sou · H5B397 · 2017-12-08 00:00:00 — De delar av artikel 10 som rör behandling av uppgifter om fällande domar i brottmål, över- trädelser och därmed sammanhängande säkerhetsåtgärder under kontroll av en myndighet är direkt tillämpliga. Dataskyddsutred- ningen anser emellertid att det är av stor vikt att regleringen i artikel 10 tydliggörs så långt som möjligt i nationell rätt även vad avser myndigheters behandling. Behandling av sådana uppgifter torde allmänt anses som integritetskänslig, och risken för miss- bruk, exempelvis genom otillbörlig spridning på internet, framstår som stor. Förordningens skäl 8 ger uttryck för att medlemsstaterna får införliva delar av förordningen i nationell rätt, om det krävs för att göra de nationella bestämmelserna begripliga för de personer de tillämpas på. menar att ett sådant införliv- ande skulle fylla en viktig funktion när det gäller myndigheters behandling av uppgifter om lagöverträdelser, bl.a. för att tydliggöra att myndigheter inte behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att få behandla uppgifter om lagöverträdelser. Bestämmelsen införlivar därför delvis första ledet i förordningens artikel 10 i svensk rätt genom att det tydliggörs att myndigheter får behandla sådana uppgifter om lagöverträdelser som avses i artikeln (a.a. s. 192 f.). Begreppet lagöverträdelser som innefattar brott är detsamma som i personuppgiftslagen (a.a. s. 371). I avvaktan på klargörande EU-rättslig praxis omfattas därför även fortsättnings- vis uppgifter om misstankar om brott i viss utsträckning. Faktiska iakttagelser om en persons handlande omfattas normalt sett inte. Enligt förslaget till 3 kap. 10 § får den myndighet som reger- ingen bestämmer i enskilda fall besluta att andra än myndigheter får behandla sådana uppgifter som avses i 9 §. Bestämmelsen avser enskilda organs behandling av personuppgifter som rör lagöver- trädelser och motsvarar delvis 21 § fjärde stycket personuppgifts- lagen (a.a. s. 371). Bestämmelsen innebär att den myndighet som regeringen bestämmer kan meddela särskilda beslut om att tillåta sådan behandling i enskilda fall. Sådana beslut bör förenas med villkor såsom återkallelseförbehåll, tidsbegränsningar eller krav på återrapportering, för att på så sätt uppfylla förordningens krav på att behandlingen ska ske under kontroll av en myndighet. Beslut som tillåter behandling av uppgifter om lagöverträdelser i enskilda fall bör dock meddelas endast om intresset av sådan behandling väger tyngre än de registrerades intresse av att behandling inte sker. Av 3 kap. 11 § följer enligt förslaget att behandling av sådana personuppgifter som avses i 9 § får ske om behandlingen är nöd- vändig för att den personuppgiftsansvarige ska kunna följa före- skrifter om bevarande och vård av arkiv. Bestämmelsen saknar direkt motsvarighet i personuppgiftslagen men kompletterar 9 § i fråga om sådan behandling av personuppgifter om lagöverträdelser för arkivändamål av allmänt intresse som utförs av andra än myn- digheter (a.a. s. 372). För att andra än myndigheter ska få behandla personuppgifter om lagöverträdelser för arkivändamål av allmänt intresse med stöd av denna bestämmelse krävs att behandlingen sker som en följd av de skyldigheter att bevara och vårda hand- lingar som anges i föreskrifter. På generell nivå anges sådana skyl- digheter i arkivlagen, arkivförordningen samt i och andra arkivmyndigheters föreskrifter. Det utrymme för behandling av personuppgifter om lagöverträdelser för arkivändamål av allmänt intresse som bestämmelsen ger är därmed i första hand tillgängligt för de organ som omfattas av arkivlagstiftningen. Bestämmelsen medför att dataskyddsförordningen och dataskyddslagen inte hindrar att ett enskilt organ som omfattas av offentlighetsprincipen arki- verar och bevarar allmänna handlingar som innehåller personupp- gifter som rör lagöverträdelser. Slutligen föreslås i 3 kap. 12 § att regeringen eller den myndig- het som regeringen bestämmer ska få meddela föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i 9 §. Bestämmelsen innehåller ett bemyndigande som motsvarar 21 § tredje stycket personuppgiftslagen och innebär att regeringen eller den myndighet som regeringen bestämmer kan tillåta behandling av sådana uppgifter om lagöverträdelser och lik- nande uppgifter som avses i 9 § i föreskriftsform. Sådana generella föreskrifter kan exempelvis reglera behandling på vissa områden eller för vissa ändamål. Ett krav enligt dataskyddsförordningen är dock att föreskrifter bara får meddelas om lämpliga skyddsåtgärder för de registrerades grundläggande rättigheter och friheter iakttas. Utredningens bedömning: Bestämmelserna om personuppgifter som rör lagöverträdelser i den föreslagna dataskyddslagen bör tillämpas vid behandling av personuppgifter enligt denna lag. Någon bestämmelse om behandling av personuppgifter som rör lagöverträdelser behöver därför inte föras in i lagen. Enligt nuvarande ordning tillämpas 21 § personuppgiftslagen såvitt avser behandling av personuppgifter som rör totalförsvarspliktigas lagöverträdelser (jfr 4 § pliktregister- lagen). Bestämmelsen i personuppgiftslagen kommer att ersättas av motsvarande bestämmelser i 3 kap. 9–12 §§ i den föreslagna data- skyddslagen. Utredningen anser att bör omfattas av samma bestämmelser som andra myndigheter i detta avseende. En sådan ordning har även gällt . Bestämmel- serna om personuppgifter som rör lagöverträdelser i den föreslagna dataskyddslagen bör därför gälla även i fråga om Rekryterings- myndighetens behandling av sådana uppgifter. Någon bestämmelse om behandling av personuppgifter som rör lagöverträdelser behö- ver därför inte föras in i den nya lagen. Vi vill dock erinra om att behandling av personuppgifter som rör lagöverträdelser, liksom all behandling av personuppgifter, även måste uppfylla de grundläggande kraven för behandling i artikel 5 i dataskyddsförordningen. Det är vanligt att i registerförfattningar som reglerar myn- digheters personuppgiftsbehandling inför bestämmelser som byg- ger på att principen att tillgången till personuppgifter ska begränsas till vad varje anställd behöver för att kunna fullgöra sina arbets- uppgifter. I registerförfattningar från senare tid som polisdatalagen, kustbevakningsdatalagen och utlänningsdatalagen finns sådana sär- skilda bestämmelser som reglerar tillgången till personuppgifter. Det har från integritetssynpunkt ansetts angeläget att åtkomsten till personuppgifter inte är vidare än nödvändigt eftersom stora informationssamlingar som lagras på ett sätt som gör dem enkelt sökbara på elektronisk väg allmänt sett utgör en betydande risk för intrång i den personliga integriteten (se bl.a. prop. 2011/12:45, s. 87 f.). Genom bestämmelser med en sådan innebörd åläggs den personuppgiftsansvarige att organisera sin verksamhet på ett sådant sätt att obefogad spridning av personuppgifter motverkas. En sådan bestämmelse får också till följd att enskilda tjänstemän blir för- hindrade att lämna uppgifterna vidare till den som inte behöver dem för sitt arbete. 9.6.1Våra överväganden och förslag Utredningens förslag: Tillgången till personuppgifter ska be- gränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om hur tillgången till personuppgifter ska begränsas. Inom sker en omfattande behandling av personuppgifter med ett ofta mycket integritetskänsligt innehåll. Många av de uppgifter som behandlas är känsliga personuppgifter. Det är därför särskilt angeläget att uppgifterna som behandlas inom begränsas till en snäv personkrets för att undvika att uppgifterna sprids till någon som inte är behörig att ta del av dem. Endast de anställda som på grund av sina arbetsupp- gifter behöver åtkomst till uppgifterna bör därför ha tillgång till dem. En bestämmelse där en sådan princip uttrycks bör därför tas in i den nya lagen. Det åligger därmed i egenskap av personuppgiftsansvarig att begränsa tillgången till upp- gifter för myndighetens anställda så att obefogad spridning mot- verkas. Det är dock inte bara de anställda hos som behöver tillgång till vissa av de uppgifter som behandlas i myn- dighetens verksamhet. Mellan Försvarsmakten och Rekryterings- myndigheten finns exempelvis behov av ett omfattande informa- tionsutbyte. Försvarsmakten har i sin verksamhet behov av att bl.a. behandla uppgifter om totalförsvarspliktiga och föreslås genom direkt- åtkomst få tillgång till vissa personuppgifter i Rekryteringsmyndig- hetens verksamhet (se avsnitt 9.7.2). Även vid Försvarsmaktens behandling av personuppgifter är det av vikt att åtkomsten till upp- gifterna begränsas till vad de anställda vid myndigheten behöver för att kunna utföra sina arbetsuppgifter. Den föreslagna bestämmelsen om tillgång till personuppgifter innebär endast en generell begränsning av åtkomsten till uppgifterna. Det är uppgift att i egenskap av person- uppgiftsansvarig, utifrån myndighetens organisation och behov, säkerställa att tillgången till personuppgifter begränsas i enlighet med bestämmelsen. Det innebär bl.a. att det vid tilldelning av behörighet för åtkomst till personuppgifter särskilt bör beaktas att det, utöver behovet av uppgifterna, ställs krav på utbildning och lämplighet. Det är vidare ansvar att det inom myndigheten finns rutiner för tilldelning, förändring, bort- tagning och regelbunden uppföljning av behörigheter för åtkomst till personuppgifterna. Bestämmelsen om tillgång till personuppgifter bör även komplet- teras med en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § reger- ingsformen kan meddela ytterligare föreskrifter om hur tillgången till personuppgifter ska begränsas. Utlämnande av uppgifter mellan myndigheter sker ofta genom direktåtkomst. Det finns dock inte någon legaldefinition av begreppet direktåtkomst. Med direktåtkomst avses i regel att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen (se bl.a. prop. 2009/10:85, s. 168). I begreppet direktåtkomst ligger också att den som är ansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av (se bl.a. prop. 2011/12:45, s. 133). Vid direktåtkomst fattas beslutet om över- föring i varje enskilt fall av mottagaren. Sekretessprövningen måste därför ske redan då uppgifterna görs tillgängliga för direktåtkomst, oavsett om någon mottagare tar del av dem. En sådan prövning innefattar alla de uppgifter som mottagaren har möj- lighet att ta del av genom sin direktåtkomst. Det innebär att det måste finnas en sekretessbrytande bestämmelse som omfattar alla de uppgifter som direktåtkomsten avser. Den direktåtkomst som en myndighet medger är vanligtvis begränsad så att mottagaren endast har tillgång till vissa bestämda uppgifter, såsom uppgifter i en viss databas eller i vissa dokument (a. prop. s. 132 f. och prop. 2015/16:65, s. 89). () har i rättsfallet HFD 2015 ref. 61 uttalat sig om hur begreppet direktåtkomst bör tolkas. I rätts- fallet konstaterar HFD att gränsdragningen mellan vad som enligt bestämmelsen i 114 kap. 22 § socialförsäkringsbalken (2010:110) är direktåtkomst och annat utlämnande på medium för automatiserad behandling beror på om den aktuella upptagningen kan anses för- varad hos den mottagande myndigheten enligt 2 kap. 3 § tryck- frihetsförordningen, dvs. om den är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för över- föring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. En avgränsning görs på detta sätt av begreppet direkt- åtkomst genom tillämpning av tryckfrihetsförordningens bestäm- melser om allmänna handlingars offentlighet. Det avgörande blir om upptagningen kan anses förvarad i tryckfrihetsförordningens mening. I det aktuella fallet handlade det om att socialnämnderna inte på egen hand kunde söka information i socialförsäkringsdatabasen utan ett utlämnande förutsatte att reagerade på en begäran om att de efterfrågade uppgifterna skulle lämnas ut. För- säkringskassan fick därigenom anses förfoga över frågan om och i så fall vilka uppgifter som skulle lämnas ut. HFD ansåg därför att socialnämnderna inte kunde anses ha någon sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket tryckfri- hetsförordningen. Detta innebar att förfarandet inte var att betrakta som direktåtkomst. Genom avgörandet har HFD således klargjort att begreppet direktåtkomst ska tolkas med utgångspunkt från 2 kap. 3 § andra stycket tryckfrihetsförordningen. Vid författningsreglering av direktåtkomst anges ofta att en myndighet får ha direktåtkomst. Innebörden av detta är inte att den eller de angivna myndigheterna har en ovillkorlig rätt att få ut uppgifterna genom direktåtkomst utan att den myndighet som inne- har informationen har en rätt att medge sådan åtkomst. Att myn- digheter medges direktåtkomst till uppgifter i andra myndigheters datasystem och att de upptagningar som direktåtkomsten avser blir allmänna handlingar hos de mottagande myndigheterna, innebär dock en ökad risk för intrång i den personliga integriteten (prop. 2011/12:45 s. 133 f.). Allmänna handlingar är som huvud- regel offentliga och rätten att ta del av dem får begränsas endast av de skäl som anges i 2 kap. tryckfrihetsförordningen och endast om det anges i lag. Ju fler myndigheter som har direktåtkomst till uppgifter i ett datasystem, desto större blir således inte bara myn- digheters möjlighet att få tillgång till dessa uppgifter utan också allmänhetens möjlighet. Förutom att uppgifterna blir tillgängliga för fler personer, minskar även den utlämnande myndighetens möjlighet att kontrollera användningen av uppgifterna (se t.ex. prop. 2015/16:65 s. 89 f.). Den utlämnande myndigheten har därför ett principiellt ansvar att förvissa sig om att den myndighet som medges direktåtkomst vid- tar de åtgärder som bedöms vara nödvändiga från säkerhetssyn- punkt. Medgivandet av direktåtkomst förutsätter också att utläm- nande får ske enligt den gällande sekretessregleringen för berörda Det finns också en särskild bestämmelse i 11 kap. 4 § offentlighets- och sekretesslagen (2009:400) som reglerar överföring av sekretess vid direktåtkomst. Om en myndighet har elektronisk tillgång till en annan myndighets upptagning för automatiserad behandling och en uppgift i denna upptagning är sekretessreglerad hos den andra myndigheten, blir sekretessbestämmelsen tillämplig även hos den mottagande myndigheten. Detta gäller dock inte om uppgiften ingår i ett beslut hos den mottagande myndigheten. Det finns också en bestämmelse om vad som gäller vid konkurrens mellan den överförda sekretessen och sekretess som är direkt tillämplig hos den mottagande myndigheten (11 kap. 8 §). En annan viktig aspekt är hur uppgifterna sprids och används inom den mottagande myndigheten. Bestämmelser om informa- tionssäkerhet, exempelvis system för behörighet, loggning och till- syn, måste också tas i beaktande innan direktåtkomst medges (se bl.a. prop. 2009/10:85 s. 176 f.). Enligt 12 § pliktregisterlagen har direkt- åtkomst till det automatiserade registret över totalförsvarspliktiga. Regeringen får meddela föreskrifter om att annan får ha direkt- åtkomst till registret. I förarbetena (prop. 1997/98:80 s. 64) till bestämmelsen anges att direktåtkomsten till det automatiserade registret över totalför- svarspliktiga bör, av hänsyn till kravet på skydd för den registre- rades personliga integritet, hållas begränsad. Direktåtkomst till registret innebär ökade risker för att obehöriga ska komma åt uppgifterna. Av effektivitetsskäl bör dock direktåtkomst tillåtas i de fall ett verkligt behov därav föreligger, under förutsättning att erforderligt skydd för uppgifterna kan garanteras. Av stor bety- delse vid bedömningen är naturligtvis vilka personuppgifter som användaren ska kunna få tillgång till. Av förarbetena framgår vidare att det, utöver Rekryterings- myndighetens direktåtkomst till registret över totalförsvarspliktiga, bör övervägas från fall till fall vilka myndigheter m.fl. samt vilka uppgifter var och en av dessa ska få ta del av via egen bildskärm. Bestämmelserna om direktåtkomst måste i praktiken vara relativt detaljerade och det är inte uteslutet att de behöver ändras med relativt täta mellanrum. Direktåtkomsten bör därför enligt reger- ingens bedömning regleras i förordningsform (a. prop. s. 65). I förordningen (1998:1229) om behandling av personuppgifter om totalförsvarspliktiga anges vilka myndigheter m.fl. som får medges direktåtkomst till registret över totalförsvarspliktiga. Av 3 § framgår att de myndigheter, kommuner, landsting och bolag som anges i bilaga 1 till förordningen får ha direktåtkomst till automati- serat register över totalförsvarspliktiga i enlighet med vad som anges i bilagan. Behandling av personuppgifter om totalförsvarspliktiga enligt första stycket får endast utföras om den är nödvändig för den egna verksamheten. ska ställa de villkor för direktåtkomsten och registreringen av uppgifter som myndig- heten bedömer vara nödvändiga för registrets säkerhet. Av bilaga 1 till förordningen framgår att , Arbetsförmedlingen, Försvarsmakten, kommuner, landsting, Myndigheten för samhällsskydd och beredskap, , , , , , , och får ha direkt- åtkomst till det automatiserade registret över totalförsvarspliktiga. Skälen till att de i förordningen uppräknade myndigheterna har behov av och får medges direktåtkomst till registret över totalför- svarspliktiga framgår inte uttryckligen av några förarbeten. I Plikt- registerutredningens betänkande Behandling av personuppgifter om totalförsvarspliktiga (SOU 1997:101) anges att det utöver Rekryterings- myndigheten i första hand är de utbildnings- och bemannings- ansvariga myndigheterna inom det militära och civila försvaret som kan ha ett befogat intresse av uppgifterna i informationssystemet Plis mot bakgrund av ändamålet med registret. Härutöver kan andra myndigheter ha behov av vissa uppgifter, till exempel lämnas uppgifter om in- och utryckningstider till (a.a. s. 97). Bemanningsansvariga myndigheter och organ bör således ha åtkomst till uppgifter om den egna personalen. Detsamma gäller de myndigheter och andra organ som genomför utbildning av totalförsvarspliktiga såvitt avser dem som antagits till utbildningen. De personuppgifter som de bemanningsansvariga organen behöver om sin egen personal ansågs dock vara relativt få och som regel inte av känslig karaktär för den registrerade. Inom de bemannings- och utbildningsansvariga enheterna bedömdes skyddet för personupp- gifterna kunna hållas på en hög nivå (a.a. s. 173). I bilaga 1 till förordningen anges vidare vilka personkategorier och personuppgifter enligt 8 och 9 §§ pliktregisterlagen som om- fattas av direktåtkomsten för de angivna aktörerna. Direktåtkomsten får, beroende på vilken aktör som avses, omfatta uppgifter om den som (i) är eller har varit aktuell för mönstring eller annan utred- ning, (ii) genom avtal, beslut om krigsplacering eller på annat sätt är tagen i anspråk för totalförsvaret, eller (iii) ska utföra särskild uppgift vid höjd beredskap eller på grund av viss kompetens är viktig för totalförsvaret (8 § första stycket p. 1–3). I samma bilaga anges uttömmande vilka personuppgifter som får omfattas av aktörernas direktåtkomst till registret över totalförsvarspliktiga. De uppgifter i registret som undantas från direktåtkomst är uppgift om –boende- och familjeförhållanden samt försörjning, om uppgiften behövs för att ska kunna fullgöra sina åligganden i fråga om förmåner till totalförsvarspliktiga, –utgången i mål om ansvar för brott mot totalförsvarsplikten, –att den registrerade har dömts till påföljd för brott som framgår av uppgift ur belastningsregistret som fått del av, –vad som bestämts vid inskrivningen enligt lagen om totalför- svarsplikt eller lagen (1994:1810) om möjlighet för kvinnor att fullgöra värnplikt eller civilplikt med längre grundutbildning15, samt –personliga förhållanden i övrigt som åberopas av den registrerade, om de rör hans eller hennes tjänstgöring inom totalförsvaret (9 § första stycket p. 3, 7, 8, 10 och 13). 15 Lagen om möjlighet för kvinnor att fullgöra värnplikt eller civilplikt med längre grund- utbildning är upphävd. Våra överväganden och förslag Utredningens förslag: Myndigheter och enskilda ska medges direktåtkomst till personuppgifter endast i den utsträckning som framgår av lagen. Direktåtkomst till personuppgifter får medges Försvars- makten i den utsträckning som följer av föreskrifter som med- delats av regeringen och den registrerade själv. Direktåtkomst till den registrerade själv får endast avse personuppgifter i den registrerades ärende. Regeringen får meddela föreskrifter om att medge annan aktör direktåtkomst. Sådan direktåtkomst ska begränsas till de person- uppgifter som aktören behöver för att fullgöra sina uppgifter enligt lag eller förordning och får endast avse vissa uppgifter. En ny reglering av direktåtkomst Utgångspunkten för den nya regleringen bör enligt vår bedömning vara att begreppet direktåtkomst ges den innebörd som HFD slagit fast i rättsfallet HFD 2015 ref. 61. Det innebär att direktåtkomst föreligger om en myndighet hos en annan myndighet har en sådan teknisk tillgång till den aktuella upptagningen som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen, dvs. om upptagningen kan anses förvarad hos den mottagande myndigheten enligt tryckfri- hetsförordningen. Enligt förordningen om behandling av personuppgifter om total- försvarspliktiga får ett flertal myndigheter m.fl. medges direktåt- komst till vissa särskilt angivna personuppgifter i Rekryterings- myndighetens register över totalförsvarspliktiga. Såsom anförts ovan, är det vår bedömning att användningen av begreppet register är ett relevant sätt att beskriva personuppgiftsbehand- lingen av totalförsvarspliktiga i verk- samhet. Fortsättningsvis kommer därför vad som föreslås i fråga om regleringen av direktåtkomst att avse personuppgifter om total- försvarspliktiga och annan personal inom totalförsvaret som gene- rellt behandlas i verksamhet. Mot bakgrund av att det i informa- tionssystem finns stora mängder personuppgifter registrerade, varav många av särskilt känslig karaktär, bör det av den nya lagen framgå i vilken utsträckning direktåtkomst får medges. Om en aktör ska kunna medges en mer omfattande direktåtkomst bör det uttryckligen framgå av lagen vem denne aktör är (se även av- snitt 6.3.3). Vi föreslår därför att utlämnande genom direktåtkomst av personuppgifter som behandlas i verk- samhet ska vara tillåtet endast i den utsträckning som följer av lagen. De närmare detaljerna om exempelvis vilka slags personuppgifter som direktåtkomsten får avse bör emellertid lämpligen, liksom , regleras i förordning. Det saknas behov av att, såsom är fallet i gällande lag, reglera att har direktåtkomst till de personuppgifter som myndigheten behandlar. Någon sådan bestämmelse föreslås därför inte. Som framgår ovan får ett flertal myndigheter m.fl. enligt nuvar- ande reglering medges direktåtkomst till vissa, särskilt angivna upp- gifter hos . I förarbetena redogörs dock inte närmare för skälen till att dessa aktörer har behov av direkt- åtkomst till uppgifter. Nedan följer en redogörelse för samt vår bedömning av vilka aktörer som i den nya lagen har behov av och bör medges direktåtkomst till Rekryterings- myndighetens personuppgifter. Försvarsmaktens behov av direktåtkomst Vår kartläggning av behandling av per- sonuppgifter visar att Försvarsmakten är den enda av de i förord- ningen uppräknade aktörerna som i praktiken har medgetts direkt- åtkomst till vissa uppgifter om totalförsvarspliktiga hos Rekryterings- myndigheten.