sou · H5B397 · 2017-12-08 00:00:00 — Den nya lagen och förordningen liksom lagen om ändring i offentlig- hets- och sekretesslagen föreslås träda i kraft . Sammantaget gör vi bedömningen att våra förslag innebär en för- stärkning av skyddet för enskildas personliga integritet. Förslagen kan i vissa enskilda delar uppfattas ha negativa konsekvenser för den personliga integriteten. I dessa delar har den avvägning som vi har gjort mellan detta och andra intressen redovisats. Förslagen kommer inte att innebära någon kostnadsökning för det allmänna eller för enskilda och förväntas inte få några konsekvenser i övrigt. Härigenom föreskrivs följande. 1 § Syftet med denna lag är att ge Totalförsvarets rekryterings- myndighet () möjlighet att i sin verksam- het behandla personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret på ett effektivt och ändamålsenligt sätt som skyddet för den enskildes personliga integritet tillgodoses vid sådan behandling. 2 § Denna lag tillämpas i verksamhet vid behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret. I de fall det anges särskilt gäller lagen även i verksamhet som bedrivs av någon annan än . När sådan behandling av personuppgifter som avses i första stycket utförs av i egenskap av vårdgivare inom hälso- och sjukvården tillämpas patientdatalagen (2008:355). 3 § Lagen tillämpas vid sådan behandling av personuppgifter som är helt eller delvis automatisk. Lagen gäller även för annan behandling av personuppgifter som ingår i eller kommer att ingå i en struk- turerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier. Förhållandet till annan dataskyddsreglering 4 § Lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) gäller vid behandling av per- sonuppgifter i verksamhet, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen. Vad som anges i första stycket innebär att denna lag komplet- terar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning), nedan kallad dataskyddsförordningen. 5 § Vid behandling enligt denna lag eller föreskrifter som har med- delats med stöd av lagen gäller inte följande bestämmelser i data- skyddsförordningen och dataskyddslagen: 1.artikel 21.1 i dataskyddsförordningen om rätt att göra invänd- ningar, 2.artikel 33 i dataskyddsförordningen om anmälan av en person- uppgiftsincident till tillsynsmyndigheten, 3.artikel 34 i dataskyddsförordningen om information till den registrerade om en personuppgiftsincident, och 4.artikel 58.2 f i dataskyddsförordningen och 6 kap. 1 § data- skyddslagen om tillsynsmyndighetens befogenhet att införa en till- fällig eller definitiv begränsning av, inklusive ett förbud mot, behand- ling. 6 § ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. 7 § Personuppgifter får behandlas om det behövs för att 1.ta fram underlag för beslut om mönstring, inskrivning, krigs- placering eller annat ianspråktagande av personal till totalförsvaret, 2.redovisa personal med uppgifter inom totalförsvaret, 3.säkerställa att den registrerade fortlöpande får ändamålsenlig utbildning och lämplig placering inom totalförsvaret, 4.se till att den registrerade fullgör sina skyldigheter i fråga om totalförsvarsplikten, 5.tillgodose den registrerades rättigheter och trygghet i egenskap av totalförsvarspliktig, 6.fullgöra serviceskyldighet gentemot bemanningsansvariga organ inom totalförsvaret, och 7.planera, följa upp och utvärdera den verksamhet som anges i 1–6. 8 § Personuppgifter som behandlas enligt 7 § får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Behandling av känsliga personuppgifter 9 § Utöver vad som följer av 3 kap. dataskyddslagen får känsliga per- sonuppgifter behandlas om det är absolut nödvändigt för de ända- mål som anges i 7 och 8 §§. Vad som anges i första stycket gäller även vid annan utredning om den totalförsvarspliktiges personliga förhållanden som enligt 2 kap. 1 § lagen (1994:1809) om totalförsvarsplikt utförs av annan än . Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter som begränsar användningen av känsliga per- sonuppgifter. 10 § Tillgången till personuppgifter ska begränsas till vad varje an- ställd behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare före- skrifter om hur tillgången till personuppgifter ska begränsas. 11 § Direktåtkomst till personuppgifter får medges 1.Försvarsmakten i den utsträckning som följer av föreskrifter som meddelats av regeringen, och 2.den registrerade själv. Direktåtkomst enligt första stycket 2 får endast avse personupp- gifter i den registrerades ärende. Regeringen får meddela föreskrifter om att medge annan aktör direktåtkomst. Sådan direktåtkomst ska begränsas till de person- uppgifter som aktören behöver för att fullgöra sina uppgifter enligt lag eller förordning och får endast avse vissa personuppgifter. Utlämnande av uppgifter till myndigheter 12 § Försvarsmakten har rätt att vid direktåtkomst enligt 11 § första stycket 1 ta del av de personuppgifter som omfattas av åtkomsten. Regeringen får meddela föreskrifter om att annan myndighet vid direktåtkomst som medges med stöd av 11 § tredje stycket har rätt att ta del av de personuppgifter som omfattas av åtkomsten. 13 § Vid sökning i personuppgifter är det förbjudet att som sök- begrepp använda känsliga personuppgifter. Det är också förbjudet att som sökbegrepp använda uppgifter om 1.hinder för mönstring, annan utredning, utbildning, krigsplacer- ing eller annat ianspråktagande av den registrerade för totalförsvarets räkning, 2.boende- och familjeförhållanden samt försörjning, 3.resultat från begåvningstest eller anlagstest som utförs vid mönstring eller annan utredning, 5.lagöverträdelser, säkerhetsprövning enligt säkerhetsskyddslagen (1996:627) samt vilken säkerhetsklass prövningen avsett och resul- tatet av denna. De sökbegrepp som anges i andra stycket får användas som sökbegrepp vid behandling för ändamål som avses i 7 § första stycket 7 eller vid utlämnande enligt 8 § för framställning av stati- stik eller för forskningsändamål. De sökbegrepp som anges i andra stycket 3 får även användas som sökbegrepp vid behandling för ända- mål som avses i 7 § första stycket 1. Annans registrering och rättelse av uppgifter 14 § Försvarsmakten får föra in och rätta personuppgifter i Rekry- teringsmyndighetens informationssystem i den utsträckning som följer av förordning. Regeringen får meddela föreskrifter om att även annan än Försvarsmakten får medges sådan rätt. 15 § Personuppgifter ska avskiljas så att tillgången till dem begrän- sas när de inte längre behövs i löpande verksamhet för de ändamål som anges i 7 §. Personuppgifter om totalförsvarspliktiga ska avskiljas senast vid utgången av det kalender- år den totalförsvarspliktige fyller , om inte den totalförsvars- pliktige därefter har en uppgift inom totalförsvaret vid höjd bered- skap. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrif- ter om avskiljande av personuppgifter. 1.Denna lag träder i kraft . 2.Genom lagen upphävs lagen (1998:938) om behandling av per- sonuppgifter om totalförsvarspliktiga. Sekretess gäller för uppgift om en enskilds personliga förhåll- anden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men och uppgiften förekommer i ärende som angår lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs i fråga om offentlighets- och sekretess- lagen (2009:400) dels att det i lagen ska införas en ny paragraf, 25 kap. 13 b §, dels att 38 kap. 1 § ska ha följande lydelse. Sekretessen enligt 1 § hindrar inte att en uppgift om en enskild lämnas från verksamhet hos Total- försvarets rekryteringsmyndighet som avser medicinsk insats till verksamhet inom samma myndig- het som avser inskrivning enligt lagen (1994:1809) om totalför- svarsplikt, om det krävs att uppgif- ten lämnas för sådan inskrivning av den enskilde. Sekretess gäller för uppgift om en enskilds personliga förhåll- anden, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs och uppgiften förekommer i ären- de som angår 1.utredning om totalförsvarspliktigas personliga förhållanden, 2.antagning av kvinnor till befattningar inom totalförsvaret som kräver längre grundutbildning än , 3.inskrivning och krigsplacering av totalförsvarspliktiga, 4.antagning till utbildning vid Försvarsmakten, eller 5.skyldighet att tjänstgöra med totalförsvarsplikt samt uppskov med och avbrott i sådan tjänstgöring. Sekretessen gäller inte beslut i ärende. För uppgift i en allmän handling gäller sekretessen i högst fem- . Denna lag träder i kraft . Regeringen föreskriver följande. 1 § I denna förordning finns kompletterande föreskrifter om sådan behandling av personuppgifter som omfattas av totalförsvarsdata- lagen (2018:xx). Termer och uttryck som används i denna förordning har samma betydelse som i lagen. 2 § Denna förordning är meddelad med stöd av 11 § första stycket 1 totalförsvarsdatalagen i fråga om 3 § och 8 kap. 7 § regeringsformen i fråga om övriga bestämmelser. 3 § Försvarsmaktens direktåtkomst ska begränsas till de personupp- gifter som är nödvändiga för myndighetens verksamhet. Direktåtkomsten får endast avse uppgift om 1.personnummer eller samordningsnummer, namn, adress, telefon- nummer och folkbokföringsort, 2.hinder för genomförande av mönstring, annan utredning, ut- bildning, krigsplacering eller annat ianspråktagande av den registrerade för totalförsvarets räkning, 3.utbildning, anställning, kunskaper, färdigheter, anlag och in- tressen som har betydelse för bedömningen av den registrerades användbarhet inom totalförsvaret, 4.fysisk och psykisk hälsa och förmåga samt de uppgifter som ligger till grund för bedömningen härav, 5.om den registrerade är svensk medborgare eller inte, 6.utgången i mål om ansvar för brott mot totalförsvarsplikten, 7.att den registrerade har dömts till påföljd för brott som fram- går av uppgift ur belastningsregistret som Totalförsvarets rekry- teringsmyndighet () fått del av, 8.att den registrerade genomgått säkerhetsprövning enligt säker- hetsskyddslagen (1996:627), vilken säkerhetsklass prövningen av- sett och resultatet av denna, 9.vad som bestämts vid inskrivningen för att fullgöra värnplikt eller civilplikt, 10.krigsplacering, annat ianspråktagande av den registrerade för totalförsvaret eller särskild uppgift som han eller hon ska utföra vid höjd beredskap, 11.tjänstgöring inom totalförsvaret och betyg, vitsord, förord- nanden och utmärkelser som hör till denna, och 12.personliga förhållanden i övrigt som åberopas av den regi- strerade, om de rör hans eller hennes tjänstgöring inom totalför- svaret. Annans registrering och rättelse av uppgifter 4 § Försvarsmakten får i informations- system endast föra in och rätta uppgift om 1.personnummer eller samordningsnummer, namn, adress, telefon- nummer och folkbokföringsort, 2.krigsplacering, annat ianspråktagande av den registrerade för totalförsvaret eller särskild uppgift som han eller hon ska utföra vid höjd beredskap, och 3.tjänstgöring inom totalförsvaret och betyg, vitsord, förord- nanden och utmärkelser som hör till denna. 5 § ska ställa de villkor för direktåtkomsten och registreringen av personuppgifter som myndigheten bedömer vara nödvändiga för att säkerställa en lämplig säkerhetsnivå. 6 § får meddela föreskrifter om avskil- jande av personuppgifter enligt 15 § första stycket totalförsvars- datalagen. 1.Denna förordning träder i kraft . 2.Genom förordningen upphävs förordningen (1998:1229) om behandling av personuppgifter om totalförsvarspliktiga. 2Utredningens uppdrag och arbete Vårt övergripande uppdrag har varit att göra en översyn av regler- ingen av behandlingen av personuppgifter om totalförsvarspliktiga, dvs. lagen (1998:938) om behandling av personuppgifter om total- försvarspliktiga och förordningen (1998:1229) om behandling av personuppgifter om totalförsvarspliktiga, och lämna förslag till en ny lag och förordning. I denna del av uppdraget har det ingått att kartlägga Totalförsvarets rekryteringsmyndighets (härefter Rekry- teringsmyndigheten) behandling av personuppgifter. Dessutom skulle en analys göras om fler personalkategorier än totalförsvarspliktiga bör ingå i den nya regleringen. Inom ramen för översynen har det också ingått att analysera om förändringar inom totalförsvaret och på försvarsområdet bör påverka lagstiftningen. Dessutom har det ingått i uppdraget att beakta den ändring som har skett genom in- förandet av 2 kap. 6 § andra stycket regeringsformen, som innebär krav på lagreglering i vissa fall, när förslaget till ny lagstiftning ut- formas. Den personuppgiftsbehandling som utförs inom Rekry- teringsmyndighetens civila uppdragsverksamhet har inte ingått i upp- draget. Vi har även haft i uppdrag att analysera vilket förhållande lag- stiftningen ska ha dels till EU:s dataskyddsreglering och den komplet- terande nationella lagstiftning som (Ju 2016:04) föreslår i sitt betänkande Ny dataskyddslag. Komplet- terande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39), dels till annan reglering på området. I denna del har det ingått att analysera möjligheterna till en helt fristående lagstiftning. Vi har varit oförhindrade att ta upp och belysa även andra fråge- ställningar som är relevanta för uppdraget. Om det på grund av data- Utredningens uppdrag och arbete skyddsförordningens ikraftträdande eller personuppgiftslagens (1998:204) och personuppgiftsförordningens (1998:1191) upphävande krävs kompletterande nationella bestämmelser i andra delar än i dem som ska utredas särskilt, har det varit vårt uppdrag att föreslå sådana bestämmelser. Utgångspunkten för vårt uppdrag och den reglering som före- slås är att verksamhet ska kunna bedrivas effektivt med rationellt datorstöd som enskildas rätt till personlig integritet tillgodoses. Utredningens direktiv (dir. 2016:103) finns i bilagan. Utredningsarbetet påbörjades och har bedrivits på sed- vanligt sätt med regelbundna sammanträden med sakkunniga och experter. Utredningen har haft sju sådana sammanträden, varav ett i form av ett tvådagars internatsammanträde. Även informella kon- takter inom utredningen har förekommit. har utredaren samrått med Socialdata- skyddsutredningen (S 2016:05) och Utredningen om behandlingen av personuppgifter inom Försvarsmakten och (Fö 2017:03). Parallellt med vår utredning har flera andra utredningar haft i uppdrag att lämna förslag till anpassning av befintlig lagstiftning inom olika sektorer till dataskyddsförordningen. Med anledning av detta bildades en informell samordningsgrupp bestående av sekretariaten från ett femtontal utredningar, bl.a. . Samordningsgruppen har utgjort ett forum för dialog om gemensamma frågor om terminologi, avgränsningar, rättsliga bedömningar m.m. i arbetet med att anpassa nationell lagstiftning till dataskyddsförordningen och den kompletterande dataskyddslagen. Utredningens sekretariat har deltagit vid gruppens möten . har sekretariatet besökt Rekryterings- myndighetens huvudkontor i . Besöket skedde bl.a. som ett led i inhämtandet av underlag för kartläggningsuppdraget och för att få information om den behandling av personuppgifter som sker hos . Sekretariatet har även haft ett Utredningens uppdrag och arbete möte med , vid vilket även en av experterna deltog. Mötet syftade till att inhämta information och synpunkter i frågor om bevarande och gallring. Härutöver har sekretariatet fört en kon- tinuerlig dialog med samt inhämtat upplysningar och synpunkter från , Försvarsmakten och Datainspek- tionen. Utredningsarbetet har bedrivits i nära samarbete med sakkunniga och experter. Med hänsyn till detta redovisas arbetet och betänkandetexten med användande av ”vi-form”, även om det inte funnits fullständig samsyn i alla delar. Framställningen i det följande inleds i kapitel 3 med en redogörelse för gällande nationell respektive internationell rätt till skydd för en- skildas personliga integritet. I kapitel 4 beskrivs översiktligt personal- försörjningen inom totalförsvaret och organisation och verksamhet. I kapitel 5 redovisas Rekryterings- myndighetens behandling av personuppgifter inom verksamhets- området. I kapitel 6 presenteras de allmänna utgångspunkterna för utformningen av den nya regleringen och i kapitel 7 behandlas de allmänna bestämmelserna i förslaget till totalförsvarsdatalag. I kapi- tel 8 redogörs för våra överväganden och förslag i fråga om rättslig grund och tillåtna primära och sekundära ändamål för behandlingen av personuppgifter. I kapitel 9 redovisas våra överväganden och för- slag om hur en ny reglering av behand- ling av personuppgifter bör utformas. I kapitel 10 behandlas vissa andra frågor av särskild vikt för dataskyddet, bl.a. den registrerades rätt till rättelse och skadestånd samt tillsynsmyndighetens befogen- het att besluta om administrativa sanktionsavgifter. Härefter följer våra överväganden och förslag om bevarande och gallring i kapi- tel 11 och om sekretess i kapitel 12. De avslutande kapitlen 13, 14 och 15 innehåller ikraftträdandebestämmelser, konsekvensbedöm- ningar samt författningskommentar. 3Gällande regler om personuppgiftsbehandling och enskildas rätt till personlig integritet 3.1Nationell reglering till skydd för den personliga integriteten Regeringsformen innehåller grundläggande bestämmelser till skydd för den personliga integriteten. Enligt målsättningsstadgandet i 1 kap. 2 § första stycket ska den offentliga makten utövas med respekt bl.a. för den enskilda människans frihet och enligt fjärde stycket ska det allmänna värna om den enskildes privat- och familjeliv. Bestämmelsen har dock inte någon bindande verkan för det all- männa och kan följaktligen inte ligga till grund för några individuella rättigheter (prop. 1975/76:209, s. 128 och prop. 2009/10:80, s. 173). I 2 kap. regeringsformen finns bestämmelser som skyddar enskildas integritet i en vidare mening. Förbud mot allvarliga fysiska inte- gritetsintrång som bl.a. döds- och kroppsstraff finns i 2 kap. 4 och 5 §§ och enligt 6 § första stycket samma kapitel är var och en skyddad gentemot det allmänna mot påtvingade kroppsliga ingrepp. För att stärka skyddet för den personliga integriteten infördes ett nytt andra stycke i 2 kap. 6 § regeringsfor- men. Enligt bestämmelsen är var och en skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes per- sonliga förhållanden. Begränsning av skyddet får enligt 2 kap. 20 § göras i lag men endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får inte gå utöver vad Gällande regler om personuppgiftsbehandling ... som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen. Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning (2 kap. 21 §). och rådets direktiv /46/EG av den 24 okto- ber 1995 om skydd för enskilda personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204). Bestämmelserna i person- uppgiftslagen syftar till att skydda enskilda mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen är generellt tillämplig och gäller den behandling av personuppgifter som utförs av myndigheter och enskilda med undantag för rent pri- vat personuppgiftsbehandling. Personuppgiftslagen är subsidiär i förhållande till annan lag eller förordning (2 §). Det innebär att om det finns en annan lag eller förordning som avviker från personuppgiftslagen, ska de bestäm- melserna tillämpas i stället. Sådana avvikande bestämmelser finns ofta i särskilda registerförfattningar som reglerar behandling av per- sonuppgifter i register och andra personuppgiftssamlingar i den offentliga sektorn. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (3 §). Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter är att betrakta som behandling av personuppgifter. I personupp- giftslagen nämns som exempel på sådan åtgärd bl.a. insamling, registrering, lagring, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter (3 §). Personuppgiftslagen gäller för all behandling av personuppgifter som är helt eller delvis automatiserad (5 §). Det innebär att även personuppgifter som framgår av bilder och ljud omfattas. Avgör- ande är att personuppgifterna är föremål för automatiserad behand- ling, vilket innebär att även manuellt insamlade uppgifter som sedan behandlas automatiserat omfattas av lagen. Lagen gäller även för Gällande regler om personuppgiftsbehandling ... register om uppgifterna är strukturerade eller ordnade så att de är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier. Ett manuellt register som innehåller personupp- gifter men som inte är sökbart med hjälp av någon personuppgift, exempelvis namn eller personnummer, omfattas alltså inte av lagen. Det finns några viktiga undantag från personuppgiftslagens till- lämpningsområde. Enligt 5 a § gäller inte flera av lagens hanter- ingsregler vid behandling av personuppgifter i ostrukturerat material så länge behandlingen inte innebär en kränkning av den registrerades personliga integritet. Lagen gäller inte heller för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verk- samhet av rent privat natur (6 §). Vidare gäller lagen inte i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrund- lagen (7 § första stycket). Sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande faller också utanför personuppgiftslagens tillämpningsområde (7 § andra stycket). Vidare gäller inte lagen i den utsträckning det skulle inskränka offentlighetsprinipen (8 § första stycket). Bestämmelserna hindrar inte heller att en myndig- het arkiverar eller bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (8 § andra stycket). Regeringen får också meddela föreskrifter om undantag från flera bestämmelser i personuppgiftslagen om det är nödvändigt med hänsyn till bl.a. rikets säkerhet, försvaret, allmän säkerhet och skyddet av fri- och rättigheter (8 a §). I 9 § anges de krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter. Den personuppgiftsansvarige ska se till att personuppgifter behandlas lagligt, på ett korrekt sätt och i enlighet med god sed. Därtill får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Det innebär att ändamålen med en behandling av personuppgifter måste bestämmas redan när uppgifterna samlas in. Personuppgifterna får sedan inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Denna s.k. finalitetsprincip är av central betydelse vid behandling av personuppgifter och innebär att en prövning måste göras av om eventuella nya ändamål med behand- lingen är oförenliga med de ursprungligt angivna ändamålen. Gällande regler om personuppgiftsbehandling ...