslår vi dock vissa generella undantag för de fall de ovan uppräknade sökbegreppen (p. 1–5) behöver användas vid behandling för ändamålet planering, uppföljning och utvärdering av verksamhet. Den insamling av uppgif- ter och behandling av totalförsvarspliktigas personliga förhållanden som utför inom ramen för sin verksam- het, dvs. de uppgifter som tidigare fanns i registret över totalför- svarspliktiga, är också betydelsefullt som underlag för statistik eller för forskningsändamål. Vi förslår därför att undantag från förbudet att använda de uppräknade sökbegreppen bör göras för framställ- ning av statistik eller för forskningsändamål. De nu föreslagna undantagen gäller även enligt nu gällande lag. Skäl att frångå en sådan ordning har inte kommit fram. har även behov av att som sökbegrepp använda uppgifter om resultat från begåvningstest och anlagstest för att kunna ta fram underlag för inskrivning av lämpliga personer till grundutbildning med värnplikt. För att samtliga utbildnings- platser ska kunna tillsättas med personer som uppfyller kraven för inskrivning till grundutbildning med värnplikt använder sig Rekry- teringsmyndigheten av den s.k. utbildningsreserven. Genom att söka på resultat från de begåvningstester eller anlagstester som utförs vid mönstring eller annan utredning kan myndigheten få fram vilka personer i utbildningsreserven som uppfyller kraven för inskrivning. Därefter kan en bedömning göras vilka av dessa som bör skrivas in till grundutbildning med värnplikt. Vi föreslår därför att uppgifter om resultat från begåvnings- eller anlagstest som utförs vid mönstring eller annan utredning (p. 3) ska få användas som sökbegrepp vid behandling för ändamålet att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret. Skulle en känslig personuppgift uppdagas vid en sökning för de ovan angivna ändamålen omfattas dock uppgiften av sökförbudet enligt huvudregeln, dvs. förbudet att som sökbegrepp använda känsliga personuppgifter. 9.9Annans registrering och rättelse av uppgifter Enligt 13 § pliktregisterlagen får regeringen meddela föreskrifter om att annan än får föra in person- uppgifter i det automatiserade registret över totalförsvarspliktiga och rätta dessa. Av 3 § första stycket förordningen om behandling av personuppgifter om totalförsvarspliktiga framgår att de myndig- heter m.fl. som anges i bilagorna till förordningen får föra in upp- gifter i registret över totalförsvarspliktiga och rätta dessa. Vilka personuppgifter som får föras in och rättas anges uttömmande i bilaga 2 till förordningen. Försvarsmakten får exempelvis föra in och rätta uppgifter om –personnummer eller samordningsnummer, namn, adress, telefon- nummer och folkbokföringsort, –krigsplacering, annat ianspråktagande av den registrerade för total- försvaret eller särskild uppgift som han eller hon ska utföra vid höjd beredskap, och –tjänstgöring inom totalförsvaret samt betyg, vitsord, förord- nanden och utmärkelser som är att hänföra till denna (jfr 9 § första stycket punkterna 1, 11 och 12). I förarbetena (prop. 1997/98:80 s. 62 f.) till nuvarande reglering anförde regeringen att effektivitetsskäl talar för att ett system där uppgiftslämnare lämnar uppgifterna genom att själva föra in dem i mottagarens register som förs med hjälp av automatiserad behand- ling ska tillåtas. Vissa organ inom totalförsvaret ska från egen terminal kunna lägga in uppgifter om sin personal direkt i Rekryterings- myndighetens register som förs med hjälp av automatiserad be- handling. Tre olika typer av anteckningar ska i första hand kunna göras på detta sätt: 1.journalanteckningar som under grundutbildningen förs av läkare eller annan sjukvårdspersonal vid en utbildningsenhet, 2.utryckningsrapporter med uppgifter om antalet fullgjorda tjänst- göringsdagar, vitsord m.m. som lämnas till Rekryteringsmyndig- heten från den ansvariga utbildningsenheten efter det att den totalförsvarspliktige fullgjort sin grundutbildning, samt 3.anteckningar om att en person tagits i anspråk för ett organs krigsorganisation. En förutsättning är emellertid att säkerhet kan garanteras mot att obehöriga personer påverkar registerinnehållet. Sådan säkerhet kan enligt regeringens uppfattning skapas genom att endast vissa befatt- ningshavare hos uppgiftslämnaren ges tillträde till registret. Per- sonliga användarkort med koder måste utfärdas och möjligheterna för den behörige att föra in uppgifter måste begränsas till den art av uppgifter som vederbörande ska lämna till Rekryteringsmyndig- heten. Säkerheten vid terminalen hos uppgiftslämnaren måste vara hög, utrustningen bör t.ex. vara inlåst när terminalen är obemannad. måste ta på sig ett ansvar för att utbilda och informera uppgiftslämnarna i säkerhetsfrågor. De säkerhets- mässiga överväganden som bör föregå ett tillstånd för annan att föra in uppgifter i register kan inte göras generellt. Varje organ – eller i vart fall typ av organ (t.ex. För- svarsmaktens utbildningsenheter) – bör prövas för sig. Regeringen bör från fall till fall kunna avgöra vilka organ, utöver Rekryterings- myndigheten, som ska ha rätt att föra in uppgifter i det auto- matiserade registret över totalförsvarspliktiga samt vilken art av uppgifter dessa har rätt att lämna. och de andra organ som behandlar personuppgifterna bär ansvaret för att tillräckliga säkerhetsåtgärder vidtas. De som medges rätt att föra in personuppgifter i det automatiserade registret över totalförsvars- pliktiga bör också ges behörighet att rätta sina uppgifter som blivit felaktigt antecknade. Däremot bör det vara Rekryteringsmyndig- hetens sak att se till att inaktuella uppgifter gallras efterhand. 9.9.2Våra överväganden och förslag Utredningens förslag: Försvarsmakten får föra in och rätta per- sonuppgifter i informationssystem i den utsträckning som följer av förordning. Regeringen får meddela föreskrifter om att även annan än Försvarsmakten får medges sådan rätt. Försvarsmakten har enligt nu gällande reglering rätt att föra in och rätta vissa särskilt angivna personuppgifter i Rekryteringsmyndig- hetens register över totalförsvarspliktiga. Under utredningen har framkommit att Försvarsmakten använder sig av denna rätt att föra in och rätta sådana personuppgifter i informationssystem. Det bör därför införas en bestämmelse i den nya lagen om att Försvarsmakten får föra in och rätta vissa person- uppgifter i informationssystem. I likhet med nuvarande ordning bör det i den nya förordningen uttöm- mande anges vilka personuppgifter som omfattas av rätten till regi- strering och rättelse. Enligt vår bedömning bör denna rätt omfatta samma uppgifter som enligt nuvarande reglering. Vad som gäller i fråga om rättelse behandlas i avsnitt 10.1. I avsnitt 9.7.2 föreslås att regeringen får meddela föreskrifter om att medge annan aktör direktåtkomst till Rekryteringsmyndig- hetens informationssystem. I den mån regeringen medger andra aktörer än Försvarsmakten direktåtkomst enligt nämnda förslag, bör det också finnas möjlighet för dessa att föra in och rätta vissa uppgifter i informationssystem. En be- stämmelse som möjliggör detta bör därför föras in i den nya lagen. Även i sådana fall bör det i den nya förordningen uttömmande anges vilka personuppgifter som omfattas av rätten till registrering och rättelse. Det bör i detta sammanhang erinras om att den behandling av personuppgifter som utförs av den aktuella aktören sker med stöd av den nu föreslagna lagen och inte med stöd av någon annan register- författning. Aktören i fråga blir personuppgiftsansvarig för den per- sonuppgiftsbehandling som sker när uppgifterna förs in i Rekryter- ingsmyndighetens informationssystem samt vid rättelse av dem. blir å sin sida personuppgiftsansvarig för den behandling av personuppgifterna som myndigheten utför. Det innebär att och Försvarsmakten har ett gemensamt personuppgiftsansvar för den behandling som respektive myndighet utför (jfr artikel 26 i dataskyddsförordningen). I förslag till Myndighets- datalag (SOU 2015:39, s. 354 f.) föreslås att en överenskommelse om hur skyddet för personuppgifter ska säkerställas bör träffas mellan myndigheter innan direktåtkomst medges samt vid andra former av informationsutbyten som innebär behandling av personuppgifter i gemensamma eller annars integrerade informationssystem. Överens- kommelsen ska i första hand syfta till att klargöra ansvarsförhållan- det mellan de berörda myndigheterna. Av överenskommelsen bör framgå hur utövande av de skyldigheter som personuppgiftsansvaret innefattar ska ske. Motsvarande synsätt fastställs i artikel 26 i data- skyddsförordningen. I bestämmelsen anges bl.a. att gemensamt per- sonuppgiftsansvariga ska under öppna former fastställa sitt respek- tive ansvar för att fullgöra skyldigheterna enligt förordningen, sär- skilt vad gäller utövandet av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla den information som avses i artiklarna 13 och 14, genom ett inbördes arrangemang, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de person- uppgiftsansvariga omfattas av. Mot denna bakgrund är det lämpligt att och Försvarsmakten träffar en gemen- sam överenskommelse om hur de skyldigheter som följer med res- pektive personuppgiftsansvar ska utövas. Detta är även av stor vikt för integritetsskyddet. 9.10Rätten att göra invändningar I gällande svensk rätt finns inte någon generell rätt för den regi- strerade att göra invändningar mot den behandling av personupp- gifter som sker hos myndigheter. En begränsad rätt att motsätta sig behandling följer dock av personuppgiftslagen. Enligt 11 § personuppgiftslagen får personuppgifter inte behand- las för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. I 12 § första stycket personupp- giftslagen anges att den registrerade har rätt att när som helst åter- kalla sitt samtycke i vissa fall då behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. Av andra stycket följer att en registrerad, utöver vad som följer av första stycket och 11 §, inte har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt personuppgiftslagen. Varken pliktregisterlagen eller förordningen om behandling av personuppgifter om totalförsvarspliktiga innehåller någon uttryck- lig bestämmelse som tillåter att behandla personuppgifter även om den registrerade motsätter sig behandlingen. Det innebär att personuppgiftslagens bestämmelser är tillämpliga, vil- ket betyder att behandling får ske trots att en totalförsvarspliktig motsätter sig behandling med undantag för behandling som sker för direkt marknadsföring (jfr 4 § pliktregisterlagen och 11 och 12 §§ personuppgiftslagen). Den registrerades rätt att göra invändningar mot behandling av personuppgifter regleras i artikel 21 i dataskyddsförordningen. Be- stämmelsen innebär en utvidgad rätt att göra invändningar i för- hållande till gällande rätt. Enligt artikel 21.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Rätten att göra invändningar avser sådan behandling som är nödvändig för att ut- föra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning eller som sker med stöd av en intresseavvägning (artikel 6.1 e eller f). Rättigheten gäller alltså inte vid behandling av personuppgifter som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig förplikt- else (artikel 6.1 c). Om den registrerade gör en invändning får den personuppgiftsansvarige inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behand- lingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller för- svar av rättsliga anspråk. I artikel 21.2 föreskrivs en rätt för den registrerade att när som helst invända mot behandling av personuppgifter som sker för direkt marknadsföring. Om den registrerade invänder mot sådan behand- ling ska personuppgifterna inte längre behandlas för sådana ändamål (artikel 21.3). Rätten att invända mot behandling ska uttryckligen meddelas den registrerade senast vid den första kommunikationen med denne (artikel 21.4). I dataskyddsförordningen ges en möjlighet att i nationell rätt begränsa bl.a. rätten att göra invändningar enligt artikel 21.1 om de förutsättningar som anges i artikel 23 är uppfyllda. Enligt artikel 23.1 får en sådan begränsning införas om den sker med respekt för ande- meningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Därutöver måste begränsningen ske i syfte att säkerställa något av de i punkterna a–j uppräknade intressena, såsom den nationella säker- heten och försvaret (punkterna a och b) och andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet (punkten e). Vidare måste den lagstiftning som begränsar den registrerades rättigheter innehålla vissa specifika bestämmelser om bl.a. skyddsåtgärder i enlighet med artikel 23.2. har i sitt betänkande (SOU 2017:39 s. 207 f.) särskilt övervägt om rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen bör inskränkas generellt när det gäller sådan behandling som sker med stöd av artikel 6.1 e, dvs. med en fastställd uppgift av allmänt intresse som rättslig grund. Utred- ningen ansåg dock att rätten att göra invändningar mot myndig- heters behandling av personuppgifter inte bör inskränkas på ett generellt plan genom ett undantag i den föreslagna dataskydds- lagen. I stället bör sådana undantag övervägas på sektorspecifik nivå, om villkoren för behandling av personuppgifter med stöd av arti- kel 6.1 e specificeras genom författning. 9.10.4Våra överväganden och förslag Utredningens förslag: Dataskyddsförordningens bestämmelse om rätt att göra invändningar (artikel 21.1) ska inte gälla vid behandling enligt denna lag eller föreskrifter som har meddelats med stöd av lagen. En sådan bestämmelse ska därför föras in i lagen. Som framgår av avsnitt 8.1.2 är person- uppgiftsbehandling nödvändig för att myndigheten ska kunna be- driva sin verksamhet och får därför anses vara av allmänt intresse. Behandlingen kan också betraktas som ett led i myndighetsutöv- ning. Behandlingen grundar sig därmed huvudsakligen på artikel 6.1 e i dataskyddsförordningen, vilket medför en rätt för den registrerade att med stöd av artikel 21.1 i förordningen invända mot behand- lingen. Det kan konstateras att verksamhet och behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret utförs i syfte att säkerställa den nationella säkerheten och försvaret. Det kan också hävdas att per- sonuppgiftsbehandlingen sker för att säkerställa skyddet för både den registrerades och andras rättigheter och friheter. Behandlingen grundar sig till övervägande del på den skyldighet för totalförsvars- pliktiga att lämna uppgifter om sina personliga förhållanden i bered- skapsunderlaget enligt lagen om totalförsvarsplikt. Samtycke från de totalförsvarspliktiga till att uppgifterna behandlas krävs således inte. Den behandling som tillåts enligt denna lag är en förutsättning för att ska kunna utföra sitt uppdrag. Det är därför inte rimligt att en totalförsvarspliktig ska kunna invända mot behandlingen med följden att personuppgifterna inte längre får behandlas om inte kan påvisa tvingande berättigade skäl för behandlingen. Att begränsa rätten att göra invändningar mot behandling av personuppgifter om totalför- svarspliktiga och annan personal på totalförsvarsområdet är nödvän- digt för att totalförsvarets personalförsörjning ska kunna upprätt- hållas. En möjlighet för den registrerade att invända mot behandlingen skulle kunna få stora konsekvenser för bemanningen av totalförsvaret. Vi gör därför bedömningen att en begränsning av rätten att göra invändningar både är nödvändig och proportionerlig i förhållande till sitt syfte. Begränsningen strider inte heller mot andemeningen i de grundläggande rättigheterna och friheterna. I den nya lagen föreslås vidare att ska följa dataskyddsförordningens direkt tillämpliga bestämmelser om skyddsåtgärder i form av bl.a. kravet på effektiva rättsmedel och säkerhet för personuppgifter (se avsnitt 9.11.3). Därutöver tillgodo- ses den registrerades möjligheter att åtgärda en felaktig personupp- giftsbehandling dels genom dataskyddsförordningens bestämmel- ser om rätt till rättelse, radering och begränsning av behandling (artiklarna 16–18), dels bestämmelserna om information och till- gång till personuppgifter i den föreslagna dataskyddslagen (5 kap. 1–3 §§).