sou · H5B397 · 2017-12-08 00:00:00 — Det har inte varit aktuellt att medge någon annan aktör direktåtkomst sedan lagens och förordningens ikraftträdande. Vi vill först erinra om att frågan om behovet och lämpligheten av direktåtkomst för Försvarsmakten har övervägts av reger- ingen. Det har inte framkommit att behovet av direktåtkomst skulle ha minskat. Tvärtom har behovet av elektroniskt informa- tionsutbyte ökat avsevärt sedan nuvarande reglering trädde i kraft. Såväl Försvarsmakten som har ofta be- hov av att snabbt och enkelt få omedelbar tillgång till information Direktåtkomst till sådana uppgifter inne- bär fördelar och effektivitetsvinster för båda myndigheterna. För- svarsmaktens anställda behöver vid direktåtkomst inte begära ut uppgifter från vid handläggningen i varje enskilt fall, utan kan själv söka den information som krävs. Rekry- teringsmyndigheten behöver å sin sida inte avsätta några resurser för att hantera förfrågningar från Försvarsmakten om utlämnande av sådana personuppgifter som omfattas av direktåtkomsten. Det kan vidare innebära fördelar från informationssäkerhetssyn- punkt att överföring av uppgifter vid direktåtkomst kan ske på ett säkrare sätt än t.ex. genom e-post. Att lämna ut tillgänglig informa- tion genom direktåtkomst är således en förutsättning för att myn- digheterna ska kunna bedriva sitt arbete effektivt. Verksamhetsskäl talar således för att ge Försvarsmakten fortsatt möjlighet till direkt- åtkomst. Det kan vidare konstateras att Försvarsmakten har direktåtkomst. Mot den bakgrunden är vår bedöm- ning att Försvarsmakten, liksom tidigare, har ett behov av direkt- åtkomst till personuppgifter i informa- tionssystem. Försvarsmakten bör följaktligen kunna medges sådan direktåtkomst. Direktåtkomsten är av sådan omfattning att det uttryckligen bör framgå av lagen att Försvarsmakten får medges direktåtkomst. Regeringen bör dock ges bemyndigande att med- dela föreskrifter om i vilken utsträckning denna direktåtkomst får medges. Sådana bestämmelser kan alltså, liksom , meddelas i förordning. En annan viktig fråga i detta sammanhang är om Försvarsmak- ten bör medges direktåtkomst i samma utsträckning som enligt nuvarande reglering. Enligt bilaga 1 till förordningen om behand- ling av personuppgifter om totalförsvarspliktiga har Försvarsmakten direktåtkomst till följande personuppgifter enligt 9 § första stycket pliktregisterlagen –personnummer eller samordningsnummer, namn, adress, telefon- nummer och folkbokföringsort, –hinder för genomförande av utredning som avses i 3 § första stycket, för utbildning eller för krigsplacering eller annat ian- språktagande av den registrerade för totalförsvarets räkning, –utbildning, anställning, kunskaper, färdigheter, anlag och intressen som har betydelse för bedömningen av den registrerades använd- barhet inom totalförsvaret, –om den registrerade är svensk medborgare eller inte, –att den registrerade genomgått säkerhetsprövning enligt säker- hetsskyddslagen (1996:627), vilken säkerhetsklass prövningen avsett och resultatet av denna, samt –tjänstgöring inom totalförsvaret samt betyg, vitsord, förord- nanden och utmärkelser som är att hänföra till denna. Det är särskilt viktigt ur integritetshänseende att Försvarsmakten medges direktåtkomst endast till de uppgifter som myndigheten har ett verkligt behov av. I utredningen har det framkommit att Försvarsmakten har behov av direktåtkomst till samtliga person- uppgifter som anges i 9 § första stycket pliktregisterlagen med undantag för punkten 3, dvs. boende- och familjeförhållanden samt försörjning. Uppgifterna behövs för att Försvarsmakten ska kunna genomföra annan utredning enligt det förslag som Personalförsörj- ningsutredningen har lämnat i sitt betänkande En robust personal- försörjning av det militära försvaret (SOU 2016:63, s. 83 f.). Annan utredning har tidigare använts för att skriva in totalförsvarspliktiga för civilplikt och för att inhämta information om den enskilde genom beredskapsunderlaget. Enligt för- slag ska totalförsvarspliktiga nu ges möjlighet att anmäla att de är intresserade av att genomföra annan utredning för att därefter ta ställning till om de vill mönstra. Annan utredning föreslås således kunna användas för att utreda den enskildes förutsättningar, kompe- tenser och kvalitéer och vilken befattning som den enskilde skulle kunna komma i fråga för. För att möjliggöra att både Försvarsmakten och den totalför- svarspliktige får så mycket information som möjligt för att den totalförsvarspliktige ska kunna göra ett välgrundat val om eventuell mönstring – och i förlängningen för att kunna bedöma om denne är lämplig för mönstring – har Försvarsmakten behov av direktåtkomst till fler personuppgifter . Vår bedömning är att För- svarsmakten, utöver de ovan uppräknade personuppgifterna, numera även har behov av och bör medges direktåtkomst till uppgifter om –fysisk och psykisk hälsa och förmåga jämte de uppgifter som ligger till grund för bedömningen härav, –utgången i mål om ansvar för brott mot totalförsvarsplikten, –att den registrerade har dömts till påföljd för brott som framgår av uppgift ur belastningsregistret som Rekryteringsmyndig- heten fått del av, –vad som bestämts vid inskrivningen för att fullgöra värnplikt eller civilplikt, –krigsplacering, annat ianspråktagande av den registrerade för total- försvaret eller särskild uppgift som han eller hon ska utföra vid höjd beredskap, samt –personliga förhållanden i övrigt som åberopas av den registrerade, om de rör hans eller hennes tjänstgöring inom totalförsvaret. För att värna om integritetsskyddet för de utlämnade uppgifterna – vilka i flera avseenden kan vara känsliga för den totalförsvars- pliktige – bör det i den nya förordningen uttömmande anges vilka personuppgifter som omfattas av den medgivna direktåtkomsten. Av 3 § andra stycket förordningen om behandling av person- uppgifter om totalförsvarspliktiga framgår vidare att den person- uppgiftsbehandling som följer av direktåtkomsten endast får ut- föras om den är nödvändig för den egna verksamheten. Det bör dock erinras om att regleringen av Försvarsmaktens uppdrag och uppgifter kan komma att förändras med följden att behovet av direktåtkomst kan komma att variera . Vi anser därför att en motsvarande bestämmelse för begränsning av Försvars- maktens direktåtkomst till uppgifter i verksamhet ska finnas i den nya förordningen. Vi vill också erinra om den pågående översynen av lagstiftningen om personuppgiftsbehandlingen inom Försvarsmakten och som ska redovisas (dir. 2017:42). Den särskilde utredaren ska översiktligt beskriva hur personuppgifter behandlas och vilken reglering som gäller för behandlingen inom Försvarsmakten och . Utredaren ska bl.a. bedöma om den reglering som gäller vid behandling av person- uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och i Försvarets radioanstalts försvars- underrättelse- och utvecklingsverksamhet är ändamålsenligt utformad och tillräcklig när det gäller skyddet för enskildas personliga integri- tet. Utredaren ska också analysera vilket utrymme det finns för nationell reglering av den personuppgiftsbehandling i Försvarsmakten och som regleras i personuppgifts- lagen och utifrån den analysen bedöma om behandlingen helt eller delvis bör regleras särskilt. De registrerades behov av direktåtkomst Ytterligare en fråga som bör beaktas är om det finns andra än För- svarsmakten som bör kunna medges direktåtkomst till Rekryterings- myndighetens personuppgifter. har i detta avseende efterfrågat en möjlighet för totalförsvarspliktiga att genom direktåtkomst få ökad tillgång till vissa uppgifter om sig själva. har totalförsvarspliktiga direktåtkomst till ”Min Sida” på webben och de uppgifter som finns tillgängliga där, i huvudsak beredskapsunderlaget och uppgifter om mönstring i form av ett digitalt brev i pdf-format. Med hänsyn till att Rekryteringsmyndig- hetens behandling och handläggning av uppgifter om totalförsvars- pliktiga vid mönstring, utbildning, tjänstgöring eller liknande, i allt större utsträckning bygger på elektronisk hantering och kommu- nikation med såväl de totalförsvarspliktiga som berörda myndigheter, är vår bedömning att direktåtkomst bör få medges totalförsvars- pliktiga. Vi föreslår därför att det ska vara möjligt för Rekry- teringsmyndigheten att lämna ut uppgifter genom direktåtkomst till den registrerade själv. Möjligheten till direktåtkomst i dessa fall bör dock begränsas till personuppgifter i den registrerades eget ärende. Det ska alltså vara frågan om personuppgifter som hänför sig till den registrerade själv. Sekretess till skydd för en enskild gäller som huvudregel inte i förhållande till den enskilde själv (jfr 12 kap. 1 § offentlighets- och sekretesslagen). Det är således – ur integritetshänseende – inte påkallat med författningsstöd för direktåtkomst som medges den registrerade själv. Vi har emellertid gjort den principiella bedöm- ningen att de grundläggande reglerna för behandlingen bör ges i form av lag, bl.a. i vilka fall direktåtkomst ska vara möjlig. Av sys- tematiska skäl bör därför även denna bestämmelse ges i form av lag. För att säkerställa att personuppgifter genom direktåtkomsten inte lämnas ut till annan än den registrerade själv, bör Rekryterings- myndigheten se till att det finns tillräckliga säkerhetsrutiner för detta. Övriga aktörers behov av direktåtkomst I fråga om de övriga aktörer som enligt nuvarande reglering får medges direktåtkomst till vissa uppgifter hos Rekryteringsmyndig- heten, finner vi att sådan åtkomst inte fyller något egentligt behov. Vår utredning visar att ingen av dessa aktörer har haft sådan direkt- åtkomst sedan regleringens ikraftträdande och det har, såvitt fram- kommit, aldrig varit aktuellt att medge någon av dem direkt- åtkomst. Den omständigheten att vissa av de uppräknade aktörerna fortfarande, i egenskap av utbildnings- och bemanningsansvariga myndigheter inom det militära och civila försvaret, kan ha visst be- hov av uppgifter om den egna personalen respektive de som an- tagits till utbildning utgör inte tillräckligt skäl för att de i den nya lagen ska få medges direktåtkomst. Vår bedömning är att de upp- gifter som eventuellt behöver lämnas ut till dessa aktörer för när- varande inte nödvändigtvis behöver lämnas ut genom direktåtkomst. Andra metoder för utlämnande av uppgifter får således användas i fråga om dessa aktörer. I den mån det skulle uppstå ett behov av att medge andra aktörer än Försvarsmakten direktåtkomst bör det dock finnas möjlighet för regeringen att meddela föreskrif- ter om att så får ske i begränsad utsträckning. En sådan föreskriftsrätt bör således införas i den föreslagna lagen genom ett bemyndigande. Nästa fråga av betydelse för att säkerställa skyddet för person- uppgifter hos är omfattningen av den direktåtkomst som får medges genom denna föreskriftsrätt. Det är, ur ett integritetsskyddsperspektiv, särskilt viktigt att endast sådana personuppgifter som den mottagande aktören kan antas ha ett reellt och konkret behov av omfattas av direktåtkomst. Direktåtkomsten bör därför begränsas till de personuppgifter som aktören behöver för att fullgöra sina uppgifter enligt lag eller förordning och får endast avse vissa uppgifter. Skulle det däremot bli aktuellt att medge någon av dessa övriga aktörer direktåtkomst av större omfattning bör detta, liksom i fråga om Försvarsmakten, uttryckligen regleras i lagen. Möjligheten att medge Försvarsmakten, de registrerade själva samt andra aktörer direktåtkomst till person- uppgifter innebär att risken för kränkning av den enskildes per- sonliga integritet ökar. Det är därför nödvändigt med regler som säkerställer skyddet för personuppgifterna vid direktåtkomst. Den första frågan som bör beaktas är hur uppgifterna sprids och används hos mottagaren, eftersom en begränsad krets av personer som har tillgång till uppgifterna minskar risken för integritets- intrång. Mottagaren måste därför begränsa åtkomstmöjligheterna så mycket som möjligt med hänsyn till den aktuella verksamheten och känsligheten hos personuppgifterna. Det är följaktligen den per- sonuppgiftsansvarige som har medgetts direktåtkomst som ansvarar för att tillgången till personuppgifter begränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. På detta sätt minskas risken för integritetsintrång genom att en begränsad krets av anställda hos mottagaren får tillgång till uppgifterna. Härigenom undviks också en otillbörlig spridning av uppgifterna. Det ankom- mer på att innan en direktåtkomst i prak- tiken medges kontrollera att mottagaren har en fungerande ordning och kommer att behandla uppgifterna i enlighet med vad som ovan anförts. En annan fråga av särskild vikt är att det hos mottagaren finns ett tillräckligt och fullgott säkerhetsskydd för de personuppgifter som myndigheten genom direktåtkomsten får tillgång till. Det åligger , i egenskap av personuppgiftsansvarig, att kontrollera och säkerställa att mottagaren har en acceptabel säker- hetsnivå och uppfyller kraven på behörighet och säkerhet (jfr arti- kel 32.2 i dataskyddsförordningen). På detta sätt uppnås ett starkt integritetsskydd för de registrerade genom att Rekryteringsmyn- digheten inte får medge Försvarsmakten eller annan aktör direkt- åtkomst i praktiken förrän myndigheten har sett till att mottagaren uppfyller kraven på behörighet och säkerhet. En bestämmelse härom bör därför tas in i den föreslagna förordningen. Ovan nämnda regler om tillgång till personuppgifter hos Rekry- teringsmyndigheten, omfattningen av den i lag medgivna direkt- åtkomsten samt bestämmelser om informationssäkerhet och be- hörighet, innebär enligt vår bedömning att de integritetsrisker som är förknippade med möjligheten till direktåtkomst motverkas. 9.7.3En sekretessbrytande bestämmelse för direktåtkomst Allmänt om sekretessbrytande regler I vissa fall måste myndigheter kunna utbyta information mellan varandra för att kunna utföra sina uppgifter. kan det också vara nödvändigt att uppgifter lämnas ut till enskilda. En grund- läggande förutsättning för att uppgifter ska få lämnas ut är dock att sekretess inte hindrar att så sker. En regel om direktåtkomst bryter inte reglerna om sekretess (se t.ex. prop. 2004/05:164, s. 83 och prop. 2015/16:65, s. 93). Regler om direktåtkomst brukar därför ofta kompletteras med sekretessbrytande bestämmelser som är utformade som regler om uppgiftsskyldighet. Dessa formuleras antingen som en rätt för mottagaren att ta del av uppgifter eller som en skyl- dighet för myndigheten i fråga att lämna uppgifter till mottagaren. Enligt 8 kap. 1 § offentlighets- och sekretesslagen får en uppgift för vilken sekretess gäller enligt denna lag inte röjas för enskilda eller för andra myndigheter, om inte annat anges i denna lag eller i lag eller förordning som denna lag hänvisar till. I offentlighets- och sekretesslagen finns ett flertal sekretessbry- tande bestämmelser som innebär att sekretess inte hindrar ett ut- byte av uppgifter mellan myndigheter. Bestämmelserna har utfor- mats efter en intresseavvägning mellan myndigheternas behov av att utbyta uppgifter och det intresse som de aktuella sekretess- bestämmelserna ska skydda. Enligt 10 kap. 2 § offentlighets- och sekretesslagen hindrar inte sekretess att en uppgift lämnas till en annan myndighet om det är nödvändigt för att den utlämnande myndigheten ska kunna full- göra sin verksamhet. Syftet med bestämmelsen är att förhindra att sekretessregleringen gör det omöjligt för en myndighet och dess personal att sköta de uppgifter som åvilar myndigheten. Bestäm- melsen ska dock tillämpas restriktivt och får inte användas för att hjälpa en annan myndighet att fullgöra sin verksamhet (Lenberg, E. m.fl., kommentaren till 10 kap. 2 §). Enligt 10 kap. 17 § hindrar sekretess inte heller att en uppgift lämnas till en annan myndighet om uppgiften behövs där för tillsyn över eller revision hos den myndighet där uppgiften förekommer. Bestämmelsen möjliggör utlämnande till bl.a. JO, JK och Datainspektionen. Vidare gäller enligt huvudregeln i 10 kap. 27 §, den s.k. generalklausulen, att en sekretessbelagd uppgift får lämnas ut till en annan myndighet om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Undantag från huvudregeln görs för vissa sekretessbestämmelser som dock inte är aktuella här. Enligt 10 kap. 28 § första stycket hindrar inte heller sekretess att en uppgift lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning. Det är sådana bestämmelser om uppgiftsskyldighet som i allmänhet brukar användas för att möjliggöra direktåtkomst. Bestämmelsen i 6 kap. 5 § innebär att en myndighet på begäran av en annan myndighet ska lämna ut uppgifter i den mån hinder inte möter på grund av sekretess eller arbetets behöriga gång. Det innebär att om en myndighet begär att få del av uppgifter från en annan myndighet och någon av de ovan nämnda sekretessbrytande bestämmelserna är tillämpliga, så ska uppgifterna lämnas ut. Det- samma gäller om de begärda uppgifterna är offentliga, dvs. inte omfattas av sekretess. I sammanhanget bör även nämnas 12 kap. 2 § där det anges att sekretess till skydd för en enskild inte hindrar att en uppgift lämnas ut, exempelvis till en myndighet, om den en- skilde samtycker till det. Som exempel på sekretessbrytande bestämmelser som tar sikte på enskildas möjlighet att ta del av uppgifter kan nämnas 26 kap. 8 § och 27 kap. 7 § offentlighets- och sekretesslagen. I 16 § pliktregisterlagen föreskrivs att för utlämnande av person- uppgifter om totalförsvarspliktiga gäller de begränsningar som följer av offentlighets- och sekretesslagen. I förarbetena till bestämmel- sen anförde regeringen att det var viktigt att framhålla att en före- skrift om direktåtkomst inte bryter reglerna om sekretess. För att klargöra detta förhållande fann regeringen att det skulle föras in en bestämmelse i pliktregisterlagen med erinran om att dåvarande sekretesslagen är tillämplig när det gäller utlämnande av uppgifter om totalförsvarspliktiga. Härigenom bedömde regeringen att den restrik- tivitet vad gällde direktåtkomst skulle upprätthållas (prop. 1997/98:80, s. 65). Enligt 4 § förordningen om behandling av personuppgifter om totalförsvarspliktiga får, i enlighet med 14 kap. 1 § andra meningen sekretesslagen, uppgifter endast lämnas ut med direktåtkomst om det är särskilt föreskrivet i lag eller förordning. Den sistnämnda bestämmelsen motsvarar 10 kap. 28 § första stycket offentlighets- och sekretesslagen, dvs. sekretess hindrar inte att en uppgift lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning. För del finns sekretessbrytande be- stämmelser i förordningen (1995:238) om totalförsvarsplikt. Av 3 kap. 16 § framgår att , i samband med att en totalförsvarspliktig rycker in för värnplikt eller civilplikt med längre grundutbildning än , ska lämna de journalhandlingar som upprättats vid mönstring eller särskild antagningsprövning enligt lagen om möjlighet för kvinnor att fullgöra värnplikt eller civilplikt med längre grundutbildning (lagen är upphävd), till hälso- och sjukvårdspersonalen vid den organisatoriska enhet hos en myndighet, en kommun eller ett landsting där grundutbild- ningen ska genomföras (första stycket). ska lämna uppgifter om den totalförsvarspliktiges psykiska funktionsförmåga, fysiska arbetsförmåga, allmänna begåv- ning och hälsotillstånd till den befattningshavare på en sådan enhet som anges i första stycket som har till uppgift att utbilda den total- försvarspliktige (andra stycket). ska också och till samma enheter som anges i första stycket lämna uppgift i form av fotografisk bild av den totalförsvarspliktige från det register som myndigheten för över sådana uppgifter. En sådan uppgift ska på begäran även lämnas till , , , Försvarsmakten, Tullver- ket, och (tredje stycket). Våra överväganden och förslag Utredningens förslag: Det ska i lagen införas en sekretessbry- tande bestämmelse om uppgiftsskyldighet i förhållande till För- svarsmakten som motsvarar den direktåtkomst som myndig- heten får medges. Regeringen får meddela föreskrifter om att annan myndighet vid direktåtkomst har rätt att ta del av de personuppgifter som omfattas av åtkomsten. Det kan inledningsvis konstateras att det i nu gällande förordning finns sekretessbrytande regler om uppgiftsskyldighet för Rekryterings- myndigheten endast i begränsad utsträckning. Den skyldighet som finns i 3 kap. 16 § förordningen om totalförsvarsplikt om att lämna ut uppgifter till exempelvis Försvarsmakten motsvarar långtifrån den direktåtkomst som myndigheten får medges och har behov av. Vi föreslår därför att en mer omfattande sekretessbrytande bestäm- melse om uppgiftsskyldighet i förhållande till Försvarsmakten införs i den nya lagen. En sådan bestämmelse korresponderar med den ändamålsbestämmelse som vi föreslår ska införas i lagen, vilken medger att personuppgifter – som behandlas med stöd av något eller några av de primära ändamålen – också får behandlas för så- dant uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. Av integritetshänsyn till personuppgifter som får lämnas ut genom direktåtkomst har vi i avsnitt 9.7.2 föreslagit att det i den nya förordningen tas in en bestämmelse som uttömmande speci- ficerar vilka personuppgifter som Försvarsmakten får medges direktåtkomst till. Den sekretessbrytande bestämmelsen bör utformas som en rätt för Försvarsmakten att vid direktåtkomst ta del av de personuppgifter som därigenom omfattas av åtkomsten. Behovet av sekretessbrytande regler i övrigt Den föreslagna sekretessbrytande bestämmelsen tar enbart sikte på direktåtkomst som har medgetts Försvarsmakten. Frågan är om det finns behov av sekretessbrytande regler i övrigt. Enligt 12 kap. 1 § offentlighets- och sekretesslagen gäller sekre- tess till skydd för en enskild inte i förhållande till den enskilde själv, om inte annat anges i den lagen. Det finns således inte något behov av att införa en sekretessbrytande regel för sådana fall. Enligt vår uppfattning bör det därför inte föreslås någon motsvarande bestämmelse som gäller till förmån för de registrerade själva. För det fall behov skulle uppstå att medge även andra myndig- heter än Försvarsmakten eller någon annan aktör direktåtkomst krävs sekretessbrytande bestämmelser också i sådana fall. Av 10 kap. 28 § offentlighets- och sekretesslagen framgår att ytterligare sekre- tessbrytande regler i förhållande till andra myndigheter kan ges i form av bestämmelser i förordning. Regeringen bör därför bemyn- digas att få meddela föreskrifter med sekretessbrytande verkan i de fall regeringen med stöd av det bemyndigande som föreslås i av- snitt 9.7.2 tillåter att någon annan myndighet får medges direkt- åtkomst. En sådan sekretessbrytande bestämmelse bör få omfatta samma personuppgifter som direktåtkomsten avser. I det fall en enskild aktör ska få medges direktåtkomst följer av 8 kap. 1 § offent- lighets- och sekretesslagen att en sekretessbrytande bestämmelse måste införas i denna lag eller i lag eller förordning som den lagen hänvisar till. Eftersom det inte finns något aktuellt behov av att tillåta direktåtkomst för någon enskild aktör saknas det också be- hov av en sekretessbrytande bestämmelse. Vid behandling av personuppgifter är det betydelsefullt i vilken omfattning uppgifter kan sökas och sammanställas, inte minst ur ett integritetsperspektiv. Användningen av sökbegrepp som tar sikte på känsliga personuppgifter innebär i regel en integritetsrisk efter- som det skapar utrymme för kartläggning och sammanställning av enskildas personliga förhållanden, vilket i sig kan utgöra ett intrång i den enskildes personliga integritet.