sou · H5B397 · 2017-12-08 00:00:00 — Såväl känsliga personuppgifter som andra integritetskänsliga uppgifter om de totalförsvarspliktiga be- handlas regelmässigt i verksamheten. Flertalet anställda hos Rekry- teringsmyndighet inklusive hälso- och sjukvårdspersonal har tillgång till många uppgifter av integritetskänslig karaktär inom ramen för sina respektive arbetsuppgifter. De uppgifter som anställd personal hos Rekryteringsmyndig- heten har tillgång till begränsas dock genom krav på behörighet. Åtkomsten begränsas såtillvida att de som har behörighet endast får tillgång till de delar av informationssystemen som de behöver för att kunna fullgöra sina arbetsuppgifter. Inloggning kan endast ske med hjälp av totalförsvarets elektroniska id-kort. Aktiviteter i systemen loggas och logguppföljning görs regelbundet av it-säker- hetschefen och verksamhetschefen. Svårigheten att tydligt precisera vilka uppgifter som ska få göras gemensamt tillgängliga är en annan viktig aspekt som måste be- aktas. Detta låter sig inte med lätthet göras i den verksamhet som bedrivs av . Motsvarande skäl som ovan anförts i fråga om Rekryterings- myndighetens personuppgiftsbehandling lyftes även fram i Utlän- ningsdatautredningens förslag till ny utlänningsdatalag (SOU 2015:73, s. 198 f.). Vissa likheter kan skönjas i lagstiftningsarbetet rörande den nya utlänningsdatalagen och vårt lagförslag. I båda fallen har det i direktiven efterfrågats en modernare reglering mot tidigare mer renodlade registerförfattningar. Därtill berör lagregleringen flera myndigheter. Såväl som Rekryteringsmyn- dighetens behandling av personuppgifter är omfattande och avser till övervägande del integritetskänsliga personuppgifter. I Utlännings- datautredningens betänkande kom utredningen fram till slutsatsen att det inte skulle finnas några särskilda regler om behandling av personuppgifter på utlännings- och medborgarskapsområdet som är gemensamt tillgängliga. Till skillnad från den tidigare utlännings- dataförordningen (2001:720) innehåller den nya utlänningsdata- lagen (2016:27) således inte några bestämmelser som tar sikte på visst register i verksamhet utan lagens bestäm- melser gäller generellt för den behandling som sker inom ramen för tillämpningsområdet. Uppgifterna om totalförsvarspliktiga och annan personal inom totalförsvaret kommer också att omgärdas av särskilda skyddsregler i enlighet med våra förslag. Personuppgiftsbehandlingen enligt den nya lagen kommer t.ex. att begränsas genom bestämmelser om lagens tillämpningsområde och särskilda ändamålsbestämmelser (se avsnitt 7.3 och 8.2). Därtill föreslås regler om att tillgången till personuppgifter ska begränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter (se avsnitt 9.6). En särskild re- glering för när och hur direktåtkomst för andra aktörer får medges föreslås också (se avsnitt 9.7.2). På detta sätt begränsas risken för otillbörlig spridning av uppgifterna. Lagen föreslås också innehålla relativt utförliga bestämmelser om sökförbud (se avsnitt 9.8). Mot denna bakgrund är vår bedömning att de föreslagna skyddsreglerna utgör ett tillräckligt integritetsskydd för den upp- giftsbehandling som sker hos . Något behov av en mer restriktiv särreglering finns inte. Vi föreslår därför inte att det i den nya lagen bör införas särskilda bestämmelser om register, databaser eller gemensamt tillgängliga uppgifter utan re- gleringen bör ges en generell utformning. 9.2Personuppgifter som får behandlas Äldre registerförfattningar innehåller i regel bestämmelser om registerinnehåll, dvs. vilka kategorier av uppgifter eller personer som får behandlas. Pliktregisterlagen är inget undantag. I 8 § anges att i automatiserat register över totalförsvarspliktiga får person- uppgifter föras in endast om den som (i) är eller har varit aktuell för mönstring eller annan utredning, (ii) genom avtal, beslut om krigsplacering eller på annat sätt är tagen i anspråk för totalför- svaret, (iii) ska utföra särskild uppgift vid höjd beredskap eller på grund av viss kompetens är viktig för totalförsvaret, (iv) av en redan registrerad uppgetts som närstående, eller (v) nämns bland de uppgifter som åberopas av den registrerade, om de rör hans eller hennes tjänstgöring inom totalförsvaret. Därutöver får personupp- gifter registreras om den som fattat beslut eller handlagt ärende som rör den registrerade hos eller hos någon annan som utfört annan utredning. Detsamma gäller per- sonuppgifter om den som gjort journalanteckning i samband med sådan utredning eller i samband med den registrerades tjänstgöring inom totalförsvaret (8 § tredje stycket). I 9 § anges uttömmande vilka personuppgifter som får föras in i registret. I moderna registerförfattningar har den tidigare ordningen med bestämmelser om registerinnehåll frångåtts. I exempelvis polisdata- lagen, kustbevakningsdatalagen och utlänningsdatalagen är det ända- målsbestämmelserna som styr vilka uppgifter som får behandlas genom att det anges att personuppgifter får behandlas om det behövs för de ändamål för vilken behandlingen utförs (se bl.a. 2 kap. 7 § polisdatalagen, 3 kap. 2 § kustbevakningsdatalagen och 11 § utlänningsdatalagen). Polisadatalagen innehåller dock särskilda innehållsbestämmelser för fingeravtrycks- och signalementsregister (4 kap. 12–13 §§). 9.2.2Våra överväganden och förslag Utredningens förslag: Det ska i lagen inte anges vilka katego- rier av personer eller personuppgifter som får behandlas. Alla personuppgifter som är nödvändiga för de ändamål för vilken behandlingen utförs får behandlas. I nu gällande pliktregisterlag anges uttömmande vilka kategorier av personer och personuppgifter som får behandlas. De skäl som vid lagens tillkomst motiverade särskilda bestämmelser om register- innehåll gör sig enligt vår bedömning inte längre gällande. Då ansågs det i personuppgiftslagen uppställda kravet på att behandling av personuppgifter inte får avse fler uppgifter än som är nödvändigt med hänsyn till ändamålen med behandlingen inte vara tillräckligt ur integritetsskyddspunkt (SOU 1997:101 s. 155). Tvärtom ansågs det viktigt att register av det slag som för – register med känsliga personuppgifter om en stor del av befolk- ningen – reglerades noggrant vad gällde innehållet. Även försvars- sekretessen motiverade ett starkt skydd. Inledningsvis kan vi konstatera att bestämmelser om register- innehåll är en vedertagen ordning i särskilda registerför- fattningar. Inte ens i registerförfattningar som rör särskilt integritets- känslig verksamhet, som polisdatalagen, kustbevakningsdatalagen och utlänningsdatalagen, har det ansetts befogat med sådana bestäm- melser. Den behandling av personuppgifter som sker på grund av uppdrag är i och för sig än synner- ligen omfattande och avser i hög grad känsliga personuppgifter. Till detta kommer att personuppgifterna i stor utsträckning har samlats in från de totalförsvarspliktiga själva utifrån den skyldighet som följer av lagen (1994:1809) om totalförsvarsplikt. Vårt förslag inne- bär dock att den nya lagen, till skillnad mot tidigare, kommer att innehålla särskilda ändamålsbestämmelser med en uttömmande upp- räkning av de primära ändamål för vilka får behandla personuppgifter i sin verksamhet. När myndigheten får behandla de uppgifter som har samlats in begränsas således av ändamålsbestämmelserna. Som redovisats i avsnitt 8.1.2 har behandlingen sin utgångspunkt i den rättsliga grund som framgår av uppdrag såsom det är formulerat i myndighetsinstruktionen. För att en enskild behandling ska vara tillåten är det dock inte till- räckligt att den har sin utgångspunkt i den rättsliga grunden och att den kan inordnas under något av de primära ändamålen. Utöver det grundläggande kravet på att personuppgiftsbehandlingen måste vara laglig, ska personuppgifterna behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (artikel 5.1 a data- skyddsförordningen). Varje enskild behandling måste även omfattas av särskilda, uttryckligt angivna och berättigade ändamål och får inte senare behandlas på ett sätt som är oförenligt med dessa ända- mål (artikel 5.1 b). Uppgifterna ska vidare vara adekvata och korrekta, får inte förvaras än vad som är nödvändigt samt måste behandlas på ett sätt som säkerställer lämplig säkerhet (artikel 5.1 c–f). Genom dels kravet på en rättslig grund för behandlingen och de grundläggande bestämmelserna i dataskyddsförordningen, dels de föreslagna ändamålsbestämmelserna uppnås enligt vår bedömning en fullgod inramning av integritetsskyddet för Rekryteringsmyndig- hetens personuppgiftsbehandling. Ur ett integritetsskyddsperspektiv kan det naturligtvis finnas fördelar med en reglering som tydligt specificerar de personupp- gifter som får behandlas. Det gäller särskilt när det rör sig om personuppgiftsbehandling i register i traditionell mening, dvs. att uppgifter förs in i en uppgiftssamling på ett systematiskt sätt enligt särskilda kriterier och att de är sökbara med särskilda sökord eller liknande (se t.ex. prop. 2015/16:65 s. 78 f.). av vilka personuppgifter som får behandlas finns bl.a. i fråga om fingeravtrycks- och signalementsregistret enligt 4 kap. 13 § polisdata- lagen. Som redovisats i avsnitt 9.1.3, kan den behandling av person- uppgifter som utför inom ramen för sin verksamhet inte anses vara ett register i traditionell mening. Myndighetens personuppgiftsbehandling är omfattande och det kan inte anses ändamålsenligt att uttömmande specificera vilka kate- gorier av uppgifter som ska få behandlas. Därtill kan Rekryterings- myndighetens behov av att behandla personuppgifter komma att för- ändras och variera , vilket också talar emot att uttömmande reglera vilka personuppgifter som får behandlas. Det är således vår bedömning att den nya lagen, till skillnad mot tidigare, inte bör innehålla några bestämmelser som uttömmande anger vilka katego- rier av personuppgifter som får behandlas. Detsamma gör sig gäl- lande i fråga om vilka kategorier av personer som uppgifter ska få behandlas. Vi föreslår i stället att de i lagen föreslagna ändamåls- bestämmelserna, tillsammans med de grundläggande kraven i data- skyddsförordningen, ska styra vilka personuppgifter som får be- handlas i verksamhet. Detta innebär att alla personuppgifter som är nödvändiga för de ändamål för vilken behandlingen utförs får behandlas. Såvitt avser myndigheters behov av att behandla känsliga person- uppgifter tillgodoses detta till viss del av regler i sektorspecifika registerförfattningar. Därutöver har behovet täckts in av bestäm- melserna i personuppgiftslagen och personuppgiftsförordningen (1998:1191). Enligt 13 § personuppgiftslagen är det som huvudregel förbjudet att behandla känsliga personuppgifter, dvs. uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller sexualliv. Känsliga personuppgifter får dock behandlas, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna (15 §). Känsliga personupp- gifter får också behandlas om behandlingen är nödvändig för att a) den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter eller utöva sina skyldigheter enligt arbetsrätten, b) den registrerades eller någon annans vitala intressen ska kunna skyddas, om denne inte kan lämna sitt samtycke, eller för att c) rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras (16 §). Behandling kan vidare vara nödvändig för förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- och sjukvård (18 §). Känsliga personuppgifter får också under vissa förhållanden behandlas av ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte inom ramen för sin verksamhet samt för forsknings- och statistikändamål (17 och 19 §§). Regeringen eller den myndighet som regeringen bestämmer, dvs. Datainspektionen, får vidare meddela föreskrifter om ytter- ligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse (20 §). Av 8 § personuppgiftsförordningen framgår slutligen att käns- liga personuppgifter får behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Enligt 6 § första stycket pliktregisterlagen får känsliga personupp- gifter behandlas om det är nödvändigt för de ändamål som anges i 1 § första stycket samma lag. Detsamma gäller även kommuner, landsting och statliga myndigheter om uppgifterna behövs för utredning om den totalförsvarspliktiges personliga förhållanden enligt 2 kap. 1 § lagen om totalförsvarsplikt (andra stycket). Av 1 § första stycket framgår att lagen tillämpas vid behandling av personuppgifter om totalförsvarspliktiga i den verksamhet Rekry- teringsmyndigheten bedriver för att 1.ta fram underlag för beslut om inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret, 2.redovisa personal med uppgifter inom totalförsvaret, 3.säkerställa att den registrerade fortlöpande får ändamålsenlig ut- bildning och lämplig placering inom totalförsvaret, 4.se till att den registrerade fullgör sina skyldigheter såvitt avser totalförsvarsplikten, 5.tillgodose den registrerades rättigheter och trygghet i hans eller hennes egenskap av totalförsvarspliktig, och 6.planera, följa upp och utvärdera den verksamhet som anges i 1–5. I fråga om vilka känsliga personuppgifter som får registreras i det automatiserade registret över totalförsvarspliktiga anges i 9 § andra stycket att andra känsliga personuppgifter än sådana uppgifter som rör hälsa eller religiös övertygelse inte får föras in. Uppgifter om religiös övertygelse får endast registreras om den registrerade har lämnat sitt uttryckliga samtycke till att uppgifterna behandlas i re- gistret och de rör hans eller hennes tjänstgöring inom totalförsvaret. Av förarbetena (prop. 1997/98:80 s. 37 f.) till 6 § pliktregisterlagen framgår att i sin verksamhet har behov av att kunna behandla såväl känsliga personuppgifter som uppgifter om lagöverträdelser och personnummer, för att kunna fullgöra ålagda uppgifter på ett tillfredsställande sätt. För sådana personuppgifter om totalförsvarspliktiga som ska kunna behandla ger enligt regeringens bedömning, bortsett från de begräns- ningar som bör göras vad gäller ADB-registrering av känsliga uppgifter, den föreslagna bestämmelsen i personuppgiftslagen om att inte fler uppgifter får behandlas än vad som är nödvändigt med hän- syn till ändamålen, en lämplig avgränsning. Regeringen anförde att myndigheten har ett behov av att i stor utsträckning kunna behandla uppgifter om den enskildes hälsa och i vissa fall uppgifter om religiös eller filosofisk övertygelse för att få ett underlag vid bedömningen av tjänstbarhet och för beslut om hur den enskilde ska användas inom totalförsvaret. Dessutom kan det förekomma att andra känsliga personuppgifter åberopas av den enskilde själv som skäl för befrielse från tjänstgöring eller för särskild typ av tjänstgöring. såle-des enligt regeringens bedömning kunna behandla känsliga personuppgifter och i viss utsträckning även kunna behandla dem med automatik. En bestämmelse föreslogs därför i pliktregisterlagen som generellt medger rätt att behandla känsliga personuppgifter om det är nödvändigt med hänsyn till de ändamål som anges i lagen. behöver in- hämta underlag för att kunna avgöra om den totalförsvarspliktige har förutsättningar för och är lämplig att fullgöra värnplikt eller civilplikt samt säkerställa att den totalförsvarspliktige och därmed jämställd personal erhåller ändamålsenlig utbildning och lämplig placering inom totalförsvaret. Av det sagda följer att det föreligger ett behov av att behandla känsliga personuppgifter, bl.a. uppgifter om hälsa och religiös övertygelse. Vad gäller andra känsliga personuppgifter såsom ras och etniskt ursprung, politiska åsikter och medlemskap i fack- förening kan det aldrig bli aktuellt för att behandla dessa då de varken är nödvändiga eller relevanta för de ändamål som anges i 1 § första stycket (a. prop. s. 38). Därutöver bedömde regeringen att det fanns ett behov av be- stämmelser som ger myndigheter och andra organ som kan utföra annan utredning än mönstring rätt att behandla känsliga person- uppgifter (a. prop. s. 39 f.). Regeringen framhöll att de mindre omfattande utredningarna tjänar samma syften som Rekryterings- myndighetens egen utredningsverksamhet och är mycket nära för- knippade med denna på sådant sätt att överenskommelser myndig- heterna emellan om samordning ofta är nödvändig. Praktiskt går det inte sällan till så att en myndighet först ber Rekryteringsmyndig- heten om ett underlag som omfattar vissa uppgifter, varefter myn- digheten själv kompletterar uppgifterna genom frågor till den totalförsvarspliktige. Underlaget tillställs därefter Rekryteringsmyn- digheten tillsammans med en begäran om att den totalförsvarsplik- tige ska skrivas in. och den andra myndighetens åtgärder kan därmed sägas vara förenade i samma utredningsärende. Regeringen ansåg att det borde markeras att detta är ett undantag från lagens tillämpningsområde i övrigt, och – vilket är en mycket viktig begränsning – att undantaget från personupp- giftslagens förbud mot behandling av känsliga personuppgifter för de berörda myndigheterna endast gäller i deras verksamhet för att utreda totalförsvarspliktigas förhållanden som sker med stöd av bestämmelserna i lagen om totalförsvarsplikt. således självfallet även för dessa myndigheter som för Rekryterings- myndigheten vid behandling av känsliga personuppgifter att detta endast får ske om det är nödvändigt med hänsyn till de ändamål som anges i lagen. I dataskyddsförordningens artikel 9.1 stadgas ett förbud mot att behandla särskilda kategorier av personuppgifter. Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening och behandling av genetiska uppgifter, biometriska upp- gifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning är förbjuden. I förordningens skäl 10 och 51 används i stället benämningen känsliga respektive särskilt känsliga uppgifter. har i sitt förslag till dataskyddslag använt sig av begreppet känsliga personuppgifter med motiveringen att begreppet är tydligare än särskilda kategorier av uppgifter och nu- mera anses inarbetat även på EU-nivå (SOU 2017:39, s. 162). Dataskyddsförordningens förbud mot att behandla känsliga personuppgifter är direkt tillämpligt i medlemsstaterna. Förbudet kompletteras dock av flera undantag som möjliggör behandling av känsliga personuppgifter i vissa fall, varav vissa innehåller hänvis- ningar till nationell rätt. Av artikel följer exempelvis att för- budet inte ska tillämpas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundlägg- ande rättigheter och intressen. Kravet på stöd i nationell rätt har av tolkats så att vissa av undantagen i sig bör föreskrivas i nationell rätt, antingen i generell eller i sektorspecifik reglering (a.a. s. 162 f.). har därför i data- skyddslagen föreslagit vissa kompletterande bestämmelser om undan- tag från förbudet att behandla känsliga personuppgifter i artikel 9.1. Enligt 3 kap. 1 § dataskyddslagen får, utöver vad som framgår av artikel 9.2 a, c, d, e eller f i dataskyddsförordningen, sådana sär- skilda kategorier av personuppgifter som anges i artikel 9.1 i data- skyddsförordningen (känsliga personuppgifter) behandlas om förut- sättningarna i någon av 2–8 §§ är uppfyllda. Bestämmelserna i 3 kap. 2 och 5–7 §§ omfattar behandling av känsliga personupp- gifter inom arbetsrätten, hälso- och sjukvården och den sociala om- sorgen samt för arkiv- och statistikändamål. Mot bakgrund av att myndigheter ofta har berättigade skäl att behandla känsliga personuppgifter, och att sådan behandling i många fall sker i den registrerades eget intresse, har Dataskyddsutred- ningen bedömt att det även fortsättningsvis finns ett behov av generellt tillämpliga undantag som ska gälla i de fall där sektorspe- cifik reglering saknas (a.a. s. 172 f.). En särskild myndighetsregler- ing har därför föreslagits i 3 kap. 3 § dataskyddslagen med följande lydelse. Känsliga personuppgifter får med stöd av artikel i dataskyddsför- ordningen behandlas av en myndighet 1.i löpande text om uppgifterna har lämnats i ett ärende eller är nöd- vändiga för handläggningen av ett ärende, 2.om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, eller 3.i enstaka fall, om det är absolut nödvändigt för ändamålet med be- handlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Undantagen är generellt tillämpliga i den meningen att de gäller för verksamheter som inte har någon sektorsspecifik reglering av sin behandling av känsliga personuppgifter. Av författningskommen- taren framgår att bestämmelsen har sin grund i artikel i data- skyddsförordningen om behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse. Punkten 1 i bestämmelsen möjliggör behandling av känsliga per- sonuppgifter i myndigheternas ärenden, förutsatt att uppgifterna förekommer i löpande text och inte har strukturerats i registerform eller på annat sätt sorterats. Bestämmelsen utesluter dock inte att handlingar som innehåller löpande text med ostrukturerade käns- liga personuppgifter lagras elektroniskt i ärendehanteringssystem eller liknande. Uppgifterna måste ha lämnats in av någon utom- stående eller vara nödvändiga för handläggningen av ärendet. Punkten 2 möjliggör sådan behandling av känsliga personupp- gifter som är oundviklig i myndigheternas verksamhet som en direkt följd av framför allt tryckfrihetsförordningens, offentlighets- och sekretesslagens och förvaltningslagens bestämmelser om hur inkomna handlingar ska hanteras, exempelvis genom krav på diarie- föring och skyldighet att ta emot e-post. Behandling av känsliga personuppgifter med stöd av denna punkt får bara ske om upp- gifterna har lämnats in till myndigheten, dvs. uppgifter i handlingar som definieras som inkomna enligt 2 kap. 6 § tryckfrihetsförord- ningen och själva behandlingen av uppgifterna är ett direkt krav en- ligt annan lag. Det bör noteras att enligt 1 kap. 5 § dataskyddslagen ska bestämmelsen i denna punkt gälla även för andra organ än myndigheter, i den mån offentlighetsprincipen och sekretesslag- stiftningen enligt författning gäller i organets verksamhet. Punkten 3 möjliggör behandling av känsliga personuppgifter hos myndigheter i enstaka fall även då behandlingen inte sker i löpande text med koppling till visst ärende eller krävs enligt annan lag. Så kan exempelvis vara fallet i faktisk verksamhet såsom inom en myndighet i samband med utvärdering. Kravet i punkten 3 på att behandlingen ska vara absolut nödvändig för ändamålet med behand- lingen innebär att regleringen ska tillämpas mycket restriktivt och att behovet av att behandla den känsliga personuppgiften i det enskilda fallet noga ska prövas mot ändamålet med behandlingen. Vidare ställer bestämmelsen i punkten 3 krav på att ytterligare en avvägning ska göras för att behandling av känsliga personuppgifter ska få ske i det enskilda fallet. Det krävs en prövning av om en i och för sig absolut nödvändig behandling av känsliga personupp- gifter ändå innebär ett otillbörligt intrång i den registrerades integ- ritet.