sou · H5B397 · 2017-12-08 00:00:00 — Kontroll görs i misstanke- och belastningsregistret och först därefter skrivs den totalförsvarspliktige in för tjänstgöring. digheten beslutat om att den totalförsvarspliktige ska genomföra värnplikt kallas denne till tjänstgöring. Det åligger den totalförsvars- pliktige att bekräfta kallelsen. har till uppgift att redovisa de total- försvarspliktigas tjänstgöring. Avisering om tjänstgöringstid görs till som därigenom får underlag för utbetalning av olika ersättningar och bidrag till de totalförsvarspliktiga. Även aviseras då värnplikten är pensionsgrundande. Därtill skickas den totalförsvarspliktiges journal över till Försvars- makten. Tillgång till journalhandlingar är nödvändigt för att Försvars- makten vid behov ska kunna bedöma totalförsvarspliktigas tjänst- barhet. Under tjänstgöringen har tillgång till uppgifter om den totalförsvarspliktiges tjänstgöring, exempelvis upp- gift om att denne får en ny befattning eller av någon anledning avbryter tjänstgöringen. När den totalförsvarspliktige är färdigut- bildad och tjänstgöringen avslutad registrerar Försvarsmaktens per- sonal samtliga uppgifter om den totalförsvarspliktige och tjänst- göringen direkt in i informationssystem. Uppgifter som registreras är exempelvis betyg, vitsord, färdigheter, tjänstgöringens längd osv. Det är ansvar att hålla ordning på antalet plikttjänstgöringsdagar som den total- försvarspliktige genomfört. 5.4Behandling av personuppgifter vid annan utredning I avsnitt 4.2.3 beskrivs förutsättningarna för enskilda som är in- tresserade av att tjänstgöra inom totalförsvaret att själva initiera och genomföra annan utredning än mönstring. Frivilligheten mani- festeras i att totalförsvarspliktiga ges möjlighet att anmäla att de är intresserade av att genomföra annan utredning och därefter får ta ställning till om de vill mönstra. Annan utredning syftar till att utreda förutsättningarna för den totalförsvarspliktige att fullgöra tjänstgöring inom totalförsvaret genom värnplikt eller civilplikt. Oavsett om denne har anmält intresse eller har kallats till mönst- ring med plikt, är det dock lagen om totalförsvarsplikt som ska tillämpas. Förfarandet med annan utredning innebär att såväl För- svarsmakten som får tillgång till och behandlar en stor mängd personuppgifter. Behandlingen av person- uppgifter vid annan utredning åskådliggörs i det följande (merparten av uppgifterna är hämtade års personalförsörjningsutred- ning, SOU 2016:63, s. 85 f.). Om en enskild är intresserad av att mönstra och därefter genom- föra värnplikt eller civilplikt kan han eller hon själv initiera annan utredning genom att vända sig till Försvarsmakten. En förutsätt- ning för att initiera annan utredning är att den enskilde ska vara totalförsvarspliktig, dvs. bosatt i och mellan 16–. En enskild som visat intresse för att mönstra och har initierat annan utredning hos Försvarsmakten får besvara ett webbaserat frågeformulär där denne svarar på frågor om bl.a. sin hälsa, utbild- ningsbakgrund, motivation osv. Frågorna är i stort sett desamma som i beredskapsunderlaget. kontrolleras att det inte föreligger hinder för den enskilde att genomgå mönstring, t.ex. att den enskilde redan har mönstrat. Efter en automatisk rättning av svaren i webbenkäten, sker en automatisk selektering av de sökande. De som blir godkända vid selekteringen kan gå vidare i pro- cessen och boka tid för annan utredning med personlig inställelse. Testerna som genomförs motsvarar testerna för mönstring men sker i Försvarsmaktens regi. Under förutsättning att den enskilde ger sitt samtycke kan annan utredning omfatta både medicinska och psykologiska undersökningar. Det föreligger dock ingen skyl- dighet för den enskilde att genomföra en personlig utredning utan den enskilde kan när som helst avbryta processen. Efter utredningen får den enskilde träffa en yrkesvägledare som går igenom de insamlade uppgifterna och resultatet från testerna tillsammans med denne. Efter diskussion med den enskilde där de erhållna testvärdena viktas mot den enskildes intressen, lämnas en rekommendation till den enskilde om förslag till lämplig befatt- ning. Något beslut fattas dock inte. När den enskilde har genomgått annan utredning har denne två valmöjligheter – att gå in i ett mönstringsförfarande eller inte. Om den enskilde väljer att mönstra övergår ansvaret för processen till beslutar då om den totalförsvarspliktige ska få mönstra. När den enskilde har på- börjat mönstringen omfattas denne av lagen om totalförsvarsplikt. Därmed föreligger inte längre någon möjlighet för den enskilde att ångra sig och avbryta processen utan blir skyldig att fullfölja mönst- ringen och den tjänstgöring som kan komma att besluta. Den enskilde kan också välja att ansöka om att mönstra direkt hos , dvs. utan att först ha genomfört annan utredning. I detta sammanhang är det av vikt att framhålla att samtliga upp- gifter som efterfrågas och inhämtas av Försvarsmakten vid annan utredning registreras och sparas i infor- mationssystem. Detta även efter att tjänstgöringen har avslutats. De uppgifter som Försvarsmakten inhämtar, såväl värden som rekom- mendationer, förs direkt över till infor- mationssystem om utredningen mynnar ut i en ansökan om mönst- ring. Uppgifter som mätdata och journaldata är dock krypterade. I förarbetena (prop. 1997/98:80, s. 16) anges: På grundval av dessa och andra uppgifter kan därmed en mindre om- fattande utredning än mönstring utföras även hos de nu uppräknade myndigheterna. Om en annan myndighet än genomför utredningen ska kopior av handlingar som inkommit till den myndigheten tillställas . Vid annan utredning efterfrågas och samlas även in personuppgifter som för den totalförsvarspliktige kan vara känsliga. Även i fråga om känsliga uppgifter blir pliktregisterlagen tillämplig. I förarbetena (a. prop. s. 40) anges: Totalförsvarets pliktverks och den andra myndighetens åtgärder kan där- med sägas vara förenade i samma utredningsärende. Regeringen före- slår att bestämmelser som ger de aktuella myndigheterna m.fl. rätt att behandla känsliga personuppgifter tas in i lagen om behandling av per- sonuppgifter om totalförsvarspliktiga. I lagtexten bör markeras att detta är ett undantag från lagens tillämpningsområde i övrigt, och – vilket är en mycket viktig begränsning – att undantaget från personuppgifts- lagens förbud mot behandling av känsliga personuppgifter för de berörda myndigheterna endast gäller i deras verksamhet för att utreda total- försvarspliktigas förhållanden som sker med stöd av bestämmelserna i lagen om totalförsvarsplikt. Samma krav gäller således självfallet även för dessa myndigheter som för vid behand- ling av känsliga personuppgifter att detta endast får ske om det är nöd- vändigt med hänsyn till de ändamål som anges i lagen. Utredningens bedömning: Kartläggningen visar att Rekryterings- myndighetens behandling av personuppgifter är omfattande och att myndigheten i allt större utsträckning använder sig av elek- tronisk behandling av personuppgifter i sin verksamhet. Det har inte framkommit annat än att den nuvarande regleringen i huvudsak fungerar väl. Regleringen är emellertid i behov av modernisering för att bättre vara anpassad till annan reglering inom rättsområdet och för att möta såväl myndighetens som uppdragsgivarnas krav. Ett av huvudsakliga verksamhetsområ- den är personalredovisningen, dvs. arbetet med att säkerställa att de bemanningsansvariga myndigheternas krigsorganisationer är fullt bemannade. Myndighetens uppgift att registrera och redovisa total- försvarspliktig personal innebär att den har det övergripande ansva- ret för personalredovisningen inom totalförsvaret. Rekryterings- myndigheten beslutar också om krigsplacering av totalförsvars- pliktiga som fullgjort värnplikt eller civilplikt. Därutöver ansvarar myndigheten för redovisningen av fast anställd personal och fri- villiga på uppdrag av bemanningsansvariga myndigheter. Den sam- lade personuppgiftsbehandlingen avseende totalförsvarspliktiga om- fattar därmed en stor del av befolkningen och är en av största och mest omfattande. ansvarar dessutom för att totalförsvarspliktiga män och kvinnor som fyller besvarar beredskapsunderlaget. Det åligger även myndigheten att mönstra och vid mönstringen utreda de totalförsvarspliktigas personliga förhållanden. I sin verksamhet behandlar Rekryterings- myndigheten följaktligen en mängd personuppgifter, ofta av mycket integritetskänslig karaktär. Vår kartläggning av personuppgifts- behandling visar att behandling av personuppgifter om totalförsvars- pliktiga utgör en central del i myndighetens verksamhet. I avsnitt 5.3 har vi översiktligt beskrivit den automatiserade personuppgifts- behandling som utför inom sitt verksam- hetsområde. Av redogörelsen framgår inte bara att den nuvarande behandlingen är omfattande utan även att myndigheten i allt större utsträckning använder sig av elektronisk hantering av personupp- gifter. Ett exempel på detta är att majoriteten av de totalförsvars- pliktiga numera besvarar beredskapsunderlaget på webben och att de inlämnade uppgifterna hanteras elektroniskt, varefter kommuni- kationen med de totalförsvarspliktiga huvudsakligen sker digitalt. har behov av att kunna samla in, ta emot, registrera, behandla och lagra uppgifter på elektronisk väg, inte bara för att fullgöra sina uppgifter i form av t.ex. personalredovisning av totalförsvarspliktiga. I myndighetens uppdrag ingår också att redo- visa annan personal inom totalförsvaret. Myndigheten har även be- hov av att kunna behandla uppgifter elektroniskt för utlämnande till andra myndigheter, inte minst Försvarsmakten, och till total- försvarspliktiga. En väl utnyttjad informationsteknik är därför av stor betydelse och en förutsättning för myndighetens möjligheter att bedriva sin verksamhet på ett rationellt och effektivt sätt. Ett effektivt utnyttjande av den moderna informationstekniken kan, utöver effektivitetsvinster, också leda till kostnadsbesparingar för . Det finns således ett viktigt allmän- intresse av att den moderna informationstekniken kan utnyttjas av myndigheten. Utöver samhällsvinsten gynnar en väl fungerande informationsteknik också de totalförsvarspliktiga som därigenom får en snabbare och mer rättssäker prövning och rekry- teringsprocess. Vid kartläggningen har inte framkommit annat än att den nuvar- ande regleringen i huvudsak fungerar väl. Det kan emellertid kon- stateras att nuvarande reglering, såväl lagen som förordningen, är föråldrad och i behov av modernisering för att bättre vara anpassad till annan reglering inom rättsområdet och för att möta såväl myn- dighetens egna verksamhetskrav som uppdragsgivarnas krav. 6Allmänna utgångspunkter för den nya regleringen 6.1En ny reglering införs I våra direktiv konstateras att pliktregisterlagen kom till 1998 och endast har ändrats ett fåtal gånger . Vi har därför fått i uppdrag att göra en översyn av regleringen och föreslå en ny lag och förordning om behandling av personuppgifter på området. Ut- gångspunkten för den nya regleringen ska vara att Rekryterings- myndighetens verksamhet ska kunna bedrivas effektivt med ratio- nellt datorstöd som enskildas rätt till personlig integritet tillgodoses. 6.1.2Våra överväganden och förslag Utredningens bedömning och förslag: En ny lag och förord- ning ska införas och den nu gällande pliktregisterlagen och för- ordningen om behandling av personuppgifter om totalförsvars- pliktiga ska upphävas. Den nya regleringen bör vara teknikneutral. Regleringen bör också vara flexibel genom att kunna anpassas till berörda myn- digheters krav och inte behöva ändras inför varje förändring i verksamhet. Hänsyn måste emeller- tid tas till att myndighetens behandling av personuppgifter är omfattande och i hög grad rör känsliga personuppgifter. Den nya regleringen måste därför utformas med avseende både på samhällets intresse av att behandlingen av personuppgifter ska vara effektiv och att skyddet för den personliga integriteten Allmänna utgångspunkter för den nya regleringen Med dessa utgångspunkter får Rekryteringsmyndig- heten möjlighet att bedriva sin verksamhet och behandla person- uppgifter på ett effektivt sätt som skyddet för den enskildes personliga integritet tillgodoses. Enligt våra direktiv ska utgångspunkten för en ny reglering vara att verksamhet ska kunna bedrivas effektivt med rationellt datorstöd som enskildas rätt till personlig integritet tillgodoses. Det kan konstateras att Rekryteringsmyndig- hetens behandling av personuppgifter om totalförsvarspliktiga är omfattande och sker utan den enskildes samtycke. Personuppgif- terna, som ofta är av integritetskänslig natur, samlas in från de total- försvarspliktiga själva utifrån den skyldighet som följer av lagen (1994:1809) om totalförsvarsplikt. Det finns därmed ett behov av en lagreglering av behandling av personupp- gifter om totalförsvarspliktiga. Det kan vidare konstateras att plikt- registerlagen kom och endast har ändrats ett fåtal gånger . Kartläggningen av person- uppgiftsbehandling visar att den nuvarande regleringen är i viss mån föråldrad. Vi föreslår därför att en ny lag och förordning ska införas och att den nu gällande pliktregisterlagen och förordningen (1998:1229) om behandling av personuppgifter om totalförsvars- pliktiga ska upphävas. Kartläggningen av personuppgifts- behandling visar att den nuvarande regleringen i huvudsak fungerar väl men att den är i behov av modernisering (se avsnitt 5.5). Med hänsyn till den snabba utvecklingen på informationsteknikområdet är det viktigt att regleringen är neutral inför förändringar på det tekniska området, dvs. att den är teknikoberoende. Det är av vikt att den nya lagen inte begränsar möjlig- heter att utnyttja ny informationsteknik och att utforma sina data- system på ett för verksamheten effektivt och rationellt sätt. Regler- ingen bör därför möjliggöra moderna och ändamålsenliga informa- tionssystem som den inte bör vara beroende av att vissa tekniska lösningar används. Detta för att så långt som möjligt ska kunna använda sig av den nya tekniken för att öka sin effektivitet men också för att underlätta och förenkla informationsutbytet med sina uppdragsgivare, andra myndigheter och enskilda. Regleringen bör också vara flexibel genom att den ska Allmänna utgångspunkter för den nya regleringen kunna anpassas till berörda myndigheters krav och inte behöva ändras inför varje förändring i verksamheten. måste hänsyn tas till att myndighetens behandling av personuppgifter, som är omfattande och i hög grad rör känsliga per- sonuppgifter, kan innebära risk för intrång i den personliga integri- teten. Att samla personuppgifter elektroniskt ökar möjligheten att sammanställa ett stort antal uppgifter om enskilda. Redan den om- ständigheten att uppgifterna finns registrerade kan för vissa framstå som integritetskränkande. behandling av personuppgifter måste därför ske med respekt för den enskildes integritet. Vid utformandet av den nya regleringen måste således samhällets intresse av att kan utföra sina uppgifter på ett effektivt sätt vägas mot att skyddet för den person- liga integriteten upprätthålls. Med dessa utgångspunkter får möjlig- het att bedriva sin verksamhet och behandla personuppgifter på ett effektivt sätt som skyddet för den enskildes personliga integritet tillgodoses. I kapitel 7–11 behandlar vi närmare olika frågor om den föreslagna regleringens utformning. 6.2Förhållandet till EU:s dataskyddsreglering och förslaget till dataskyddslag Vi har fått i uppdrag att analysera vilket förhållande den nya regler- ingen ska ha till EU:s dataskyddsreglering och den kompletterande nationella lagstiftningen i form av förslaget till dataskyddslag. I denna del ingår att göra en analys av möjligheterna till en helt fristående lagstiftning. I det följande ges en närmare redogörelse för EU:s dataskyddsreform, dataskyddsförordningen och Dataskydds- utredningens förslag till ny dataskyddslag. Därefter redogörs för våra överväganden och förslag rörande denna del av uppdraget. Allmänna utgångspunkter för den nya regleringen 6.2.2Allmänt om EU:s dataskyddsreform presenterade Europeiska kommissionen ett för- slag till en genomgripande reform av dataskyddsregleringen i EU. Förslaget omfattade dels en förordning med allmänna EU-regler om skydd av personuppgifter som skulle ersätta dataskyddsdirek- tivet (dataskyddsförordningen), dels ett direktiv med regler för den brottsbekämpande sektorn som skulle ersätta dataskyddsrambeslutet (nya dataskyddsdirektivet13). Enligt kommissionen skulle förslaget till dataskyddsförordning komma att undanröja den fragmentariska dataskyddsreglering som finns inom EU, vilket såväl förenklar för företagen som stärker enskildas rätt till skydd för sina person- uppgifter. En politisk överenskommelse om regleringen kom till stånd . antogs och rådets för- ordning (EU) 2016/679 om skydd för fysiska personer med av- seende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Dataskyddsförordningen, som den benämns i detta betänkande, träder i kraft . Det huvudsak- liga syftet med dataskyddsreformen är att ytterligare harmonisera om skydd av personuppgifter i syfte att förbättra den inre marknadens funktion och därmed skapa affärsmöjligheter och främja innovation. Därtill ska enskildas befintliga rättigheter stärkas genom en ökning av enskildas kontroll över sina personuppgifter. Dataskyddsförordningen kommer att ersätta det nuvarande dataskyddsdirektivet och utgöra grunden för all generell personuppgiftsbehandling inom EU. Enligt artikel 288 andra stycket i Fördraget om Europeiska unionens funktionssätt ska en EU-förordning ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat. 13 och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga på- följder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Allmänna utgångspunkter för den nya regleringen EU-direktiv ska alltså förordningar inte implementeras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av enskilda, myndigheter och domstolar precis som om de vore nationella för- fattningsbestämmelser. Detta innebär att dataskyddsförordningen är direkt tillämplig i EU:s medlemsstater. Även om dataskyddsförordningen är direkt tillämplig, till skill- nad från dataskyddsdirektivet, innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Förordningen har därmed i vissa delar en direktivliknande karaktär. I skäl 8 till förordningen anges också att om denna förordning föreskriver förtydliganden eller begräns- ningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av denna förordning i nationell rätt. I dataskyddsförordningens första kapitel slås syftet och tillämp- ningsområdet fast, vilka i princip är desamma som dataskydds- direktivets (artiklarna 1–3). Det territoriella tillämpningsområdet har dock utvidgats till att också omfatta uppgiftsbehandling utan- för EU som utförs av företag som exempelvis erbjuder varor och tjänster till EU-medborgare. I syfte att säkerställa en enhetlig skyddsnivå över hela unionen och undvika avvikelser som hindrar den fria rörligheten av person- uppgifter inom den inre marknaden behövs, enligt skäl 13 till data- skyddsförordningen, en förordning som skapar rättslig säkerhet och öppenhet för ekonomiska aktörer och som ger fysiska perso- ner i alla medlemsstater samma rättsligt verkställbara rättigheter och skyldigheter samt ålägger personuppgiftsansvariga och person- uppgiftsbiträden samma ansvar. På så sätt blir övervakningen av behandling av personuppgifter enhetlig, sanktionerna i alla medlems- stater likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater effektivt. För att den inre marknaden ska fungera väl krävs enligt samma skäl att det fria flödet av personuppgifter inom unionen inte begränsas eller förbjuds av skäl som har anknyt- Allmänna utgångspunkter för den nya regleringen ning till skydd för fysiska personer med avseende på behandling av personuppgifter. Dataskyddsförordningen ska, i likhet med dataskyddsdirektivet, tillämpas på sådan behandling av personuppgifter som helt eller del- vis företas på automatisk väg samt på annan behandling än auto- matisk av personuppgifter som ingår i eller kommer att ingå i ett register. Från dataskyddsförordningens tillämpningsområde undan- tas dock behandling av personuppgifter som utgör ett led i en verk- samhet som inte omfattas av unionsrätten eller som utförs av melemsstaterna när de bedriver verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken. Behandling av person- uppgifter som utförs av en fysisk person som ett led i verksamhet av privat natur eller som har samband med hans eller hennes hus- håll omfattas inte heller av förordningens bestämmelser. Vidare gäller förordningen inte för sådan behandling av personuppgifter som utförs av behöriga myndigheter för ändamålen att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straffrättsliga på- följder. Sådan behandling regleras i stället genom det nya data- skyddsdirektivet, som ersätter dataskyddsrambeslutet. Förordningens bestämmelser ska inte heller tillämpas av EU:s institutioner, organ och byråer. Den behandling av personuppgifter som sker där re- gleras i stället, precis som tidigare, genom och rådets förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitutionerna och gemenskaps- organen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter. I första kapitlet finns också de definitioner som används i för- ordningen uppräknade (artikel 4). Principer och krav på behandling av personuppgifter Andra kapitlet i dataskyddsförordningen innehåller principerna för behandling av personuppgifter. Dessa motsvarar i huvudsak de i dataskyddsdirektivet uppställda principerna såvitt avser bl.a. rättslig grund för behandling och behandling av känsliga personuppgifter. Varje behandling av personuppgifter ska vila på en rättslig grund och är endast tillåten om och i den mån åtminstone ett av villkoren i artikel 6.1 är uppfyllt. Enligt artikel 5 i förordningen krävs dock Allmänna utgångspunkter för den nya regleringen att behandling av personuppgifter måste ske på ett lagligt, korrekt och öppet sätt. Det är den personuppgiftsansvariges ansvar att prin- ciperna i artikel 5 följs (artikel 5.2). De rättsliga grunderna för behandling av personuppgifter och behandling av känsliga personuppgifter beskrivs närmare i kapitel 8 och 9. Det tredje kapitlet innehåller bestämmelser om den enskildes rättig- heter (artiklarna 12–23). Den registrerades rättigheter har i data- skyddsförordningen förstärkts i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Den information som ska till- handahållas den registrerade har preciserats och utvidgats och den personuppgiftsansvarige ska tillhandahålla informationen i en begrip- lig och lättillgänglig form (artikel 12). Den enskildes rätt till infor- mation bygger i stor utsträckning på direktivets bestämmelser. Den registrerade har rätt att få felaktiga uppgifter rättade (arti- kel 16). Vidare har en tydligare rätt att bli bortglömd införts i för- ordningen som innebär att den personuppgiftsansvarige inte endast ska radera personuppgifter som inte längre får behandlas. Om upp- gifterna har gjorts offentliga ska den personuppgiftsansvarige där- till vidta alla rimliga åtgärder för att informera dem som uppgif- terna spridits till att den enskilde vill bli glömd.