sou · H5B397 · 2017-12-08 00:00:00 — Något annat rättsligt stöd för vidarebehandling av personuppgifter hos myndigheter för arkivändamål av allmänt intresse än det som ges i dataskyddsförordningen kan därför inte anses påkallat. Vi anser därför att det saknas behov av att införa en kompletterande ändamålsbestämmelse i den nya lagen för Rekry- teringsmyndighetens egen arkivering av de personuppgifter som behandlas med stöd av lagen. Behovet av en särskild gallringsbestämmelse Vi har i avsnitt 8.1.2 konstaterat att personuppgiftsbehandling är nödvändig för att myndigheten ska kunna bedriva sin verksamhet och att det för myndigheten finns en i svensk rätt fastställd rättslig grund för behandlingen. Enligt arti- kel 6.2 och 6.3 andra stycket i dataskyddsförordningen är det då tillåtet att i en registerförfattning behålla specifika bestämmelser i form av lagringstid. Vi bedömer därför att en särskild gallrings- bestämmelse är förenlig med dataskyddsförordningen och kan infö- ras i den föreslagna lagen. Frågan är då om det finns behov av en särskild gallringsbestämmelse. Det kan konstateras att det i verk- samhet behandlas en betydande mängd personuppgifter om ett stort antal totalförsvarspliktiga i myndighetens olika informations- system. Behandlingen grundar sig till övervägande del på den skyl- dighet för totalförsvarspliktiga att lämna uppgifter om sina person- Bevarande och gallring m.m. liga förhållanden i beredskapsunderlaget enligt lagen (1994:1809) om totalförsvarsplikt. Många av de personuppgifter som behandlas utgör även känsliga personuppgifter. Det finns också personupp- gifter som inte betraktas som känsliga personuppgifter men som ändå kan uppfattas som integritetskänsliga. Dessa omständigheter talar för att den nya lagen bör innehålla en specialreglering med gallring som utgångspunkt. Det finns dock omständigheter som talar för det motsatta för- hållandet, dvs. att ingen särskild gallringsbestämmelse bör införas i den nya lagen. Den gallring som utför enligt 15 § pliktregisterlagen av personuppgifter om totalförsvars- pliktiga innebär i praktiken att den gallring i egentlig mening som sker, dvs. att information förstörs, är ytterst begränsad. Huvud- delen av de personuppgifter som behandlas i den löpande verksam- heten överförs då de inte längre behövs till myndighetens s.k. forskningsarkivregister och sparas där i syfte att utgöra underlag för forskning. Övriga uppgifter sparas som regel i något av informationssystem för den löpande verksamheten för att därefter överföras till ett elektroniskt slutarkiv. När handlingar ska överföras till Krigsarki- vet fastställs genom en överenskommelse mellan Rekryterings- myndigheten och . Det kan alltså konstateras att någon gallring i egentlig mening inte sker utan de personuppgifter som inte längre behöver vara tillgängliga i de olika informationssyste- men för en aktiv hantering, dvs. det som i pliktregisterlagen benämns registret, bevaras i andra lagringsutrymmen för forsk- nings- eller andra arkivändamål. Vi kan konstatera att det alltjämt finns ett stort behov av att för forskningsändamål bevara många av de personuppgifter som behandlas i verksamhet. Dessa omständigheter talar för att bevarande enligt arkivlagens bestämmelser bör vara utgångspunkten i den nya lagen. Vi anser därför att lagen inte bör innehålla någon bestämmelse om gallring. I stället ska bestämmelserna om gallring i arkivlagen gälla inklusive möjligheterna för att meddela föreskrifter. Bevarande och gallring m.m. Avskiljande av inaktuella personuppgifter Det är viktigt att personuppgifter endast finns tillgängliga så länge som det finns berättigade ändamål för behandlingen (jfr artikel 5.1 b i dataskyddsförordningen). Det är därför – ur ett integritetsskydds- perspektiv – angeläget att uppgifter som inte längre behövs för något av de i lagen angivna ändamålen avförs från den löpande verk- samheten så att de inte längre finns tillgängliga för Rekryterings- myndighetens samtliga anställda. De uppgifter om totalförsvars- pliktiga som behandlas i myndighetens verksamhet är ofta av integ- ritetskänslig karaktär och är tillgängliga för ett flertal av myndighetens anställda. Från integritetsskyddssynpunkt är det därför viktigt att uppgifterna finns tillgängliga för de anställda endast så länge som de har behov av uppgifterna för att kunna utföra sina arbetsupp- gifter. Vi föreslår därför att en bestämmelse införs i den nya lagen som innebär att personuppgifter ska avskiljas och överföras till annan form av lagring när de inte längre behövs i den löpande verksamheten för de primära ändamålen. Utformningen av bestämmelsen bör enligt vår bedömning vara generell i den meningen att det bör ankomma på Rekryterings- myndigheten själv att bestämma hur avskiljandet ska ske så länge det inte innebär någon informationsförlust av något slag. Någon anledning att i lagen precisera hur personuppgifterna ska avskiljas föreligger inte enligt vår bedömning. Det kan vara svårt att avgöra om, och på vilket sätt, person- uppgifter om totalförsvarspliktiga kan komma att få betydelse i ett senare skede. De uppgifter som samlar in och behandlar är av vitt skilda slag, varav vissa kan vara nödvän- diga som en enskild är totalförsvarspliktig eller på annat sätt verksam inom totalförsvaret, och andra inte. För att tillgodose integritetsskyddet är det därför av vikt att föreskriva en yttersta gräns för hur länge personuppgifter får behandlas i den löpande verksamheten innan de ska avskiljas. Vi föreslår att per- sonuppgifter om totalförsvarspliktiga ska avskiljas senast vid utgången av det kalenderår den totalförsvarspliktige fyller , dvs. vid total- försvarspliktens upphörande. Om det dock står klart att uppgifterna saknar betydelse utifrån de i lagen angivna ändamålen ska de avskiljas . Bevarande och gallring m.m. Det är dock inte ovanligt att totalförsvarspliktiga har uppgifter att fylla inom totalförsvaret även efter det att totalförsvarsplikten har upphört, t.ex. medlemmar i frivilligorganisationer som väljer att kvarstå som medlemmar efter att de fyllt och som därmed behåller sina krigsuppgifter. Det kan också föreligga en skyldighet för vissa totalförsvarspliktiga att utföra uppgifter inom totalför- svaret vid höjd beredskap trots att de har fyllt . I likhet med nu gällande reglering bör därför bestämmelsen kompletteras med ett undantag från sjuttioårsgränsen för dem som därefter har en uppgift inom totalförsvaret vid höjd beredskap. Ett sådant undan- tag bör därför föras in i den nya lagen. Upplysning om ytterligare bestämmelser Vi föreslår att bestämmelsen om avskiljande av inaktuella person- uppgifter kompletteras med en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare före- skrifter om avskiljande och gallring av personuppgifter. Vårt för- slag till ny förordning bör innehålla en sådan föreskriftsrätt för . Arkivering för forskningens behov har gjort bedömningen att begreppen forskning och forskningsändamål bör likställas så att den reglering som gäller för behandling av personuppgifter för forskning också kommer att gälla för forskningsändamål. Som redovisas ovan överför en betydande mängd person- uppgifter om totalförsvarspliktiga till myndighetens s.k. forsk- ningsarkivregister för att bevaras för forskningens behov. Vi bedömer att detta bevarande dock inte kan anses utgöra en sådan behandling för forskningsändamål som avses i den föreslagna forskningsdatalagen och som i så fall skulle omfattas av de särskilda krav som föreslås i den lagen, bl.a. i form av etikprövning om känsliga personuppgifter avses att behandlas (SOU 2017:50, s. 200 f.). Enligt vår bedömning omfattas därmed inte Rekryter- ingsmyndighetens bevarande av personuppgifter om totalförsvars- Bevarande och gallring m.m. pliktiga i det s.k. forskningsarkivregistret av den föreslagna forsk- ningsdatalagens tillämpningsområde utan av de generella bestäm- melserna i dataskyddsförordningen och den kommande data- skyddslagen om bevarande för arkivändamål av allmänt intresse. 11.3Särskilt om bevarande av känsliga personuppgifter för arkivändamål Av artikel 9.1 i dataskyddsförordningen framgår att behandling som avslöjar känsliga personuppgifter ska vara förbjuden. Enligt artikel 9.2 j gäller dock inte förbudet om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med arti- kel 89.1, på grundval av unionsrätten eller medlemsstaternas natio- nella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Om personuppgifter behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål får det enligt artikel 89.2 föreskrivas undantag från de rättigheter som avses i artiklarna 15, 16, 18 och 21, med förbehåll för de villkor och skyddsåtgärder som avses i artikel 89.1. Detta får bara göras i den utsträckning som sådana rättigheter sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen och sådana undan- tag krävs för att uppnå dessa ändamål. Möjligheten att föreskriva sådana undantag gäller enligt artikel 89.3 även avseende behandling av personuppgifter för arkivändamål av allmänt intresse. Behandling för arkivändamål av allmänt intresse av personuppgifter som inte utgör känsliga personuppgifter regleras av direkt tillämp- liga bestämmelser i dataskyddsförordningen (jfr artikel 5.1 b och e och artikel 89.1). Vidare följer det direkt av förordningen att vidare- Bevarande och gallring m.m. behandling av personuppgifter för arkivändamål av allmänt intresse inte ska anses som oförenlig med de ursprungliga ändamålen (arti- kel 5.1 b). Det behövs därmed, enligt skäl 50, inte någon separat rättslig grund för en sådan behandling. Enligt Dataskyddsutred- ningen talar det faktum att behandling av känsliga personuppgifter för arkivändamål särbehandlas i artikel 9.2 j i dataskyddsförordningen dock för att all behandling av känsliga personuppgifter för arkiv- ändamål, även vidarebehandling, måste omfattas av en särskild undan- tagsreglering för att vara tillåten. Denna bestämmelse förutsätter nämligen att gällande rätt innehåller bestämmelser om lämpliga och särskilda skyddsåtgärder för att säkerställa den registrerades rättig- heter och intressen. Den vidarebehandling av känsliga personupp- gifter som myndigheter och andra organ utför som en följd av arkivlagens bestämmelser är därmed inte tillåten enbart på grundval av det undantag från förbudet som tillämpats vid behandlingen för det ursprungliga ändamålet. Utredningen har därför gjort bedöm- ningen att det i den föreslagna dataskyddslagen behövs en bestäm- melse som, i likhet med 8 § andra stycket första meningen person- uppgiftslagen, tillåter att en myndighet arkiverar och bevarar all- männa handlingar som innehåller känsliga personuppgifter samt att arkivmaterial som innehåller känsliga personuppgifter tas om hand av en arkivmyndighet. Den svenska lagstiftningen på detta område, med beaktande av de skyddsåtgärder som föreskrivs i form av sekretess och i registerförfattningar och genom gallringsföreskrif- ter, måste enligt utredningen i sig anses vara proportionell till det eftersträvade syftet och förenlig med det väsentliga innehållet i rätten till dataskydd (SOU 2017:39 s. 221 f.). Eftersom behandling för arkivändamål av allmänt intresse av personuppgifter som inte utgör känsliga personuppgifter regleras av direkt tillämpliga bestämmelser i dataskyddsförordningen har den föreslagna bestämmelsen i dataskyddslagen utformats som ett undantag från förbudet mot behandling av känsliga personupp- gifter. Av den föreslagna bestämmelsen i 3 kap. 6 § första stycket dataskyddslagen följer således att känsliga personuppgifter får med stöd av artikel 9.2 j i dataskyddsförordningen behandlas för arkiv- ändamål av allmänt intresse om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om bevar- ande och vård av arkiv. För att känsliga personuppgifter ska få behandlas för arkivändamål av allmänt intresse enligt första stycket Bevarande och gallring m.m. krävs att behandlingen sker som en följd av de skyldigheter att bevara och vårda handlingar som anges i föreskrifter. Detta krav gäller oavsett om personuppgifterna samlas in för arkivändamål av allmänt intresse eller om uppgifter som samlats in för andra ända- mål vidarebehandlas för arkivändamål av allmänt intresse. På gene- rell nivå anges sådana skyldigheter i arkivlagen, arkivförordningen samt i och andra arkivmyndigheters föreskrifter. Det utrymme för behandling av känsliga personuppgifter för arkivända- mål av allmänt intresse som första stycket ger är därmed i första hand tillgängligt för myndigheter och andra organ som omfattas av arkivlagstiftningen. Bestämmelsen medför, tillsammans med 3 kap. 11 § dataskyddslagen, att dataskyddsförordningen och dataskydds- lagen inte hindrar att en myndighet eller ett annat organ som omfattas av offentlighetsprincipen arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndig- het. Den författningstekniska skillnaden mellan 8 § andra stycket första meningen personuppgiftlagen och den föreslagna bestämmel- sen innebär således ingen saklig förändring i denna del (a.a. s. 222 och s. 368 f.). Utredningens bedömning: Bestämmelsen om behandling av käns- liga personuppgifter för arkivändamål av allmänt intresse i den föreslagna dataskyddslagen (3 kap. 6 §) bör tillämpas i Rekryter- ingsmyndighetens verksamhet. Någon motsvarande bestämmel- se behöver därför inte föras in i lagen. I 3 kap. 6 § i den föreslagna dataskyddslagen finns en bestämmelse om behandling av känsliga personuppgifter för arkivändamål av allmänt intresse. Det saknas skäl för att inte skulle omfattas av samma bestämmelse som andra myndigheter i detta avseende. Bestämmelsen om behandling av känsliga person- uppgifter för arkivändamål av allmänt intresse i den föreslagna data- skyddslagen bör därför gälla även i verksamhet. Någon motsvarande bestämmelse behöver därför inte föras in i den nya lagen. 12.1Allmänt om offentlighet och sekretess Enligt 2 kap. 1 § tryckfrihetsförordningen har var och en rätt att ta del av allmänna handlingar. Den rätten får enligt 2 kap. 2 § första stycket tryckfrihetsförordningen begränsas endast om det är på- kallat med hänsyn till vissa särskilt angivna intressen, bl.a. skyddet för enskilds personliga eller ekonomiska intressen. En sådan begräns- ning ska enligt andra stycket anges noga i en bestämmelse i en särskild lag eller, om det i ett visst fall anses lämpligare, i en annan lag som den särskilda lagen hänvisar till. Den särskilda lag som avses i bestämmelsen är offentlighets- och sekretesslagen (2009:400). Regeringen har meddelat närmare tillämpningsföreskrifter i offent- lighets- och sekretessförordningen (2009:641). Sekretess innebär inte enbart en begränsning av rätten att ta del av allmänna handlingar. Enligt 3 kap. 1 § offentlighets- och sekre- tesslagen definieras sekretess som ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av allmän handling eller på något annat sätt. Sekretess innebär således dels handlings- sekretess, dels tystnadsplikt. Sekretessens styrka bestäms i regel genom s.k. skaderekvisit. Ett rakt skaderekvisit innebär att uppgifterna som huvudregel är offentliga och att sekretess endast gäller om det kan antas att viss skada upp- står om de lämnas ut, dvs. det är en presumtion för offentlighet. Vid ett omvänt skaderekvisit är utgångspunkten den motsatta, dvs. presumtionen är att uppgifterna omfattas av sekretess. Uppgifterna får då lämnas ut endast om det står klart att uppgifterna kan röjas utan att viss skada uppstår. Sekretessen kan även vara absolut, vil- ket innebär att de uppgifter som sekretessen omfattar ska hemlig- hållas utan någon skadeprövning om uppgifterna begärs ut. Som huvudregel följer inte sekretess med en uppgift när den lämnas över till en annan myndighet. Enligt 8 kap. 1 § offentlighets- och sekretesslagen får uppgifter för vilka sekretess gäller inte röjas för andra myndigheter, om inte annat anges i lagen eller lag eller förordning som lagen hänvisar till. När uppgifter ska lämnas mellan myndigheter måste därför hänsyn tas till sekretesslagstiftningen. Det finns dock vissa bestämmelser i offentlighets- och sekretess- lagen om överföring av sekretess mellan myndigheter, dvs. bestäm- melser som möjliggör ett utbyte av uppgifter mellan myndigheter trots sekretess (se avsnitt 9.7.3 för en närmare beskrivning av dessa). Behovet av sekretessbrytande regler för del behandlas i avsnitt 9.7.3 och 12.3.2. Enligt 16 § pliktregisterlagen gäller de begränsningar som följer av offentlighets- och sekretesslagen (2009:400) för utlämnande av personuppgifter om totalförsvarspliktiga. Detta innebär att det inte finns några särskilda bestämmelser om utlämnande av personuppgifter i pliktregisterlagen. I stället gäller bestämmelserna i 2 kap. tryckfrihetsförordningen om utlämnande av allmänna handlingar samt bestämmelserna i offentlighets- och sekretesslagen om informationsutbyte mellan myndigheter och sekretess för olika typer av uppgifter. Ett flertal bestämmelser i offentlighets- och sekretesslagen kan således aktualiseras vid ett ut- lämnande av allmänna handlingar och uppgiftsutbyte mellan myndig- heter i fråga om personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret. Nedan följer en kort redogörelse för tillämpliga bestämmelser. Enligt 15 kap. 2 § offentlighets- och sekretesslagen gäller sekretess för uppgift som rör verksamhet för att försvara landet eller plan- läggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgif- ten röjs. För uppgift i en allmän handling gäller sekretessen i högst Om det finns särskilda skäl, får dock regeringen meddela föreskrifter om att sekretessen ska gälla . För att undvika ett onödigt hemlighållande av uppgifter som rör de många verksamhetsområden och företeelser som försvarssekre- tessen omfattar har bestämmelsen utformats med ett rakt skade- rekvisit. Samhällets åtgärder för landets försvar ska således inte undandras offentlighet annat än då det verkligen är påkallat. Sekre- tessen gäller därför bara om det kan antas att ett röjande av uppgifter skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet. Det är alltså inte bara antagna skador mot landets försvar i vedertagen mening som medger sekretess utan också ett sådant röjande av uppgifter som vållar fara för rikets säkerhet på annat sätt än genom skador för de traditionella försvarsintressena. Ett röjande av uppgifter om den civila säkerhetstjänsten kan t.ex. vålla fara för rikets säkerhet trots att någon skada för försvaret egentligen inte har inträffat (Lenberg m.fl., kommentaren till 15 kap. 2 §). För Rekry- teringsmyndighetens del torde det framför allt vara uppgifter om totalförsvarspliktigas krigsplacering och befattning med anledning härav som omfattas av bestämmelsen om försvarssekretess. Enligt 17 kap. 4 § offentlighets- och sekretesslagen gäller sekretess för uppgift som ingår i eller utgör underlag för kunskapsprov eller psykologiskt prov under en myndighets överinseende, om det kan antas att syftet med provet motverkas om uppgiften röjs. Någon sekretesstid är inte föreskriven i bestämmelsen. Bestämmelsen aktualiseras vid utlämnande av uppgifter i de kunskapsprov (numera begåvningstest) och anlagstest som total- försvarspliktiga får genomföra vid mönstring eller annan utredning inför eventuell plikttjänstgöring. Sekretess gäller endast om det kan antas att syftet med provet motverkas om uppgiften röjs. Utform- ningen av skaderekvisitet innebär att bestämmelsen framför allt får betydelse för de s.k. standardiserade proven, dvs. prov som upprepas. Så länge samma provhandlingar används gäller alltså sekretess för uppgifterna i dessa. Det bör observeras att någon sekretess av hänsyn till skyddet för enskildas personliga förhållanden inte gäller enligt bestämmelsen (Lenberg m.fl., kommentaren till 17 kap. 4 §). 12.2.3Hälsotillstånd samt hälso- och sjukvård Enligt 21 kap. 1 § första stycket offentlighets- och sekretesslagen gäller sekretess för uppgift som rör en enskilds hälsa eller sexualliv, såsom uppgifter om sjukdomar, missbruk, sexuell läggning, köns- byte, sexualbrott eller annan liknande uppgift, om det måste antas att den enskilde eller någon närstående till denne kommer att lida betydande men om uppgiften röjs. För uppgift i en allmän handling gäller sekretessen i högst . Bestämmelsen är en primär sekretessbestämmelse och kan tillämpas av alla myndigheter och andra organ som ska tillämpa offentlighets- och sekretesslagen. Den innebär således ett minimiskydd för käns- liga uppgifter om enskildas hälsa och sexualliv inom hela den offentliga sektorn. Sekretessen avgränsas med ett rakt kvalificerat skaderekvisit som innebär att sekretess gäller endast om det måste antas att den enskilde eller någon närstående till den enskilde kom- mer att lida betydande men om uppgiften röjs. Skaderekvisitet är alltså utformat med en särskilt stark offentlighetspresumtion (Lenberg m.fl., kommentaren till 21 kap. 1 §). Uppgifter om enskildas hälsa och sexualliv skyddas även av be- stämmelsen om hälso- och sjukvårdssekretess i 25 kap. 1 §. Av bestämmelsen följer att sekretess gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga för- hållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Detsamma gäller i annan medicinsk verksamhet, exempelvis rättsmedicinsk och rätts- psykiatrisk undersökning, insemination, befruktning utanför krop- pen, fastställande av könstillhörighet, abort, sterilisering, omskärelse och åtgärder mot smittsamma sjukdomar. Sekretesstiden för upp- gifter i allmänna handlingar är enligt bestämmelsen högst . Bestämmelsen är tillämplig för den personal som är verksam i det allmännas hälso- och sjukvård, t.ex. läkare, sjuksköterskor, psyko- loger, kuratorer och psykoterapeuter. Genom att bestämmelsen även gäller vid ”annan medicinsk verksamhet” omfattas t.ex. hälsounder- sökning vid mönstring hos (SOU 1997:101, s. 52). Medicinska och psykologiska uppgifter om totalförsvarspliktiga som inhämtats i samband med urvalstester för olika uppdragsgivares räkning omfattas också av sekretess enligt denna bestämmelse. Sekretessen på hälso- och sjukvårdsområdet avgränsas med ett omvänt skaderekvisit. Detta innebär att en uppgift inte får lämnas ut, om det inte står klart att uppgiften kan röjas utan att den en- skilde eller hans eller hennes närstående lider men. Det råder alltså en presumtion för sekretess. Av 21 kap. 7 § offentlighets- och sekretesslagen framgår att sekre- tess gäller för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgifts- lagen (1998:204). Bestämmelsen innehåller således ett generellt förbud mot att lämna ut personuppgifter. Någon sekretesstid är inte föreskriven i bestämmelsen. Bestämmelsen är tillämplig hos sådana myndigheter som är per- sonuppgiftsansvariga eller som annars har tillgång till personupp- gifter. Bedömningen ska dock inte ta sikte på om myndighetens eget utlämnande av uppgifter skulle strida mot personuppgiftslagen. Enligt 8 § första stycket personuppgiftslagen ska nämligen bestäm- melserna i den lagen inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförord- ningen att lämna ut personuppgifter.