sou · H5B397 · 2017-12-08 00:00:00 — I artikel 4.7 definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Dataskyddsförordningen uppställer vissa skyldigheter för den personuppgiftsansvarige. Den personuppgiftsansvarige ska bl.a. an- svara för och kunna visa att behandlingen av personuppgifter sker på ett lagligt, korrekt och öppet sätt (artiklarna 5.1 a och 5.2), att oriktiga uppgifter rättas (artikel 16) och att den registrerade ersätts för skada som en rättstridig behandling av personuppgifter har med- fört (artikel 82). Enligt skäl 45 bör behandlingens syfte fastställas i unionsrätten eller medlemsstaternas nationella rätt och genom denna grund är det möjligt att bl.a. precisera kraven för att fastställa vem den personuppgiftsansvarige är. Enligt samma skäl bör unions- rätten och medlemsstaternas nationella rätt också reglera frågan huruvida en personuppgiftsansvarig som utför en uppgift av bl.a. allmänt intresse ska vara en offentlig myndighet. 7.4.3Våra överväganden och förslag Utredningens förslag: ska vara person- uppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. En bestämmelse i den nya lagen som pekar ut Rekryteringsmyndig- heten som personuppgiftsansvarig för den behandling av person- uppgifter som myndigheten utför, bidrar till att tydliggöra för de registrerade vem som ska hållas ansvarig för behandlingen av per- sonuppgifter enligt lagen. En sådan ordning har gällt och är också tillåten enligt dataskyddsförordningen. framkommit något skäl till varför nuvarande ordning ska ändras. Tvärtom bör huvudregeln vara att den som utför själva behandlingen av personuppgifter också ska ha personuppgiftsansvaret. Rekryter- ingsmyndigheten bör följaktligen även fortsättningsvis vara person- uppgiftsansvarig för den behandling av personuppgifter som myndig- heten utför. 8.1Rättslig grund för behandlingen av personuppgifter EU:s dataskyddsreglering utgår från att varje behandling av person- uppgifter måste vila på en rättslig grund. Behandling av personupp- gifter får därför bara ske under vissa särskilt angivna omständig- heter. I artikel 6.1 i dataskyddsförordningen finns en uttömmande upp- räkning av de rättsliga grunderna. Om inget av de uppräknade villkoren är uppfyllt är behandlingen inte laglig och får därmed inte utföras. Den omständigheten att behandlingen är laglig enligt arti- kel 6.1 innebär dock inte att all behandling av personuppgifter är tillåten. Den personuppgiftsansvarige måste även uppfylla övriga i förordningen uppställda krav, exempelvis de allmänna principerna i artikel 5. De olika villkoren i artikel 6.1 är i viss mån överlappande, vilket innebär att flera rättsliga grunder kan vara tillämpliga avseende en och samma behandling. Enligt förordningen är det dock, till skill- nad mot tidigare, inte tillåtet för myndigheter att behandla person- uppgifter med stöd av den rättsliga grund som utgår från en avväg- ning mellan den ansvariges berättigade intressen och den registrerades rättigheter och intressen när myndigheterna fullgör sina uppgifter (jfr 10 § f personuppgiftslagen). Detta framgår uttryckligen av artikel 6.1 andra stycket i förordningen. Rättslig grund och tillåtna ändamål Enligt artikel 6.1 är behandling endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes per- sonuppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förplikt- else som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning. f)Behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. I det följande redogörs översiktligt för de rättsliga grunder i arti- kel 6.1 som aktualiseras för behandling av personuppgifter; behandling för att fullgöra en rättslig förplikt- else (led c), behandling som ett led i myndighetsutövning och behandling för att utföra en uppgift av allmänt intresse (led e). Behandling för att fullgöra en rättslig förpliktelse Enligt artikel 6.1 c är personuppgiftsbehandling laglig om behand- lingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Bestämmelsen är i sak likalyd- ande med artikel 7 c i dataskyddsdirektivet. har i sina överväganden gjort bedömningen att begreppet rättslig förpliktelse i båda rättsakterna bör tolkas och tillämpas på samma sätt. Vidare gör följande bedömning såvitt SOU 2017:97 Rättslig grund och tillåtna ändamål avser innebörden av begreppet rättslig förpliktelse (SOU 2017:39, s. 113 f.). För att en skyldighet ska utgöra en ”rättslig” förpliktelse måste den ha en legal grund. Detta följer både av begreppet i sig och av kravet i arti- kel 6.3 första stycket i dataskyddsförordningen om att grunden för behandlingen ska fastställas i enlighet med unionsrätten eller den natio- nella rätten. Detta innebär inte att förpliktelsen nödvändigtvis måste framgå av en författning eller liknande. Rättsliga förpliktelser kan också framgå av exempelvis förelägganden, myndighetsbeslut och domar som har meddelats med stöd av gällande rätt. Rättsliga förpliktelser kan även, som en följd av den svenska arbets- marknadsmodellen, följa av kollektivavtal. Förpliktelser som följer av avtal där den registrerade själv är part utgör däremot en separat rättslig grund enligt såväl dataskyddsförordningen som dataskydds- direktivet. Även statliga myndigheter kan, vid sidan av sina uppgifter och uppdrag, sägas ha rättsliga förpliktelser. Datainspektionen har bl.a. ansett att en skyldighet till följd av offentlighetsprincipen är en rättslig skyldighet (Datainspektionens rapport 2005:3 s. 15). Data- inspektionen har dock inte ansett att innehållet i en myndighets arbetsordning kan grunda en rättslig skyldighet att behandla per- sonuppgifter (m.fl, kommentaren till 10 b § personupp- giftslagen). Såvitt avser statliga myndigheters uppdrag enligt myn- dighetsinstruktion eller av regeringen utfärdat regleringsbrev har anfört följande (a.a. s. 117). En myndighets uppdrag enligt myndighetsinstruktionen eller regler- ingsbrevet kan i vissa fall utgöra en i enlighet med nationell rätt (regeringsformen) fastställd rättslig förpliktelse i dataskyddsförord- ningens mening, t.ex. om myndigheten ges i uppdrag att föra ett visst personuppgiftsregister. I normalfallet torde dock myndighetens upp- drag i första hand utgöra en rättslig grund för behandling av person- uppgifter med stöd av artikel 6.1 e i dataskyddsförordningen, dvs. på grundval av att uppdraget avser en uppgift av allmänt intresse. Behandling som ett led i myndighetsutövning Enligt artikel 6.1 e får personuppgifter behandlas bl.a. om behand- lingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning. Av artikel 6.3 andra stycket följer att det måste finnas ett samband mellan behandlingen och myndighetsutövningen. Rättslig grund och tillåtna ändamål Av skäl 45 till dataskyddsförordningen framgår att det på unions- nivå eller nationellt bör regleras om en personuppgiftsansvarig som utför myndighetsutövning ska vara en myndighet eller någon annan som omfattas av offentligrättslig lagstiftning eller om denne kan vara en fysisk eller juridisk person som lyder under civilrättslig lagstiftning, t.ex. en yrkesorganisation. Vad gäller innebörden av begreppet myndighetsutövning anför följ- ande (SOU 2017:39, s. 119 f.). bedömde att begreppet myndighetsutövning har en EG-gemensam innebörd, men att man till dess annat framkommer bör kunna utgå från att det som i brukar anses som myn- dighetsutövning faller under begreppet. Vi instämmer i denna bedöm- ning. Termen används flitigt i svenska författningar, även i grundlag, men saknar legaldefinition. […] Myndighetsutövning mot enskilda karaktäriseras av beslut eller andra ensidiga åtgärder som ytterst är uttryck för samhällets maktbefogenheter i förhållande till medborg- arna. Befogenheten till myndighetsutövning måste alltså vara grundad på lag eller annan författning eller på annat sätt kunna härledas ur bemyndiganden från de högsta statsorganen. Myndighetsutövning kan både medföra förpliktelser för enskilda och mynna ut i gynnande be- slut. Myndighetsutövning kan också ske i förhållandet mellan myndig- heter, t.ex. när en myndighet har tillsyn över en annan myndighets verksamhet. Utanför begreppet myndighetsutövning faller däremot råd, upplysningar och andra inte bindande uttalanden samt sådan faktisk verksamhet som inte innebär tvång mot den enskilde (t.ex. undervis- ning). Gränsdragningen mellan offentligrättsliga och privaträttsliga regler är också av stor vikt när det gäller att bestämma begreppet myndig- hetsutövning. Myndighetsutövning måste alltid ske med stöd i gällande rätt. Någon generell rätt till myndighetsutövning finns inte i . Av regeringsformen följer att myndighetsutövning som medför skyl- digheter för den enskilde eller i övrigt avser ingrepp i den enskildes personliga eller ekonomiska förhållanden måste härröra från lag (8 kap. 2 § 2 och 3 § regeringsformen). Regeringen kan dock, med stöd av sin restkompetens, i förordning ge en myndighet befogen- heter avseende gynnande myndighetsutövning (8 kap. 7 § första stycket 2 regeringsformen). Därutöver kan myndighetsutövning även utövas med stöd av direkt tillämpliga EU-förordningar. Vilka organ i som har myndighetsutövande uppgifter regleras i offentligrättslig lagstiftning. Rättslig grund och tillåtna ändamål Behandling för att utföra en uppgift av allmänt intresse Enligt artikel 6.1 e får personuppgifter behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Såsom påtalar definieras begreppet allmänt intresse varken i dataskyddsdirektivet eller i dataskyddsförordningen. Data- skyddsutredningen bedömer att mycket dock talar för att begreppet genom dataskyddsförordningen får anses ha fått en vidare unions- rättslig betydelse än begreppet har haft (SOU 2017:39, s. 122 f.). Innebörden av begreppet allmänt intresse har ännu inte heller utvecklats av . I avsaknad av vägledande domar från förefaller det med hänsyn till svensk förvaltnings- tradition rimligt att anta att alla uppgifter som utförs av statliga myndigheter i syfte att uppfylla ett uttryckligt uppdrag av riksdag eller regering är av allmänt intresse. Sådana uppgifter, som utförs i syfte att utföra ett uttryckligt uppdrag eller till följd av ett åligg- ande, bör anses vara av allmänt intresse oavsett om de faktiskt utförs i myndighetens egen regi, av egna anställda med hjälp av egen utrustning, eller om de genom utkontraktering utförs av någon annan (a.a. s. 124). Särskilda registerförfattningar tar ofta sikte på behandling av personuppgifter inom en viss verksamhet som utförs för en uppgift av allmänt intresse. Sådana författningar innehåller i regel ända- målsbestämmelser. En närmare redogörelse för ändamålsbestäm- melser ges i avsnitt 8.2. Av artikel 6.2 framgår att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestäm- melserna i förordningen med hänsyn till behandling av person- uppgifter för att efterleva artiklarna 6.1 c och 6.1 e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Sådana nationella bestämmelser förekommer ofta i särskilda registerför- fattningar och kommer att utgöra en precisering av de allmänna principer för behandlingen som anges i artikel 5. Rättslig grund och tillåtna ändamål Enligt artikel 6.3 ska den grund för behandlingen som avses i arti- kel 6.1 c och e fastställas i enlighet med unionsrätten eller en med- lemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Enligt artikel 6.3 andra stycket ska syftet med behandlingen fastställas i den rättsliga grunden. I fråga om behandling enligt artikel 6.1 e, ska syftet vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Ändamålet behöver således inte framgå av den författning där själva uppgiften fastställs men måste vara nöd- vändigt för att utföra uppgiften. Bestämmelsen uttrycker det sam- band som måste finnas mellan behandlingen och den fastställda uppgiften och riktar sig till den som bestämmer de särskilda ända- målen för behandlingen, vilket i normalfallet är den personupp- giftsansvarige. Detta krav på samband framgår även av artikel 5.1 b, där det anges att de särskilda ändamålen ska vara berättigade (SOU 2017:39, s. 126 f.). Genom kravet i artikel 6.3 att grunden för behandlingen ska fast- ställas i enlighet med unionsrätten eller den nationella rätten, begränsas tillämpningsområdet för den rättsliga grunden i arti- kel 6.1 e. Det räcker således inte att en behandling av personupp- gifter är nödvändig för att utföra en uppgift av allmänt intresse – uppgiften måste också vara fastställd i enlighet med gällande rätt. Förhållandet mellan artiklarna 5 och 6 i dataskyddsförordningen Utöver det grundläggande kravet på att all personuppgiftsbehand- ling måste vara laglig, uppställs i artikel 5 vissa allmänna krav på behandlingen. Artikel 5.1 i förordningen motsvarar i princip arti- kel 6 i dataskyddsdirektivet, som har genomförts i svensk rätt genom 9 § personuppgiftslagen. Den första principen slås fast i artikel 5.1 a och innebär att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. I artikel 5.1 b anges vidare att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Ett ändamål som inte är berättigat i förhållande till den tillämpliga rättsliga grunden är så- Rättslig grund och tillåtna ändamål ledes inte förenligt med artikel 5. Ett tydligt angivet ändamål är som regel också en förutsättning för att kunna bedöma om be- handlingen är laglig. Kopplingen mellan den rättsliga grunden och kravet på särskilda, uttryckligt angivna och berättigade ändamål förstärks genom dataskyddsförordningen (SOU 2017:39, s. 106 f.). Av artikel 6.3 andra stycket framgår att syftet med behandlingen ska fastställas i den rättsliga grunden. Vad gäller myndighetsutöv- ning och uppgifter av allmänt intresse ska ändamålet med behand- lingen vara nödvändigt för att utföra uppgiften eller myndighets- utövningen. Enligt artikel 5.1 c–f ska uppgifterna vidare bl.a. vara adekvata och korrekta, får inte förvaras än vad som är nödvändigt samt måste behandlas på ett sätt som säkerställer lämp- lig säkerhet. påpekar att förordningen inte ställer något krav på att de särskilda ändamålen ska vara fastställda i för- fattning, men det finns heller ingenting som hindrar att detta görs, förutsatt att bestämmelserna uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas (arti- kel 6.3 andra stycket). Oavsett om ändamålen fastställts i författ- ning eller inte är det dock enligt artikel 5.2 alltid den personupp- giftsansvarige som ansvarar för, och ska kunna visa att, principerna i artikel 5 efterlevs (a.a. s. 107 f.). Artiklarna 5 och 6 är kumulativa. Det innebär att endast om någon av de rättsliga grunderna i artikel 6.1 är uppfylld får behandling av personuppgifter ske. Om behandlingen är laglig enligt artikel 6 måste dessutom samtliga principer i artikel 5 följas. Utredningens bedömning: Den rättsliga grunden för Rekry- teringsmyndighetens behandling av personuppgifter är fastställd i förordningen (2010:1472) med instruktion för Totalförsvarets rekryteringsmyndighet. Dataskyddsförordningens krav enligt arti- kel 6.3 första stycket att vissa rättsliga grunder ska vara fast- ställda i unionsrätten eller i nationell rätt medför således inte något behov av författningsändringar. Rättslig grund och tillåtna ändamål Både statliga och kommunala myndigheters verksamhet får i allt väsentligt anses vara av allmänt intresse. Myndigheter måste kunna bedriva ändamålsenlig och effektiv verksamhet, vilket bl.a. sker ge- nom digital personuppgiftsbehandling. Informationsteknikens genom- slag i allmänhet och i myndigheters uppgiftshantering i synnerhet, medför att myndigheter i praktiken inte kan välja att behandla per- sonuppgifter manuellt, i vart fall inte på ett sätt som faller utanför dataskyddsförordningens tillämpningsområde. Av detta följer att det är den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen, dvs. allmänt intresse, som i normalfallet bör tillämpas av myndig- heter vid deras behandling av personuppgifter. Den nu föreslagna lagen och förordningen har, liksom tidigare, till huvudsakligt syfte att ska kunna be- driva sin verksamhet på ett ändamålsenligt och effektivt sätt utan att den personliga integriteten hos totalförsvarspliktiga och annan personal inom totalförsvaret kränks. Mängden personuppgifter som måste hantera inom ramen för sin verksamhet medför att annan behandling än automatisk i princip är utesluten. Behandlingen är också nödvändig för att myndigheten ska kunna bedriva sin verksamhet. Verksamheten, som i huvudsak består av att utföra utredning om personliga förhållanden, mönstra, skriva in och krigsplacera totalförsvarspliktiga, lämna stöd till be- manningsansvariga myndigheter m.fl. i frågor som avser bemanning med totalförsvarspliktiga samt redovisa annan personal inom total- försvaret, måste således anses vara av allmänt intresse. Samtycke från den enskilde till att uppgifterna behandlas och registreras i myndighetens informationssystem krävs således inte. Den behandling av personuppgifter som Rekryteringsmyndig- heten utför i sin verksamhet med stöd av förordningen med instruk- tion för Totalförsvarets rekryteringsmyndighet (myndighetsinstruk- tionen) kan också betraktas som ett led i myndighetsutövning i enlighet med artikel 6.1 e i dataskyddsförordningen. Även denna rättsliga grund kan således bli tillämplig vid myndighetens person- uppgiftsbehandling. Mer tveksamt är om behandlingen kan anses nödvändig för att fullgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskydds- förordningen. I enlighet med resonemang (se avsnitt 8.1.1) skulle uppdrag enligt myndighetsinstruktionen eller regleringsbrevet kunna utgöra en Rättslig grund och tillåtna ändamål fastställd rättslig förpliktelse i dataskyddsförordningens mening. Vi instämmer dock i bedömning att det är den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen, dvs. allmänt intresse, som vanligen bör tillämpas av myndigheter, även utanför området för myndighetsutövning. Detta gör sig även gäll- ande i fråga om behandling av person- uppgifter. Även om det i nuvarande reglering inte uttryckligen anges om det rättsliga stödet för behandling av personuppgifter är allmänt intresse, myndighetsutövning eller rätts- lig förpliktelse, får det förutsättas att det funnits stöd för be- handlingen enligt ändamålen i artikel 7 i dataskyddsdirektivet, vilka har sin motsvarighet i dataskyddsförordningens artikel 6.1. Arti- kel 6.3 första stycket i dataskyddsförordningen kräver emellertid att den rättsliga grunden för sådan personuppgiftsbehandling som avses i artikel 6.1 c och e är fastställd i unionsrätten eller nationell rätt. I fråga om behandling av person- uppgifter finns den rättsliga grunden för behandlingen fastställd i myndighetsinstruktionen. Dataskyddsförordningens krav enligt arti- kel 6.3 första stycket att vissa rättsliga grunder ska vara fastställda i unionsrätten eller i nationell rätt medför således inte något behov av författningsändringar. 8.2Tillåtna ändamål för behandlingen av personuppgifter 8.2.1Allmänt om primära och sekundära ändamål Det är vanligt att man i författningar som reglerar myndigheters personuppgiftsbehandling delar upp ändamålen med behandlingen av personuppgifter i primära och sekundära. De primära ändamålen avser att tillgodose de behov som finns att behandla personupp- gifter i de berörda myndigheternas egen verksamhet. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter, som myn- digheten samlat in för ett primärt ändamål, får behandlas för att lämnas ut till enskilda eller till andra myndigheter i syfte att till- godose deras behov. Det finns olika sätt att utforma ändamålsregleringen i en registerförfattning. Ett sätt är att uttömmande ange de ändamål för Rättslig grund och tillåtna ändamål vilken behandling får ske, både primära och sekundära. Ett annat sätt som har tillämpats i vissa gällande registerförfattningar är att de i lagen angivna ändamålen kompletteras med en möjlighet att behandla uppgifter även för ändamål som inte är oförenliga med det för vilka uppgifterna samlades in, i enlighet med den s.k. finali- tetsprincipen (jfr 9 § första stycket d personuppgiftslagen). I 5 § pliktregisterlagen anges att personuppgifter som samlats in av ska anses insamlade för de ändamål som anges i 1 § första stycket om inte vid insamlingen uttryckligen angett att den sker för andra ändamål. Motsvarande ska gälla vid myndighetens behandling av uppgifter som annan myndighet har samlat in. Som tidigare berörts i avsnitt 7.3.2 innebär utformningen av nämnda bestämmelse att ändamålen med Rekryteringsmyndig- hetens behandling av personuppgifter endast anges genom en hän- visning till 1 § första stycket samma lag, dvs. Ändamålen regleras således enligt nu gällande bestämmelser till- sammans med lagens tillämpningsområde. 8.2.3För vilka primära ändamål ska personuppgifter få behandlas? Nedan följer en uttömmande uppräkning av de ändamål för vilka får behandla personuppgifter enligt 1 § första stycket pliktregisterlagen. Utredning om totalförsvarspliktigas personliga förhållanden, mönstring, inskrivning och krigsplacering av totalförsvarspliktiga En stor del av den personuppgiftsbehandling som sker hos Rekry- teringsmyndigheten utförs i samband med myndighetens uppgift att utföra utredning om personliga förhållanden, mönstra, skriva in och krigsplacera totalförsvarspliktiga. Även myndighetens behandling av personuppgifter i samband med annan utredning än Rättslig grund och tillåtna ändamål För dessa ändamål finns således ett behov av att behandlar personuppgifter om total- försvarspliktiga. Redovisning av annan personal inom totalförsvaret har enligt myndighetsinstruktionen till uppgift att redovisa i princip all personal inom totalförsvaret. Detta innefattar både totalförsvarspliktiga, anställd personal, avtalspersonal och hemvärnsmän m.fl. inom totalförsvaret. En förutsättning för att myndigheten ska kunna redovisa annan personal än totalför- svarspliktiga, är dock att de berörda myndigheterna eller andra bemanningsansvariga organ som förfogar över dem har anmält per- sonen i fråga till för registrering. Utbildning och placering inom totalförsvaret ska i sin verksamhet inte endast utreda och placera totalförsvarspliktiga inom totalförsvaret.