sou · H5B397 · 2017-12-08 00:00:00 — Föreskrifter ska meddelas genom lag om de avser bl.a. skyldigheter för enskilda eller ingrepp i enskildas personliga eller ekonomiska förhållanden (8 kap. 2 § första stycket 2). Kravet på att en sådan föreskrift ska ha form av lag är emellertid inte obliga- toriskt, utan kan bemyndiga regeringen att meddela den typen av föreskrifter (8 kap. 3 §). Enligt 8 kap. 7 § regeringsformen får regeringen bl.a. meddela föreskrifter som inte enligt grundlag ska meddelas av . Att regeringen meddelar föreskrifter i ett visst ämne hindrar inte att meddelar föreskrifter i samma ämne (8 kap. 8 §) Av 8 kap. 10 och 11 §§ regeringsformen följer att en vidare- delegation till en förvaltningsmyndighet att meddela föreskrifter också kan medges av eller, i fråga om regeringens pri- märområde, av regeringen själv. De s.k. registerförfattningarna är ett exempel på en grupp författningar där lagformen ofta har valts trots att detta i allmänhet inte har varit nödvändigt rent normgivningstekniskt. Att det all- männa registrerar personuppgifter om enskilda innebär ingen skyl- dighet för enskilda och har normalt sett inte heller ansetts som något ingrepp i enskilds personliga förhållanden i den mening som avses i 8 kap. 2 § första stycket 2 regeringsformen (m.fl., Regeringsformen – med kommentarer, 2012, s. 311). Register- författningar har alltså i princip ansetts höra till regeringens pri- märområde och har således kunnat regleras i förordningsform. I ett antal lagstiftningsärenden som har rört myndig- heters behandling av personuppgifter har emellertid framhållits att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras i lag (se närmare om detta nedan). Allmänna utgångspunkter för den nya regleringen I betänkandet med förslag till myndighetsdatalag anförde att det torde höra till undan- tagen att en myndighets behandling av personuppgifter sedd för sig kan anses utgöra ett ingrepp i enskilds personliga förhållanden och därför kräver stöd i lag enligt 8 kap. 2 § första stycket 2 regeringsformen (SOU 2015:39, s. 205 f.). Föreskrifter om myndig- heters behandling av personuppgifter reglerar nämligen i allmänhet inte vad en myndighet ska eller tillåts göra i sin verksamhet. Detta regleras i stället i andra regelverk som föreskriver exempelvis vilka uppgifter och vilka befogenheter en myndighet har, vilka person- uppgifter och andra uppgifter som ska samlas in och från vem samt vilka uppgifter som ska lämnas till andra utanför myndighetens verk- samhet. Föreskrifter om behandling av personuppgifter handlar i stället främst om vilka krav som ska ställas på sådan behandling när myndigheten utför sina uppgifter. I den mån det allmänna tillåts att göra intrång i enskildas privata sfär för att en myndighet ska kunna utföra en viss uppgift – exempelvis genom att enskilda åläggs en skyldighet att lämna uppgifter om personliga förhållanden till myn- digheten – regleras detta i allmänhet i något annat regelverk än i en renodlad registerförfattning. Som exempel kan nämnas totalförsvars- pliktigas skyldighet enligt 2 kap. 1 § lagen (1994:1809) om totalför- svarsplikt att lämna nödvändiga uppgifter om personliga förhål- landen, exempelvis hälsotillstånd, för att hans eller hennes förut- sättningar att fullgöra värnplikt eller civilplikt ska kunna utredas och bedömas. Det utökade grundlagsskyddet i 2 kap. 6 § regeringsformen ändrades regeringsformen på så sätt att det i 2 kap. 6 § andra stycket regeringsformen numera föreskrivs att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhåll- anden. Skyddet mot intrång får begränsas i lag och bara i den ord- ning som föreskrivs i 2 kap. 20–22 §§ regeringsformen. Grundlagsbestämmelsen tar sikte på att skydda information om enskildas personliga förhållanden. Enskildas personliga förhållanden avser enligt förarbetena vitt skilda slag av information som är knuten Allmänna utgångspunkter för den nya regleringen till den enskildes person, t.ex. uppgifter om namn och andra person- liga identifikationsuppgifter, adress, familjeförhållanden, hälsa och vandel (prop. 2009/10:80, s. 177). Även fotografisk bild samt upp- gifter som inte är direkt knutna till den enskildes privata sfär, exem- pelvis uppgift om anställning och ekonomi, omfattas av uttrycket. All slags behandling av uppgifter om enskildas personliga för- hållanden som sker utan samtycke ska inte anses som så integri- tetskänslig att det är motiverat att låta den omfattas av integri- tetsskyddet i grundlagen (a. prop. s. 180). Enbart åtgärder som inne- bär kartläggning eller övervakning av enskildas personliga förhål- landen avses. Avgörande för om en åtgärd ska anses innebära över- vakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgärden har (a. prop. s. 250). I förarbetena anges bl.a. att en åtgärd från det allmännas sida som vidtas primärt i syfte att ge myn- digheterna underlag för beslutsfattande i enskilda fall kan anses innebära kartläggning av enskildas förhållanden, även om avsikten inte är att kartlägga enskilda. Så torde även vara fallet när det gäller ett stort antal uppgiftssamlingar som det allmänna förfogar över. En mycket stor mängd information som rör enskildas person- liga förhållanden finns t.ex. lagrad i , , För- säkringskassans och olika databaser och även hos de statistikansvariga myndigheterna. Flera av dessa upp- giftssamlingar omfattar en stor andel av landets hela befolkning och flera av dem innehåller också till viss del mycket integritetskänsliga uppgifter. Det förekommer även att uppgiftssamlingar inrättas och utformas i syfte att fungera som mer utpräglade personregister. Ett exempel på en åtgärd som kan anses innebära kartläggning är poli- sens belastningsregister. Vid bedömningen av vad som kan anses utgöra ett betydande in- trång ska vägas in uppgifternas karaktär och omfattning samt ända- målet med behandlingen och omfattningen av utlämnandet av uppgif- ter till andra (a. prop. s. 184). Även hantering av ett litet fåtal uppgifter kan alltså innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vidare kan mängden uppgifter ha betydelse för bedömningen. Allmänna utgångspunkter för den nya regleringen Motivuttalanden på registerförfattningsområdet rörande normgivningsnivå Motivuttalanden om att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras i lag tillkom i samband med ett grundlagsärende . 1990/91:60 uttalade regeringen denna målsätt- ning och anförde vidare bl.a. att målsättningen särskilt gäller i de fall uppgifterna i registret sprids externt i en inte obetydlig om- fattning (s. 57 f.). I samma lagstiftningsärende uttalade konstitu- tionsutskottet som sin mening att det allmänt sett var av stor betydelse att en författningsreglering av ADB-register kommer till stånd i syfte att stärka skyddet för de registrerades integritet i samband med nödvändig registrering av känsliga uppgifter i myn- dighetsregister (bet. 1990/91:KU11). I flera senare lagstiftnings- ärenden, t.ex. i samband med att personuppgiftslagen infördes, har det anförts att det inte finns anledning att avvika från den mål- sättning som uttalats i samband med 1990/lagstiftnings- ärende (se t.ex. prop. 1997/98:44, s. 41 och prop. 1999/2000:39, s. 78). I betänkandet med förslag till en myndighetsdatalag anförde att ambitionen att ha samtliga föreskrifter som behövs för ett visst verksamhetsområde eller en viss myndighets behandling av personuppgifter i en särskild för- fattning på lagnivå har medfört uppenbara olägenheter för utveck- lingen av en effektiv förvaltning eftersom den har inneburit en onödigt hög detaljeringsgrad på lagnivå (SOU 2015:39, s. 204 f.). Den omständigheten att resonemang om normnivå allt som oftast handlar om författningen som sådan i stället för de enskilda frågor som den reglerar riskerar enligt utredningen att leda till att de integritetsfrågor som skulle behöva belysas utifrån ett rättighets- perspektiv inte får den uppmärksamhet som de förtjänar. Det leder i sin tur till att det blir än svårare att identifiera i vilka fall det sär- skilda skyddet i 2 kap. 6 § andra stycket regeringsformen verkligen ska tillämpas. Allmänna utgångspunkter för den nya regleringen Utredningens bedömning: De grundläggande reglerna för be- handling av personuppgifter om totalförsvarspliktiga bör ges i form av lag. De grundläggande reglerna bör både avse moment i per- sonuppgiftsbehandlingen som kan betraktas som intrång i en- skilds personliga förhållanden och sådant som är centralt för skyddet av den enskildes personliga integritet. Övriga bestämmelser kan ges i form av förordning. behandlar i sin verksamhet och i sina informationssystem en stor mängd uppgifter om ett mycket stort antal totalförsvarspliktiga. Den behandling som sker är således om- fattande och avser en betydande del av befolkning. Insam- lingen av uppgifter om de totalförsvarspliktiga sker i allt väsentligt genom att de totalförsvarspliktiga på grund av bestämmelserna i lagen om totalförsvarsplikt är skyldiga att lämna uppgifter om sina personliga förhållanden till myndigheten. Dessutom är flera myn- digheter skyldiga att lämna uppgifter om de totalförsvarspliktigas personliga förhållanden till myndigheten. Det gäller exempelvis uppgifter av mycket känsligt slag som hälsotillstånd och lagöver- trädelser. Behandlingen avser i många fall även andra uppgifter av integritetskänslig karaktär. De uppgifter som Rekryteringsmyn- digheten behandlar sprids också utanför myndighetens verksamhet genom direktåtkomst som avser vissa uppgifter i myndighetens informationssystem. Bestämmelsen i 2 kap. 6 § andra stycket regeringsformen ställer inte krav på att all reglering som rör personuppgiftsbehandling måste regleras i lag. Som på- pekade är det tvärtom så att det torde höra till undantagen att en myndighets behandling av personuppgifter sedd för sig kan anses utgöra ett ingrepp i enskilds personliga förhållanden och därför kräver stöd i lag. Vad en myndighet ska eller tillåts göra i sin verk- samhet regleras i stället i allmänhet i andra regelverk och inte i föreskrifter om myndigheters behandling av personuppgifter. Det särskilda grundlagsskyddet rör endast sådana bestämmelser som kan resultera i övervakning eller kartläggning av den enskilde och som kan innebära ett betydande intrång i den personliga integri- teten. Enligt vår bedömning innehåller Allmänna utgångspunkter för den nya regleringen verksamhet vissa moment som innebär att skyddet mot betydande intrång i den personliga integriteten i 2 kap. 6 § andra stycket regeringsformen aktualiseras. I verksamheten hanteras en mycket stor mängd personuppgifter som avser en stor del av den svenska befolkningen. Ändamålet med behandlingen av personuppgifter avser bl.a. att ta fram underlag för beslut om mönstring, inskriv- ning, krigsplacering eller annat ianspråktagande av personal till total- försvaret, vilket i sig kan uppfattas som en form av kartläggning av personliga förhållanden. Insamlingen av personuppgifter baseras på en skyldighet att lämna dessa och de uppgifter som samlas in rör personliga förhållanden av i många fall känsligt slag. Ett annat moment som kan aktualisera grundlagsskyddet är om en omfatt- ande direktåtkomst till personuppgifterna hos myndigheten möjlig- görs för en annan aktör. Det kan konstateras att totalförsvarspliktigas skyldighet att lämna uppgifter om sina personliga förhållanden till bl.a. Rekryterings- myndigheten redan regleras i lag, nämligen i lagen om totalför- svarsplikt. Att på automatisk väg behandla känsliga personuppgif- ter är dock i grunden förbjudet enligt dataskyddsförordningen. I den mån den nu aktuella lagen bör innehålla bestämmelser som tillåter att behandla känsliga personupp- gifter utöver vad som kommer att vara tillåtet enligt dataskydds- förordningen och dataskyddslagen påkallar 2 kap. 6 § andra stycket regeringsformen att även sådana bestämmelser ges i form av lag. Detsamma gäller bestämmelser om i vilka fall någon annan aktör ska få ha direktåtkomst till personuppgifter som behandlas med stöd av lagen. De grundläggande bestämmelserna för behandlingen av person- uppgifter i verksamhet bör därför, lik- som , regleras i lag. Den grundläggande regleringen bör dock inte enbart ha sikte på att reglera sådana moment i behandlingen som kan betraktas som intrång i enskilds personliga förhållanden utan bör också avse sådant som är centralt för skyddet av person- uppgifter, exempelvis ändamålsbegränsningar, sökförbud samt be- stämmelser om bevarande och gallring. Lagen bör således innehålla alla de bestämmelser som kan sägas utgöra grunden för Rekry- teringsmyndighetens behandling av personuppgifter både vad avser moment i personuppgiftsbehandlingen som kan betraktas som intrång Allmänna utgångspunkter för den nya regleringen i den personliga integriteten och sådant som är centralt för att skydda den enskildes integritet. Övriga bestämmelser kan regleras på en lägre normhierarkisk nivå i form av förordning och kompletterande föreskrifter. En ny förordning kan därmed meddelas med stöd av 8 kap. 7 och 11 §§ regeringsformen, dvs. enligt regeringens restkompetens och reger- ingens rätt att meddela verkställighetsföreskrifter. Strukturen i den nya förordningen bör följa strukturen i den nya lagen om behand- ling av personuppgifter i verksamhet. Vid utformningen av bestämmelserna i den nya förordningen bör bestämmelserna i den nuvarande förordningen om behandling av personuppgifter om totalförsvarspliktiga beaktas, i den utsträckning de är relevanta. Utredningens förslag: Lagen ska heta totalförsvarsdatalag. All automatisk behandling av personuppgifter om totalförsvarsplik- tiga i verksamhet regleras i plikt- registerlagen och förordningen (1998:1229) om behandling av per- sonuppgifter om totalförsvarspliktiga. Den nuvarande regleringen omfattar dock inte enbart totalförsvarspliktiga även om huvuddelen av den personuppgiftsbehandling som myndigheten utför avser totalförsvarspliktiga. Inte heller den nu föreslagna lagen och förord- ningen omfattar endast totalförsvarspliktiga. Även personuppgifter som rör annan personal inom totalförsvaret kommer att omfattas av den nya regleringen (se avsnitt 7.3.3). Mot denna bakgrund anser vi att den nya lagen bör heta totalförsvarsdatalag. Namnet täcker in den behandling av personuppgifter som omfattas av lagen, dvs. behand- ling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret. Vidare markeras att lagen enbart innehåller be- stämmelser av dataskyddsrättslig karaktär och inte reglerar Rekry- teringsmyndighetens verksamhet i övrigt. Namnet överensstämmer också med andra författningar som rör behandling av personupp- gifter på myndighetsområdet och som tillkommit , exempelvis polisdatalagen (2010:361), kustbevakningsdatalagen (2012:145) och utlänningsdatalagen (2016:27). Vi anser därför att totalförsvarsdatalag är ett lämpligt namn på den nya lagen. I kon- sekvens härmed bör den nya förordningen heta totalförsvarsdata- förordning. Utredningens förslag: I lagen ska en bestämmelse införas som anger vilket syfte lagen har. Syftet med lagen ska vara att ge möjlighet att i sin verksamhet behandla personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret på ett effektivt och ändamålsenligt sätt som skyddet för den enskildes personliga integritet tillgodoses vid sådan behandling. Enligt 1 § personuppgiftslagen (1998:204) är syftet med lagen att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. När personuppgiftslagen upphör att gälla kommer dataskyddsförordningen och den kompletterande data- skyddslagen att träda i dess ställe. Enligt skäl 10 i dataskyddsför- ordningen syftar den till att skyddet av fysiska personers rättig- heter och friheter vid behandling av personuppgifter ska vara lik- värdigt i alla medlemsstater för att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flöden av personuppgifter inom unionen. I dataskyddslagen finns inte någon bestämmelse om syfte. Inte heller i pliktregisterlagen finns någon särskild bestämmelse som anger syftet med regleringen. I registerförfattningar av senare tid är det dock vanligt att det förekommer inledande bestämmelser som anger det övergripande syftet med regleringen. I exempelvis polisdatalagen, kustbevaknings- datalagen och utlänningsdatalagen finns sådana bestämmelser. En sådan bestämmelse klargör att lagen endast innehåller bestäm- melser som är av dataskyddsrättslig karaktär och ger vidare vägled- ning för tolkning av de materiella bestämmelserna i den sektors- specifika lagen. En bestämmelse om lagens syfte har även en symbolisk och informativ betydelse. Mot denna bakgrund anser vi att det är lämpligt att det i den nya lagen förs in en bestämmelse som anger syftet med lagen. verksamhet medför ett behov av om- fattande behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret och i många fall rör behandlingen känsliga personuppgifter. kan en sådan behandling innebära en risk för intrång i den enskildes personliga integritet. Skyddet för den personliga integriteten måste därför värnas genom bestämmelserna i lagen. Vid utformningen av lagen måste således både kravet på att verksamhet ska kunna bedrivas på ett effektivt och ändamålsenligt sätt och skyddet för den personliga integriteten beaktas. Bestämmelserna i lagen har till syfte att balansera båda dessa intressen. Syftet med lagen är därför dub- belt, vilket bör komma till tydligt uttryck i lagen. Enligt våra direktiv ska vi analysera hur behandlingen av person- uppgifter om totalförsvarspliktiga ska regleras och om fler kategorier än totalförsvarspliktiga bör ingå i en sådan reglering. Nedan följer en beskrivning av gällande rätt samt våra överväganden och förslag beträffande lagens tillämpningsområde och vilka personer som bör omfattas av lagen. Av 1 § pliktregisterlagen framgår lagens tillämpningsområde. I be- stämmelsens första stycke anges att lagen tillämpas vid behandling av personuppgifter om totalförsvarspliktiga i den verksamhet Rekry- teringsmyndigheten bedriver för att 1.ta fram underlag för beslut om inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret, 2.redovisa personal med uppgifter inom totalförsvaret, 3.säkerställa att den registrerade fortlöpande får ändamålsenlig ut- bildning och lämplig placering inom totalförsvaret, 4.se till att den registrerade fullgör sina skyldigheter såvitt avser totalförsvarsplikten, 5.tillgodose den registrerades rättigheter och trygghet i hans eller hennes egenskap av totalförsvarspliktig, och 6.planera, följa upp och utvärdera den verksamhet som anges i 1–5. I andra stycket sägs att i de fall det anges särskilt gäller lagen även i verksamhet som bedrivs av någon annan än Rekryteringsmyndig- En sådan bestämmelse finns i 6 § andra stycket där det före- skrivs att paragrafens första stycke, som under vissa förutsättningar tillåter att känsliga personuppgifter får behandlas, även gäller kom- muner, landsting och statliga myndigheter om uppgifterna behövs för utredning om den totalförsvarspliktiges personliga förhållanden enligt 2 kap. 1 § lagen (1994:1809) om totalförsvarsplikt. Vidare finns i 13 § ett bemyndigande för regeringen att meddela föreskrifter om att annan än får föra in personuppgifter i automatiserat register över totalförsvarspliktiga och rätta dessa. Sådana föreskrifter finns i 3 § förordningen till lagen. I 5 § pliktregisterlagen anges att personuppgifter som samlats in av ska anses insamlade för de ändamål som anges i 1 § första stycket om inte myndigheten vid insam- lingen uttryckligen angett att den sker för andra ändamål. Mot- svarande ska gälla vid myndighetens behandling av uppgifter som annan myndighet samlat in. I förarbetena till bestämmelserna anges att skyldigheten att tjänst- göra för en stor del av totalförsvarets personal grundas på andra omständigheter än värnplikt och civilplikt. Så är fallet både i freds- tid och även i vissa fall vid höjd beredskap. Detta gäller anställd personal vid Försvarsmakten, arbetstagare som är ianspråktagna av sina arbetsgivare för uppgifter vid höjd beredskap, medlemmar i frivilligorganisationer och vissa personer med begränsade uppgifter, t.ex. enligt förfogandelagstiftningen. Härtill kommer hälso- och sjuk- vårdspersonalen som , enligt överenskom- melse med , ska hålla ett personalförsörjningsregister över. arbetsuppgifter förutsätter en möjlighet att behandla personuppgifter om all personal inom totalför- svaret, dvs. såväl pliktpersonal som personal vars skyldighet att tjänst- göra grundar sig på annat än totalförsvarsplikt (prop. 1997/98:80, s. 30). Vidare anges det i förarbetena att det för ett effektivt system för redovisning av totalförsvarets personal är nödvändigt att kunna ta fram uppgifter om de olika personalkategorierna i ett sammanhang. Regeringen ansåg att lagens tillämpningsområde därför bör omfatta behandling av personuppgifter om totalförsvarets hela personal. Dock med den begränsningen att det ska vara fråga om personer som har en uppgift att lösa vid höjd beredskap. Eftersom den be- handling av personuppgifter beträffande totalförsvarets personal som behöver kunna utföra till övervägande del avser pliktpersonal, föreslog regeringen den författningstek- niska lösningen att personer som har en uppgift inom totalför- svaret vid höjd beredskap jämställs med totalförsvarspliktiga vid tillämpning av pliktregisterlagen. Regeringen var också av uppfatt- ningen att ett så omfattande och till innehåll känsligt automatiserat register som det hanterar måste omgär- das med ett regelverk som garanterar ett starkt integritetsskydd för den enskilde. En så grundläggande bestämmelse som den om vilka som ska kunna registreras i registret borde därför ges i lagform (a. prop. s. 30). Slutsatsen att lagen ska tillämpas på behandling av personuppgifter ska enligt regeringen ses som en huvudprincip. Lagen ska också, för vissa situationer, innehålla be- stämmelser som delvis rör verksamhet som utövas av annan (a. prop. s. 31). I förarbetena till bestämmelserna anges slutligen att lagen endast bör reglera vad som ska gälla vid den behandling av uppgifterna som sker för vissa i lagen angivna ändamål. Tillämpningsområdet för lagen bör därför knytas till dessa så att det framgår att lagen bara gäller vid behandling för dem. Vidare bör det framgå att Rekry- teringsmyndighetens insamling av personuppgifter ska anses ha skett för de i lagen angivna ändamålen om inget annat uttryckligen uppgivits vid denna insamling. Härigenom visas enligt regeringen tydligt att behandling för andra ändamål än dem som anges i lagen är tillåten men endast om vid insam- lingen av uppgifterna angett att de ska användas för dessa andra ändamål (a. prop. s. 32). 7.3.2Metod för reglering av tillämpningsområde och ändamål Utredningens förslag: Lagens tillämpningsområde ska behand- las åtskilt från ändamålen med behandlingen. Utformningen av ändamålsbestämmelser i särskilda registerförfatt- ningar kan se olika ut. Utformningen av ändamålsbestämmelserna i nu gällande reglering för behandling av personuppgifter avviker dock från den i registerförfattningar veder- tagna metoden genom att lagens tillämpningsområde och ändamålen med behandlingen inte regleras åtskilt. Den metod som används i nuvarande reglering innebär att ändamålen med Rekryteringsmyn- dighetens behandling av personuppgifter anges genom en hän- visning i 5 § pliktregisterlagen till 1 § första stycket samma lag, dvs. till lagens tillämpningsområde.