sou · H5B397 · 2017-12-08 00:00:00 — Bestäm- melser om gallring som inte specifikt rör handlingar som innehåller personuppgifter föranleds i stället vanligtvis av kostnads- och ut- rymmesskäl. I personuppgiftslagen (1998:204) är utgångspunkten en annan. Enligt 9 § första stycket personuppgiftslagen får personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Tryckfrihetsförordningens och arkivlagens bestämmelser har dock företräde framför person- uppgiftslagens bestämmelser. Det följer av 8 § första stycket per- sonuppgiftslagen att bestämmelserna i lagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att läm- na ut personuppgifter enligt 2 kap. tryckfrihetsförordningen. I para- grafens andra stycke anges att bestämmelserna i personuppgiftslagen inte hindrar att en myndighet arkiverar och bevarar allmänna hand- lingar eller att arkivmaterial tas om hand av en arkivmyndighet. Personuppgiftslagens bestämmelser medför således inte att person- uppgifter som ingår i allmänna handlingar ska utplånas eller gallras. För personuppgifter som inte ingår i allmänna handlingar gäller emel- lertid regeln i 9 § första stycket personuppgiftslagen, vilket innebär att personuppgiften inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Bevarande och gallring m.m. I registerförfattningar är det vanligt med bestämmelser om gall- ring. Sådana bestämmelser innebär i allmänhet att en omvänd prin- cip tillämpas där huvudregeln är gallring och inte, som i arkivlagen, bevarande. I 15 § pliktregisterlagen finns en bestämmelse om gallring. Enligt bestämmelsens första stycke ska en personuppgift i det automati- serade registret över totalförsvarspliktiga gallras så snart uppgiften inte längre behövs för de ändamål som anges i 1 § första stycket. Personuppgifter beträffande dem som avses i 8 § första stycket 1–3, dvs. den som (i) är eller har varit aktuell för mönstring eller annan utredning, (ii) genom avtal, beslut om krigsplacering eller på annat sätt är tagen i anspråk för totalförsvaret eller (iii) ska utföra sär- skild uppgift vid höjd beredskap eller på grund av viss kompetens är viktig för totalförsvaret, ska gallras senast vid utgången av det kalenderår den registrerade fyller , om inte han eller hon även därefter har en uppgift inom totalförsvaret vid höjd beredskap. Upp- gifter om närstående, beslutsfattare, handläggare, den som gjort journalanteckning samt om personer som nämns bland vad som antecknats med stöd av 9 § första stycket 13 ska härvid anses som uppgifter om den totalförsvarspliktige. Regeringen får meddela före- skrifter om för gallring än vad som följer av detta stycke. I förarbetena (prop. 1997/98:80 s. 71 f.) till bestämmelsen anges bl.a. följande. För personuppgifter som behandlar utan att registrera dem i register som förs med hjälp av automatiserad behandling, krävs inga särskilda bestämmelser om gallring. Här är arkivlagens huvudregel om att handlingarna ska be- varas och de möjligheter arkivmyndigheten () har att lämna föreskrifter tillräckliga. Integritetsskyddet motiverar dock en i förhållande till arkivlagen omvänd gallringsprincip för register som förs med hjälp av automatiserad behandling med personuppgifter. För personuppgifter i det automatiserade registret över total- Bevarande och gallring m.m. försvarspliktiga bör utgångspunkten därför vara att uppgifterna ska gallras efter en bestämd tid. Behovet av uppgifterna för de ändamål som samlade in dem för bör vara väg- ledande vid bedömningen av hur länge uppgifterna ska bevaras i registret. Det finns som regel inte skäl att hålla uppgifterna ordnade i register, med de sökmöjligheter och möjligheter till att ta fram olika sammanställningar av uppgifter som detta innebär, när detta inte längre behövs för de ändamål för vilka registren skapats. När uppgifterna inte längre behövs för något av dessa ändamål ska de gallras, om inte särskilda skäl talar för att de ska bevaras. De uppgifter samlar in och registrerar är av skilda slag. En del av dem förlorar mycket snabbt i värde medan andra behövs under hela den tid den registrerade är total- försvarspliktig. En stor del av underlaget från mönstringen torde t.ex. vara ointressant med hänsyn till de angivna ändamålen efter det att grundutbildningen genomförts. Uppgifter om vilken utbild- ning den totalförsvarspliktige erhållit och vilka färdigheter han därvid förvärvat är däremot intressanta . Det är svårt att avgöra när en viss uppgift förlorar sin relevans. Regeringen föreslår att den yttersta gränsen för ett bevarande av uppgifter i registret med personuppgifter om totalförsvarspliktiga som förs med hjälp av automatiserad behandling anges i lagen. Det kan uttryckas så att en uppgift ska gallras så snart den inte längre behövs för något av de ändamål som den insamlats för och som framgår av lagen. Uppgifterna ska därvid – som huvudregel – gallras senast vid utgången av det kalenderår den registrerade fyller (a. prop. s. 71). I vissa fall kan det förekomma att personer har uppgifter att fylla inom totalförsvaret även efter det att totalförsvarsplikten upphört för deras del. Till exempel kan medlemmar i frivilligorganisationer kvarstå som medlemmar efter det att de fyllt och därvid också behålla sina krigsuppgifter inom organisationen. De som ska ställa egendom till förfogande vid höjd beredskap, de som ingår som leda- möter i värderingsnämnder och vissa andra personer med mer eller mindre särpräglade uppgifter, är skyldiga att utföra sina åligganden oavsett om de är över eller under . I gallringsbestämmelsen be- hövs därmed också ett undantag från sjuttioårsgränsen för dem som även därefter har en uppgift vid höjd beredskap (a. prop. s. 71 f.). Regeringen har inte beslutat närmare föreskrifter om när per- sonuppgifter om totalförsvarspliktiga ska gallras. Bevarande och gallring m.m. dighetens interna bestämmelser om gallring av upptagningar respek- tive in- och utdata i systemen Plis och Syom (RIB 2011:13 och RIB 2011:15) innehåller dock gallringsfrister för personuppgifter om totalförsvarspliktiga. Alla personuppgifter om totalförsvars- pliktiga ska gallras ur systemet Plis Prov en gång . Plis Prov innehåller medicinska och psykologiska uppgifter, resultat från begåv- ningstester samt svar från frågeformulär som samlats in i samband med eller under utredning inför mönstring och antagningspröv- ning. Innan gallring sker i Plis Prov, ska en kontroll genomföras för att säkerställa att all information som ska överföras till Plis är gjord. EKG-data som samlats in i samband med mönstring sparas i en separat databas fram till och med det levnadsår då den totalförsvars- pliktige fyller . Uppgifterna överförs därefter till Rekryterings- myndighetens s.k. forskningsarkivregister. Efter att uppgifterna över- förts till forskningsarkivregistret ska alla EKG-data gallras ur den separata databasen. Detsamma gäller för personuppgifter om total- försvarspliktiga i informationssystemet Syom. Efter att de person- uppgifter om totalförsvarspliktiga som ska sparas för forskningens behov har överförts till forskningsarkivet, ska personuppgifter om totalförsvarspliktiga gallras ur Syom . Undan- tag är personuppgifter i tjänstgörings- och krigsplaceringsregistren som ska gallras kontinuerligt. Enligt föreskrifter (RA-MS 2011:50) får vidare in- och utdata till systemen Plis och Syom samt övriga uppgifter rörande totalförsvarspliktiga gallras när de inte längre behövs för verksam- heten, under förutsättning att fastställer ett särskilt tillämpningsbeslut (RIB 2011:15). Den gallring som enligt 15 § plikt- registerlagen utför omfattar endast gallring av personuppgifter i det automatiserade registret över totalförsvarspliktiga, dvs. Det innebär i praktiken att huvuddelen av uppgifterna överförs och sparas i myndighetens s.k. forsknings- arkivregister i syfte att utgöra underlag för forskning. De uppgifter som alltjämt behövs i löpande verksam- het, exempelvis namn, adress och tjänstgöringsuppgifter, sparas i informationssystemen Plis eller till och med den tidpunkt då den totalförsvarspliktige fyller . I de fall den totalförsvarspliktige har en uppgift inom totalförsvaret vid höjd beredskap, sparas upp- gifterna ännu längre. Därefter överförs uppgifterna till en särskild Bevarande och gallring m.m. databas för långtidslagring, ett s.k. elektroniskt slutarkiv. Vissa upp- gifter överförs sedan till . I förvaras i pappers- form läkarhandlingar om avregistrerade totalförsvarspliktiga födda , de som frikallades och vapenfria tjänstepliktiga. Här finns även akter över vapenfria tjänstepliktiga. Läkarhandlingarna bevaras också i form av mikrofilm hos . I ingår också det s.k. inskrivningsarkivregistret (före- gångaren till Plis), vilket omfattar data om samtliga som mönstrat mellan åren 1969–1997. Även detta bevaras också hos Rekryterings- myndigheten i form av mikrofilm. handlingar ska överföras från till fast- ställs genom en överenskommelse mellan de båda myndigheterna. Någon regelrätt gallring i arkivlagens mening, dvs. att uppgift- erna rent faktiskt förstörs genom att informationen raderas från databäraren, sker alltså i allmänhet inte. Enligt artikel 5.1 e i dataskyddsförordningen får personuppgifter inte förvaras i en form som möjliggör identifiering av den regi- strerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt förordningen genomförs för att säkerställa den registrerades rättigheter och friheter (lagrings- minimering). Av artikel 6.2 framgår bl.a. att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen med hänsyn till behand- ling för att efterleva punkt 6.1 e, dvs. behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Enligt artikel 6.3 andra stycket andra meningen kan dessutom den rättsliga grunden, som fastställs i den nationella rätten, innehålla särskilda bestämmelser Bevarande och gallring m.m. för att anpassa tillämpningen av bestämmelserna i förordningen i form av bl.a. lagringstid. I pliktregisterlagen finns ingen bestämmelse om att personuppgifter om totalförsvarspliktiga som behandlas enligt lagen får bevaras för arkivändamål. Någon sådan ansågs inte behövas för behandling som skedde utanför registret (prop. 1997/98:80, s. 71 f.). Enligt 15 § andra stycket pliktregisterlagen får dock regeringen meddela före- skrifter om undantag från skyldigheten att gallra personuppgifter ur registret i fråga om bevarande av material för forskningens behov. Sådana uppgifter ska dock avföras från registret de annars skulle ha gallrats enligt första stycket. Av förarbetena (a. prop. s. 72 f.) till bestämmelsen framgår att många av de personuppgifter som regi- strerar har ett mycket stort värde för forskningen. Uppgifterna inne- håller en allsidig information beträffande en stor del av befolkningen vid en viss ålder. Samma slags uppgifter insamlas år och förändringar av t.ex. folkhälsan kan härigenom kontinuerligt följas. Undantag från skyldigheten att gallra uppgifter bör göras med hän- syn till forskningen. Ett sådant undantag medför att uppgifterna inte behöver överföras till annan databärare med någon typ av informa- tionsförlust som följd, vilket torde vara en stor fördel för forsk- ningen. Avgörandet av vilka uppgifter som ska bevaras med hänsyn till forskningens behov borde enligt regeringen överlåtas till Riks- arkivet. Såvitt avser läkarhandlingar bevaras dessa genom att uppgifterna förs över till Rekryteringsmyndig- hetens s.k. forskningsarkivregister. Läkarhandlingarna bevaras även i centrala läkarhandlingsarkiv. Läkarhand- lingsarkivet innehåller journaler med medicinska uppgifter om alla män som är födda eller senare och som har mönstrat till och med . Journaler finns också om de kvinnor som antagningsprövats vid till och med . Journalhandlingar i pappersform mikrofilmas. Avsikten är att denna information ska föras över på digitalt medium i informa- Bevarande och gallring m.m. I informationssystemen Plis och förvaras också resultaten för de personer som testat för Försvarsmaktens grundläggande militära utbildning (GMU) . I de arkiverade handlingarna finns upp- gifter om bl.a. längd, vikt, blodtryck, syn, hörsel, kondition, muskel- styrka, i vissa fall EKG samt psykologiska förmågor, som exempel- vis ledaregenskaper och lämplighet att bli befäl. I 6 § förordningen (1998:1229) om behandling av personupp- gifter om totalförsvarspliktiga anges att får meddela före- skrifter om undantag från skyldigheten att gallra personuppgifter i fråga om bevarande av material för forskningens behov. Av Riks- arkivets föreskrifter (RA-MS 2011:50) framgår bl.a. att vissa sär- skilt angivna upptagningar i informations- system (Plis) och systemet för krigsplacering (Syom) ska, med undantag från gallringsplikten i 15 § pliktregisterlagen, bevaras och överföras till det s.k. forskningsarkivregistret hos Rekryterings- myndigheten. Även uppgifter om totalförsvarspliktigas personliga förhållanden, det s.k. beredskapsunderlaget, ska bevaras. Överföring av uppgifter från Plis och Syom till det s.k. forskningsarkivregistret ska ske minst en gång (2 §). Medicinska journalhandlingar för värnpliktiga samt systembeskrivningar och systemdokumentation avseende upptagningar rörande totalförsvarspliktiga ska också be- varas (3 §). I interna bestämmelser om forsk- ningsarkivregister (RIB 2012:1) regleras hur personuppgifter i Rekry- teringsmyndighetens informationssystem Plis och Syom med till- hörande delsystem ska bevaras och överföras till det särskilda forsk- ningsarkivregistret (1 §). Enligt artikel 5.1 b i dataskyddsförordningen ska ytterligare be- handling av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, inte anses vara oförenlig med de ursprungliga ändamålen. Av artikel 5.1 e framgår att personupp- gifter får lagras än vad som normalt gäller, om uppgifterna enbart kommer att behandlas för arkivändamål av all- Bevarande och gallring m.m. mänt intresse eller för vetenskapliga eller historiska forsknings- ändamål eller för statistiska ändamål. Detta under förutsättning att lämpliga tekniska och organisatoriska åtgärder genomförs i enlighet med kraven i artikel 89.1 för att säkerställa de registrerades fri- och rättigheter. Behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska en- ligt artikel 89.1 omfattas av lämpliga skyddsåtgärder för den regi- strerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dessa åtgärder får inbegripa pseudonymisering, under förutsättning att ändamålen kan uppfyllas på det sättet. När ändamålen kan uppfyllas genom vidarebehandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska dessa ändamål uppfyllas på det sättet. Enligt är det av central betydelse att myndigheternas bevarande av allmänna handlingar inte hindras av dataskyddsregleringen och att myndigheternas möjlighet att an- vända uppgifter i dessa handlingar säkerställs. Även behandling av personuppgifter för andra arkivändamål av allmänt intresse samt för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål måste garanteras. ska skyddet för den registre- rades fri- och rättigheter beaktas. Utgångspunkten för Dataskydds- utredningens uppdrag har därför varit att vissa grundläggande be- stämmelser, liknande de som finns i personuppgiftslagen, behöver tas in i den generella reglering som ska komplettera data- skyddsförordningen. har mot bakgrund härav bl.a. analyserat vilka bestämmelser om myndigheters bevar- ande av allmänna handlingar, användning av uppgifter i dessa och överlämnande av arkivmaterial till en arkivmyndighet som behövs i den generella regleringen. Vidare har ana- lyserat vilka övriga bestämmelser om behandling av personuppgif- ter för arkivändamål av allmänt intresse samt för vetenskapliga eller Bevarande och gallring m.m. historiska forskningsändamål eller för statistiska ändamål som bör finnas i den generella regleringen. Enligt (SOU 2017:39 s. 216 f.) står det klart att den behandling av personuppgifter som myndigheter och andra organ utför när de som en följd av arkivlagens bestämmelser arkiverar sina allmänna handlingar utgör en vidarebehandling som sker för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt artikel 5.1 b i dataskyddsförordningen inte anses som ofören- lig med de ursprungliga ändamålen. Det krävs då inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs (skäl 50). Bestämmelsen i 8 § andra stycket första meningen personupp- giftslagen tydliggör att personuppgiftslagen inte hindrar att en myn- dighet, i enlighet med arkivbestämmelserna, arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkiv- myndighet. Det finns enligt ingenting i dataskyddsförordningen som förhindrar att ett sådant synsätt bi- behålls. Tvärtom säkerställs offentlighetsprincipens ställning genom artikel 86 i förordningen (a.a. s. 220). Personuppgifter som behandlas enbart för arkivändamål av all- mänt intresse ska enligt 4 kap. 1 § första stycket i den föreslagna dataskyddslagen inte få användas för att vidta åtgärder i fråga om den registrerade, annat än om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. I andra stycket föreskrivs att denna begränsning inte ska hindra en myndighet från att använda personuppgifter som finns i allmänna handlingar. Bestämmelsen motsvarar delvis 9 § fjärde stycket och delvis 8 § andra stycket andra meningen personuppgiftslagen. Första stycket utgör en sådan lämplig och särskild åtgärd som krävs enligt förord- ningen för att säkerställa den registrerades grundläggande rättig- heter och intressen. Bestämmelsen förhindrar att personuppgifter som finns hos den personuppgiftsansvarige enbart för arkivändamål av allmänt intresse används för att vidta åtgärder rörande den regi- strerade, om det inte finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Begränsningen gäller alla typer av per- sonuppgifter och inte bara känsliga sådana. För att bestämmelsen över huvud taget ska aktualiseras krävs att den aktuella använd- ningen är förenlig med det ändamål för vilket uppgifterna ursprung- ligen samlades in. Bestämmelsen kan alltså inte tillämpas till stöd Bevarande och gallring m.m. för en vidarebehandling som i sig är otillåten. Andra stycket inne- bär att användningsbegränsningen i första stycket inte gäller för myndigheters användning av personuppgifter i allmänna handlingar (a.a. s. 373 f.). har i delbetänkandet Personuppgifts- behandling för forskningsändamål (SOU 2017:50) föreslagit en kom- pletterande lag vid behandling av personuppgifter för forsknings- ändamål – forskningsdatalagen. Lagen innehåller de kompletterade nationella bestämmelser som utredningen bedömt nödvändiga för att dataskyddsförordningen, den föreslagna dataskyddslagen och lagen sammantaget ska uppfylla det övergripande syftet att möjlig- göra personuppgiftsbehandling för forskningsändamål och skydda den enskildes fri- och rättigheter. Personuppgiftsbehand- ling för forskningsändamål definieras av som arbete som är eller avses vara en del av forskningsprocessen, inklusive förberedande eller avslutande aktiviteter såsom iordning- ställande och dokumentation av databaser för användning i forsk- ning eller arkivering av forskningsmaterial. Enligt utredningen ska personuppgiftsbehandling för ändamålet forskning och för forsk- ningsändamål betraktas som likställda (a.a. s. 106 f.). Forskningsdata- lagen föreslås träda i kraft . 11.2.3Våra överväganden och förslag Utredningens bedömning och förslag: Det behöver inte infö- ras någon kompletterande ändamålsbestämmelse i lagen för egen arkivering av personuppgifter. Lagen bör inte heller innehålla någon särskild bestämmelse om gallring. bevarande av personuppgif- ter om totalförsvarspliktiga i det s.k. forskningsarkivregistret omfattas inte av den föreslagna forskningsdatalagens tillämp- ningsområde. I lagen ska föreskrivas att personuppgifter ska avskiljas så att tillgången till dem begränsas när de inte längre behövs i Rekry- teringsmyndighetens löpande verksamhet för de primära ända- Bevarande och gallring m.m. Personuppgifter om totalförsvarspliktiga ska avskiljas senast vid utgången av det kalenderår den totalförsvarspliktige fyller , om inte den totalförsvarspliktige därefter har en uppgift inom totalförsvaret vid höjd beredskap. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om avskiljande av personuppgifter. Behovet av en kompletterande ändamålsbestämmelse för arkivändamål Det står enligt vår bedömning klart att personuppgifter i Rekry- teringsmyndighetens kärnverksamhet fortsätter att vara en del av denna verksamhet även efter det att de handlingar som de ingår i har arkiverats, i vart fall så länge arkiveringen sker hos Rekryterings- myndigheten. Arkivering av personuppgifter omfattas därmed en- ligt vår mening av den nya lagens tillämpningsområde. Vi har emellertid i avsnitt 8.2.3 och 8.2.4 föreslagit att ända- målsbestämmelserna i den nya lagen ska vara uttömmande. Frågan uppstår då om det finns behov av en kompletterande ändamåls- bestämmelse som tar sikte på egen arki- vering av personuppgifter. Det framgår av artikel 5.1 b i dataskyddsförordningen att vidare- behandling av personuppgifter för bl.a. arkivändamål av allmänt intresse i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. har, med hänvisning till skäl 50 till dataskyddsförordningen, gjort bedöm- ningen att det då inte krävs någon annan rättslig grund för arki- veringen än den med stöd av vilken insamlingen av personuppgifter medgavs. I skäl 50 anges att om behandling av personuppgifter är nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra, kan unionsrätten eller medlemsstaternas nationella rätt fastställa och närmare ange för vilka uppgifter och syften ytterligare behandling bör betraktas som förenlig och laglig. Ytterligare behandling för bl.a. arkivändamål av allmänt intresse bör betraktas som förenlig och laglig behandling av uppgifter. Enligt vår bedömning saknas det skäl att uppfatta detta på annat Bevarande och gallring m.m. sätt än att en myndighets arkivering av personuppgifter till följd av arkivlagens bestämmelser alltid är tillåten, även om en register- författning har uttömmande ändamålsbestämmelser. Det kan vidare konstateras att pliktregisterlagen innehåller en uttöm- mande uppräkning av ändamålsbestämmelser. Såvitt vi har erfarit har det inte satts i fråga att myndighetens egen arkivering av personuppgifter inte skulle ske utifrån ett tillåtet ändamål, trots att det saknas en uttrycklig hänvisning till 8 § andra stycket person- uppgiftslagen. Myndigheters arkivering av sina allmänna handlingar i enlighet med arkivlagens bestämmelser och myndighetsarkivens betydelse för det nationella kulturarvet, bl.a. i syfte att tillgodose offentlighetsprincipen och forskningens behov, får anses som helt grundläggande för alla myndigheters verksamhet, oavsett hur den är reglerad i övrigt.