sou · H5B397 · 2017-12-08 00:00:00 — Det åligger myndigheten att också säkerställa att den registrerade fortlöpande får ändamålsenlig utbildning och lämplig placering inom totalför- svaret. För detta ändamål måste löpande behandla och uppdatera personuppgifter. Detta är av särskild vikt för att placera rätt person på rätt plats inom totalförsvaret och för att undvika ”dubbelplacering” av totalförsvarspliktiga. Kallelse till mönstring och grundutbildning med värnplikt behöver behandla personuppgifter för att kalla totalförsvarspliktiga till mönstring och grundutbildning med värnplikt. Inom ramen för detta ändamål behöver myndig- heten även pröva andra frågor, exempelvis föreläggande av vite vid utebliven inställelse m.m. Avsikten är att tillförsäkra att totalför- svarspliktiga fullgör sina skyldigheter och åtaganden såvitt avser totalförsvarsplikten enligt gällande reglering. Rättslig grund och tillåtna ändamål Behandling av personuppgifter är ibland nödvändig för att Rekry- teringsmyndigheten ska kunna tillgodose totalförsvarspliktigas rättigheter. Det kan av olika skäl bli aktuellt att befria en totalför- svarspliktig från skyldigheten att tjänstgöra. Rätten till vapenfri tjänstgöring eller uppskov med tjänstgöringen kan finnas i vissa fall. Det kan också finnas rätt till olika typer av ersättningar, exempelvis vårdbidrag eller rätt till ekonomiskt bistånd. Det åligger också att försäkra sig om att en totalförsvarspliktig inte utsätts för onödiga påfrestningar i samband med utredning om dennes personliga förhållanden eller under tjänstgöringen. Även för dessa ändamål finns behov av att behandlar personuppgifter om den total- försvarspliktige. Planering, uppföljning och utvärdering Slutligen behöver även behandla person- uppgifter för planering, uppföljning och utvärdering av den ovan nämnda verksamheten. Våra överväganden och förslag Utredningens förslag: Personuppgifter får behandlas om det behövs för att 1.ta fram underlag för beslut om mönstring, inskrivning, krigs- placering eller annat ianspråktagande av personal till total- försvaret, 2.redovisa personal med uppgifter inom totalförsvaret, 3.säkerställa att den registrerade fortlöpande får ändamålsenlig utbildning och lämplig placering inom totalförsvaret, 4.se till att den registrerade fullgör sina skyldigheter i fråga om totalförsvarsplikten, 5.tillgodose den registrerades rättigheter och trygghet i egen- skap av totalförsvarspliktig, Rättslig grund och tillåtna ändamål 6.fullgöra serviceskyldighet gentemot bemanningsansvariga organ inom totalförsvaret, och 7.planera, följa upp och utvärdera den verksamhet som anges i 1–6. Vi vill inledningsvis erinra om att artikel 6.3 i dataskyddsför- ordningen medger ändamålsbegränsningar i förhållande till den rättsliga grunden för behandling av personuppgifter. Som konsta- terats ovan finns den rättsliga grunden för Rekryteringsmyndig- hetens behandling av personuppgifter fastställd i myndighetsinstruk- tionen. Behandlingen får därigenom anses laglig enligt bestämmel- serna i dataskyddsförordningen. Trots att det finns en rättslig grund för Rekryteringsmyndig- hetens behandling av personuppgifter inom ramen för lagens tillämp- ningsområde är det av vikt att klargöra för vilka ändamål i vid mening som myndigheten får behandla uppgifter i sin verksamhet. Den behandling av personuppgifter som sker på grund av myndig- hetens uppdrag är både synnerligen omfattande och avser i hög grad känsliga personuppgifter. Till detta kommer att personupp- gifterna i stor utsträckning har samlats in från de totalförsvars- pliktiga själva utifrån den skyldighet som följer av lagen (1994:1809) om totalförsvarsplikt. I enlighet med vad som är vanligt förekommande i register- författningar som rör särskilt integritetskänslig verksamhet, exem- pelvis polisdatalagen (2010:361) och kustbevakningsdatalagen (2012:145), är vårt förslag att lagen ska innehålla en uttömmande uppräkning av de primära ändamålen. De primära ändamålen bör omfatta samtliga uppgifter som utför inom ramen för sin verksamhet enligt myndighetsinstruktionen och som förutsätter behandling av personuppgifter. Som tidigare anförts innebär omfattningen av de personuppgifter som myndigheten måste hantera att behandling i princip är utesluten. Vi bedömer att samtliga de ändamål som anges i 1 § första stycket pliktregisterlagen alltjämt är berättigade och att en behand- ling med dessa ändamål som grund är nödvändig för att Rekry- teringsmyndigheten ska kunna bedriva en ändamålsenlig och effektiv verksamhet. Därutöver åtar sig uppgifter inom ramen för sin serviceskyldighet som också följer av myn- dighetens instruktion. Myndigheten ger bl.a. stöd och service till Rättslig grund och tillåtna ändamål bemanningsansvariga organ inom totalförsvaret i en inte obetydlig omfattning. För att Försvarsmakten ska kunna genomföra annan utredning enligt det förslag som har lämnat i sitt betänkande En robust personalförsörjning av det mili- tära försvaret (SOU 2016:63, s. 83 f.), behöver Försvarsmakten information om de totalförsvarspliktiga i en helt annan omfattning . Detta behov kan till viss del tillgodoses genom att För- svarsmakten beviljas direktåtkomst till personuppgifter i Rekryter- ingsmyndighetens informationssystem (se utredningens förslag i avsnitt 9.7.2). Därutöver kan Försvarsmakten behöva ytterligare information eller annat stöd och service i detta avseende. Även andra bemanningsansvariga inom totalförsvaret kan ha behov av Rekry- teringsmyndighetens stöd och service i olika sammanhang. För att tillgodose dessa behov föreslår vi att det, utöver de ovan nämnda ändamålen, även ska vara möjligt för att behandla personuppgifter för att fullgöra myndighetens serviceskyl- dighet gentemot de bemanningsansvariga organen inom totalför- svaret. De föreslagna ändamålen kan inordnas under den rättsliga grund som tillåter att en behandling av personuppgifter sker, dvs. Rekry- teringsmyndighetens uppdrag såsom det är formulerat i myndig- hetsinstruktionen. Myndighetens behandling av personuppgifter för de uppräknade ändamålen är således förenlig med den grund- läggande dataskyddslagstiftningen. Vi vill avslutningsvis erinra om de principer för behandling av personuppgifter som anges i artikel 5 i dataskyddsförordningen som bl.a. innebär att varje enskild behandling måste omfattas av särskilda, uttryckligt angivna och berättigade ändamål. För att en enskild behandling ska vara tillåten är det således inte tillräckligt att den har sin grund i uppdrag såsom det är formu- lerat i myndighetsinstruktionen och att den kan inordnas under något av de primära ändamålen som anges i lagen. Dessa ändamål har ju getts en vid formulering och syftar snarare till att precisera den rättsliga grunden för behandlingen. Behandlingen måste alltså också uppfylla de kvalitativa krav som följer av artikel 5. Det kan konstateras att den föreslagna ändamålsbestämmelsen innehåller ett behovskrav i stället för ett nödvändighetskrav. Detta för att terminologin ska överensstämma med vad som gäller enligt andra registerförfattningar, se exempelvis 2 kap. 7 § polisdatalagen, Rättslig grund och tillåtna ändamål 3 kap. 2 § kustbevakningsdatalagen och 11 § utlänningsdatalagen (2016:27). Syftet med de olika sätten att uttrycka begränsningen är emellertid i allt väsentligt detsamma. Avsikten är att betona att behandling av uppgifter inte får ske slentrianmässigt och att en bedömning av behovet eller nödvändigheten måste göras innan en behandling påbörjas (jfr prop. 2015/16:65, s. 60). 8.2.4För vilka sekundära ändamål ska personuppgifter få behandlas? Utlämnande av uppgifter som behandlas helt eller delvis automa- tiskt eller ingår i ett manuellt register sker i regel med stöd av för- fattningar som föreskriver alternativt tillåter utlämnande. Myndig- heter är i vissa fall enligt lag eller förordning skyldiga att på begäran lämna ut uppgifter till andra. En myndighet är exempelvis enligt tryckfrihetsförordningen skyldig att lämna ut personuppgifter som ingår i allmänna handlingar, om inte sekretess gäller för uppgifterna. Sekretessbrytande uppgiftsskyldighet kan även följa av bestämmelser i lag eller förordning (jfr 10 kap. 28 § offentlighets- och sekretesslagen [2009:400]). Enligt 6 kap. 5 § offentlighets- och sekretesslagen ska vidare en myndighet på begäran av en annan myndighet lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Vidare kan det i författningar finnas bestämmelser som innebär att uppgifter får lämnas ut. Enligt 10 kap. 27 § offentlighets- och sekretesslagen får en sekretessbelagd uppgift lämnas till en myn- dighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. I många registerförfattningar förekommer också föreskrifter som innebär att myndigheten i fråga får lämna personuppgifter till andra myndigheter eller enskilda. Rättslig grund och tillåtna ändamål Våra överväganden och förslag Utredningens förslag: Personuppgifter som behandlas för de primära ändamålen får också behandlas för att fullgöra upp- giftslämnande som sker i överensstämmelse med lag eller för- ordning. Det kan konstateras att personuppgifter som behandlas i Rekryterings- myndighetens verksamhet i olika sammanhang lämnas ut till andra myndigheter, företrädesvis Försvarsmakten, men även till enskilda. Sker uppgiftslämnandet för syften som gäller Rekryteringsmyndig- hetens verksamhet omfattas personuppgiftsbehandlingen genom utlämnandet av de primära ändamål som angetts i avsnitt 8.2.3. Om utlämnandet av uppgifterna i stället sker för mottagarens räkning, krävs att den efterföljande personuppgiftsbehandlingen också är laglig (se föregående avsnitt). En förutsättning är förstås att per- sonuppgifterna behandlas helt eller delvis automatiskt eller ingår i register. I sådana fall, dvs. när uppgiftslämnandet är för- fattningsreglerat, får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken man funnit att upp- giften ska eller får lämnas ut. Någon anledning att i den nya lagen förhindra att personuppgifter lämnas ut i sådana fall kan vi inte se. Vi föreslår därför att det i lagen införs en ändamålsbestämmelse som medger att personuppgifter – som behandlas med stöd av något eller några av de primära ändamål som anges i avsnitt 8.2.3 – också får behandlas för att fullgöra sådant uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. 9 Den nya regleringen 9.1.1Allmänt om begreppen register, databaser och gemensamt tillgängliga uppgifter Den nuvarande regleringen av behand- ling av personuppgifter är uppbyggd med utgångspunkt i att behand- lingen sker i ett register. Begreppet register är i viss mån föråldrat. Vi inleder därför med att kort behandla detta begrepp innan vi övergår till en närmare beskrivning av regleringen av Rekryterings- myndighetens behandling av personuppgifter om totalförsvarsplik- tiga och annan personal inom totalförsvaret. Begreppet register introducerades i och med datalagens (1973:289) införande och kom därigenom att bli ett centralt begrepp i svensk datalagstiftning. Med personregister avsågs enligt datalagen register, förteckning eller andra anteckningar som förs med hjälp av auto- matiserad databehandling (ADB) och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Den allmänt vedertagna termen för ADB-baserade uppgiftssamlingar har därför sedan datalagens införande varit register (SOU 2015:73 s. 187 f.). Begreppet register återfinns i många äldre registerförfattningar som reglerar myndigheters automatiserade behandling av person- uppgifter. Begreppet har emellertid kritiserats i ett flertal lagstift- ningsarbeten, bl.a. för att ordet register har en teknisk anknytning och därför kan ha olika innebörd för olika yrkesgrupper. Redan i förarbetena till personuppgiftslagen (1998:204) kritiserades använd- ningen av begreppet register vid automatiserad databehandling för att vara otidsenligt (prop. 1997/98:44, s. 39). På grund av den tek- niska utvecklingen har det enligt propositionen i en sammansatt och komplex datormiljö blivit allt svårare att fastställa vad som är ett register i förhållande till ett annat. Det har också vuxit fram allt flexiblare och kraftfullare metoder för att med hjälp av datorer söka och hantera uppgifter som inte finns i någon registerstruktur. Sam- tidigt konstateras det i propositionen att det sagda inte hindrar att det som faktiskt är ett regelrätt datoriserat register också kallas för det. Flertalet särskilda registerförfattningar rör just upprättandet och förandet av traditionella datoriserade register, dvs. att uppgif- terna läggs in i ett på visst sätt strukturerat register och bara får tas fram med hjälp av vissa angivna sökkriterier. Registerformen har därvid ofta valts medvetet för att skapa förutsägbarhet och säkerhet beträffande de uppgifter som behandlas med hjälp av datorer (a. prop. s. 39 f.). Mot denna bakgrund ansåg regeringen att det var en fördel att personuppgiftslagen skulle omfatta all automatiserad behandling av personuppgifter utan hänsyn till det föråldrade registerbegreppet (a. prop. s. 39 f.). I personuppgiftslagen används därför inte begreppet register utan lagen gäller all helt eller delvis automatiserad behand- ling av personuppgifter, oavsett om de förekommer i ett register eller inte. Vid behandling är personuppgiftslagen emeller- tid tillämplig endast om personuppgifterna ingår i ett register. I lagen används dock inte begreppet register utan dataskyddsdirek- tivets definition av begreppet, dvs. en strukturerad samling av per- sonuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I dessa fall är registerbegreppet således fortfarande av betydelse. har modellen med register kritiserats i flera lag- stiftningsärenden med motiveringen att den inte uppfyller dagens krav på teknikneutral lagstiftning. I förarbetena till lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet bedömdes begreppet re- gister inte längre vara ett relevant eller lämpligt sätt att se på samlingar av uppgifter i elektronisk form med undantag för vissa traditionella register som misstanke- och belastningsregistret (prop. 2004/05:164 s. 60). I stället valde lagstiftaren att använda begreppet databas, vil- ket definierades som en samling uppgifter som med hjälp av auto- matiserad behandling används gemensamt inom en verksamhet. Det rättsliga begreppet databas var enligt regeringen att föredra framför registerbegreppet, i synnerhet som begreppet underlättar för en teknikoberoende lagstiftning (a. prop. s. 61). I förarbetena till polisdatalagen (2010:361) och kustbevaknings- datalagen (2012:145) kritiserades både användningen av begreppet register och databas för att inte vara tillräckligt teknikneutrala i lag- stiftning som rör personuppgiftsbehandling. I förarbetena till polisdatalagen konstaterade regeringen att registerbegreppet har kritiserats, bl.a. därför att det har en teknisk anknytning och därför att dagens datasystem normalt inte byggs som traditionella register (prop. 2009/10:85, s. 60 f.). Också begreppet databas har en stark teknisk anknytning och leder tanken till ett visst, i tekniskt av- seende avgränsat, informationssystem. Detta är inte ett helt rele- vant sätt att se på samlingar av uppgifter i elektronisk form. Upp- gifter kan t.ex. införas helt ostrukturerat och oorganiserat i olika filer i en dator utan att detta förhindrar en effektiv hantering av uppgifterna för olika sammanställningar m.m. Det konstateras att även om registerbegreppet fortsättningsvis kommer att användas inom polisen för vissa särskilda fall, t.ex. när det gäller finger- avtrycks- eller signalementsregistret, penningtvättsregistret och det allmänna spaningsregistret, går utvecklingen mot att registerformen överges för mer sofistikerade datasystem. Som en följd av detta bör den nya regleringen inte bygga på att behandlingen av person- uppgifter sker i olika register eller databaser utan i stället ges en mer generell utformning (a. prop. s. 60 f. och s. 229). Även i för- arbetena till kustbevakningsdatalagen fördes liknande resonemang och regeringen fann att regleringen för del skulle utformas i enlighet med vad som hade beslutats för polisen (prop. 2011/12:45 s. 72 f.). I stället för bestämmelser om register och databaser innehåller polisdatalagen och kustbevakningsdatalagen särskilda bestämmelser för uppgifter som görs och har gjorts gemensamt tillgängliga i den brottsbekämpande verksamheten. Registerbegreppet behålls endast för vissa särskilda fall. Genom en sådan formulering står det enligt regeringen klart att det viktiga inte är var eller med vilken metod uppgiften rent tekniskt är lagrad eller behandlas utan om ett flertal personer har möjlighet att ta del av uppgiften. Bestämmelserna ska framför allt reglera sådan behandling av uppgifter som sker i för verksamheten gemensamma uppgiftssamlingar. Härigenom införs ett relativt nytt begrepp inom lagstiftningen på personuppgifts- behandlingsområdet, begreppet gemensamt tillgängliga uppgifter 2009/10:85, s. 126 f. och SOU 2015:73, s. 193 f.). Särskilda bestämmelser om gemensamt tillgängliga uppgifter finns i 3 kap. polisdatalagen respektive 4 kap. kustbevakningsdatalagen. I förarbetena till polisdatalagen anges de principer som bör ligga till grund för gränsdragningen mellan behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga och annan be- handling (prop. 2009/10:85, s. 127 f.). En grundläggande förutsättning för att personuppgifter ska an- ses vara gemensamt tillgängliga är att de kan användas gemensamt av flera, dvs. att fler än en person har åtkomst till uppgifterna. Uppgifter som endast ett fåtal personer har rätt att ta del av bör dock inte anses som gemensamt tillgängliga. Att en uppgift ”är till- gänglig” för en viss person bör förstås så att personen har såväl fak- tisk möjlighet att ta del av uppgiften som rättslig behörighet till det. Det bör däremot inte spela någon roll hur många personer som faktiskt tar del av de aktuella uppgifterna. Det bör inte heller ha någon betydelse om den som har tillgång till uppgiften kan påverka den eller bara läsa den. Detta innebär att personuppgifter blir att anse som gemensamt tillgängliga om dessa behandlas för att en obestämd krets, t.ex. hela polisorganisationen, ska kunna ta del av uppgifterna (a. prop. s. 127). Vidare bör enligt propositionen personuppgifter anses vara gemensamt tillgängliga även i vissa fall när den personkrets som har tillgång till uppgifterna är bestämd och avgränsad. Om uppgifterna är tillgängliga för ett stort antal bestämda personer, bör de således anses vara gemensamt tillgängliga. Uppgifter bör dock inte anses som gemensamt tillgängliga enbart därför att två eller flera personer har tillgång till dem. Kan man redan från början konstatera att person- uppgifterna endast kommer att vara tillgängliga för en avgränsad krets bestående av en handfull personer, bör uppgifterna alltså inte anses som gemensamt tillgängliga. De integritetsskyddsintressen som moti- verar särskilda regler för gemensamt tillgängliga uppgifter gör sig enligt propositionen inte lika starkt gällande när bara ett fåtal per- soner har tillgång till uppgifterna som när många personer har tillgång Som en tumregel anges att uppgifter normalt bör anses som gemensamt tillgängliga när fler än ett tiotal personer har tillgång till dem. I viss utsträckning kan också tidsaspekten ha betydelse för om uppgifter ska anses vara gemensamt tillgängliga eller inte eftersom uppgifter som behandlas typiskt sett kommer fler till del, bl.a. därför att personer i en från början begränsad krets med tiden byts ut. Uppgifter ska också anses vara gemensamt tillgängliga när de sprids till andra myndigheter än polisen (a. prop. s. 128 f.). Utredningens bedömning: Den nya lagen ska inte innehålla bestämmelser som särskilt tar sikte på register, databaser eller gemensamt tillgängliga uppgifter utan ges en generell utformning. Kartläggningen av behandlingen av personuppgifter i Rekryterings- myndighetens verksamhet visar att det inte finns något behov av att i grunden förändra förutsättningarna för behandlingen. Däremot finns det ett behov av att klargöra hur behandlingen av person- uppgifter ska beskrivas och om det också i fortsättningen finns behov av att i en reglering av myndighetens behandling av person- uppgifter om totalförsvarspliktiga särskilja behandling som sker i register från annan behandling av personuppgifter som omfattas av lagen. Vi har i avsnitt 5.5 bedömt att kartläggningen visar att den nu- varande regleringen fungerar i huvudsak väl. bör regler- ingen möjliggöra moderna och ändamålsenliga informationssystem och inte begränsa möjligheter att utnyttja ny informationsteknik. Regleringen bör därför inte vara beroende av att vissa tekniska lösningar används, dvs. den bör vara i den meningen teknikneutral. Detta för att så långt som möjligt ska kunna använda sig av den nya tekniken för att öka sin effektivitet men också för att underlätta och förenkla informationsutbytet med sina uppdragsgivare, andra myndigheter och enskilda. Regleringen bör också vara flexibel genom att den ska kunna anpassas till berörda myndigheters krav och inte behöva ändras inför varje förändring i verksamhet. Det kan konstateras att behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret huvudsakligen sker i elektronisk form genom myndig- hetens olika informationssystem. Det i pliktregisterlagen omnämnda automatiserade registret över totalförsvarspliktiga är således inte att betrakta som ett register i traditionell mening. Endast i fråga om registret över krigsplacerad personal vid andra myndigheter, registret över krigsfångar och det s.k. forskningsarkivregistret föreligger register i ordets rätta bemärkelse. I det särskilda registret över krigs- placerade för in uppgifter om namn och personnummer på den krigsplacerade samt vid vilken myndighet han eller hon är krigsplacerad. Vid höjd beredskap har Rekryter- ingsmyndigheten i uppgift att registrera och rapportera krigsfångar (prop. 1997/98:80, s. 19). I interna be- stämmelser om forskningsarkivregister (RIB 2012:1) regleras hur vissa personuppgifter i myndighetens informationssystem Plis och Syom med tillhörande delsystem ska bevaras och överföras till ett särskilt forskningsarkivregister. Inget av de ovan nämnda registren påkallar emellertid någon särskild reglering. I likhet med de resonemang som förts i flera lagstiftningsärenden är det enligt vår bedömning varken relevant eller lämpligt att beskriva behandling i övrigt av personuppgifter om totalförsvarspliktiga genom användning av begreppet register. Inte heller begreppet databas ger en rättvisande beskrivning av den behandling som utförs. Varken begreppet register eller databas kan därför anses lämpliga eller tillräckligt teknikneutrala för att beskriva den aktuella behandlingen. Den nya regleringen bör således inte innehålla bestämmelser som särskilt tar sikte på register eller databaser utan i stället ges en generell utformning. Frågan är då om det, i likhet med polisdatalagen och kustbevak- ningsdatalagen, bör införas särskilda bestämmelser om gemensamt tillgängliga uppgifter. Härigenom kan ett starkare integritetsskydd uppnås genom att mer restriktiva regler gäller för de gemensamt tillgängliga uppgifterna, vilka kan kompletteras med ytterligare integritetsskyddande bestämmelser om bl.a. sökning, direktåtkomst, bevarande och gallring (se t.ex. 3 kap. 5–15 §§ polisdatalagen). Det kan inledningsvis konstateras att i stort sett samtliga per- sonuppgifter om totalförsvarspliktiga som behandlas i Rekryterings- myndighetens verksamhet är av sådan karaktär att de kan betraktas som gemensamt tillgängliga.