sou · H6B363 · 2018-08-09 00:00:00 — 4.Rätten enligt 3 § att begära att få information om behandling av personuppgifter och att få del av dem. 5.Rätten att begära rättelse, radering eller begränsning av behand- lingen enligt 6 §. I paragrafen, som behandlas i avsnitt 6.7.1, anges vilken allmän infor- mation som Försvarsmakten på eget initiativ ska göra tillgänglig. Informationen, som riktar sig till allmänheten, kan göras tillgänglig t.ex. på myndighetens webbplats. Enligt punkten 1 ska myndighetens identitet och kontaktupp- gifter göras tillgängliga. Med det avses uppgifter om myndighetens namn, postadress, telefonnummer och e-postadress. Försvarsmakten är enligt 4 kap. 5 § skyldig att utse dataskydds- ombud. Enligt punkten 2 ska uppgifter om dataskyddsombudet anges. Det behöver inte vara en kontaktuppgift direkt till dataskydds- ombudet, t.ex. hans eller hennes e-postadress, utan det är tillräckligt att ombudet går att nå med hjälp av uppgifterna. I punkten 3 föreskrivs att ändamålen med behandlingen ska framgå. Det är inte ändamålen med behandlingen av personuppgifter i enskilda fall som avses utan för vilka typer av ändamål som myndigheten behandlar personuppgifter. Det kan vara underrättelsearbete och åtgärder inom ett särskilt verksamhetsområde eller åtgärder som vidtas inom ramen för säkerhetsskyddsarbetet, exempelvis säkerhetspröv- ning och registerkontroll. I punkterna 4 och 5 föreskrivs att Försvarsmakten ska upplysa om de rättigheter som enskilda har enligt 3 och 6 §§. Det gäller rätten att få information om behandlingen av personuppgifter och att få del av dem samt rätten att begära rättelse, radering eller begränsning av behandlingen. Information som ska lämnas om uppgifterna samlas in från personen själv Om uppgifter om en person samlas in från personen själv, ska Försvars- makten när personuppgifterna erhålls, självmant lämna följande informa- tion till den som uppgifterna rör: 1.uppgift om att det är Försvarsmakten som är personuppgifts- ansvarig för behandlingen, 2.uppgift om ändamålen med behandlingen, och 3.all övrig information som behövs för att den som uppgifterna rör ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Paragrafen behandlas i avsnitt 6.7.2. Den information som Försvarsmakten självmant ska lämna en enskild då personuppgifter samlats in från den enskilde själv ska omfatta uppgifter om att det är Försvarsmakten som är ansvarig för personuppgiftsbehandlingen, ändamålen med behandlingen samt övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter. Denna informationsskyldighet förutsätter att personuppgifter samlas in från den som uppgifterna rör vid någon form av direktkontakt med denne. Information som ska lämnas efter begäran Försvarsmakten är skyldig att en gång per kalenderår till den som begär det lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Behandlas sådana uppgifter ska sökanden få del av dem och få följande skriftliga information. 1.Vilka personuppgifter om den sökande som behandlas. 2.Varifrån personuppgifterna kommer. 3.Den rättsliga grunden för behandlingen. 4.Ändamålen med behandlingen. 5.Mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer. 6.Hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det. 7.Rätten att begära rättelse, radering eller begränsning av behand- lingen enligt 6 §. Utlämnande enligt första stycket behöver inte omfatta personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. En ansökan enligt första stycket ska göras skriftligen hos Försvars- makten och vara undertecknad av den sökande själv. Information enligt första stycket ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. I paragrafen regleras enskildas rätt att en gång per kalenderår få besked om huruvida deras personuppgifter behandlas, att få del av sådana uppgifter och att få viss information om behandlingen av dem. Paragrafen behandlas i avsnitt 6.7.2. I första stycket anges vilken information sökanden kan få del av. I andra stycket undantas sådana personuppgifter som sökanden har tagit del av från skyldigheten att lämna ut uppgifterna. Sökanden ska dock informeras om att personuppgifterna i fråga behandlas. I 7 § föreskrivs att informationen ska lämnas till den uppgifterna rör avgiftsfritt en gång och att begäran därutöver kan avslås. Beslut att vägra att lämna information får enligt 7 kap. 2 § över- klagas. Av tredje stycket framgår kraven på en begäran om information. Begränsning av rätten till information Informationsskyldigheten i 2 och 3 §§ gäller inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut. Om förutsättningarna i första stycket är uppfyllda, är Försvars- makten inte skyldig att lämna ut skälen för beslut enligt första stycket eller beslut i fråga om rättelse, radering eller begränsning av behand- lingen enligt 6 §. I paragrafen, som behandlas i avsnitt 6.7.4, görs undantag från För- svarsmaktens informationsskyldighet på grund av sekretess. Många uppgifter som behandlas i Försvarsmaktens olika verk- samheter omfattas av utrikessekretess och försvarssekretess enligt 15 kap. 1 och 2 §§ offentlighets- och sekretesslagen (2009:400). Infor- mationsskyldigheten gäller enligt första stycket inte i den utsträck- ning sekretess hindrar att uppgifterna lämnas ut till den som upp- gifterna rör. Enligt andra stycket är Försvarsmakten inte heller skyldig att lämna ut skälen för beslut enligt första stycket och beslut i fråga om rättelse, radering eller begränsning av behandlingen om motiver- ingen skulle riskera att skada något av de intressen som sekretessen avser att skydda. Informationsskyldigheten i 2 och 3 §§ gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna har lämnats ut till tredje part, behandlas enbart för vetenskapliga, statistiska eller histo- riska ändamål eller arkivändamål av allmänt intresse eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats längre än . I paragrafen, som behandlas i avsnitt 6.7.4, föreskrivs i första stycket undantag från informationsskyldigheten i 2 och 3 §§ för person- uppgifter i viss typ av text. Undantaget gäller dock enligt andra stycket inte i vissa fall. Den personuppgiftsansvariges skyldighet att lämna personrelate- rad information enligt 2 och 3 §§ gäller enligt första stycket inte för personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller text som utgör minnesanteckningar eller liknande. Med löpande text avses information som inte har struk- turerats så att sökning av personuppgifter underlättas. Bild- och ljudupptagningar omfattas inte av undantaget eftersom det bara gäller text. Med text som inte fått sin slutliga utformning avses koncept eller utkast till protokoll, skrivelser, beslut eller liknande. Löpande text som är avsedd att ändras eller kompletteras och därför aldrig får någon slutlig utformning omfattas inte. Det sist- nämnda kan t.ex. vara diarier, journaler, register eller förteckningar som förs löpande. Med minnesanteckning avses anteckningar som utgör hjälpmedel för handläggningen, t.ex. promemorior och andra anteckningar eller upptagningar som har skapats bara för att för- bereda ett ärende för avgörande och som inte har tillfört ärendet något i sak. Av andra stycket framgår att undantaget från informationsskyl- digheten inte gäller under vissa förhållanden. Sökanden har då rätt att få del av personuppgifter även i ofärdig löpande text eller som utgör minnesanteckningar och liknande. Undantaget gäller inte om personuppgifterna har lämnats ut till tredje part. Tredje part definie- ras i 1 kap. 8 §. Det är den version av uppgifterna i t.ex. utkastet som lämnades till tredje part som informationsskyldigheten omfattar, även om utkastet därefter har ändrats. Vidare gäller inte undantaget om personuppgifterna behandlas enbart för vetenskapliga, statistiska eller historiska ändamål eller arkivändamål av allmänt intresse. Om ett ärende har avslutats och utkastet eller minnesanteckningen har arkiverats eller om hand- lingarna endast används vid statistikproduktion eller forskning ska alltså information om behandlingen av personuppgifterna lämnas ut. Undantaget gäller inte heller för löpande text som inte fått sin slut- liga utformning, om personuppgifterna har behandlats . Det är tidpunkten för begäran som är avgörande för bedöm- ningen av om något av undantagen gäller. Både ettårsfristen och frågan om uppgifterna har lämnats ut till tredje part eller behandlas för vetenskapliga, statistiska eller historiska ändamål eller arkivända- mål av allmänt intresse ska bedömas i förhållande till när begäran om information gjordes. Rätten till rättelse, radering och begränsning av behandlingen Försvarsmakten ska på begäran av den som personuppgiften rör rätta, radera eller begränsa sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. Försvarsmakten ska också underrätta tredje part till vilken upp- gifterna har lämnats ut om åtgärden, om den som personuppgiften rör begär det eller om en mera betydande skada eller olägenhet för denne skulle kunna undvikas genom en underrättelse. Någon underrättelse behöver dock inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Paragrafen reglerar enskildas rätt att begära rättelse, radering eller begränsning av personuppgifter som inte har behandlats i enlighet med denna lag. Paragrafen behandlas i avsnitt 6.7.5. Försvarsmakten ska enligt första stycket på begäran av den som personuppgiften rör rätta, radera eller begränsa sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. Begäran kan framställas formlöst. Den personuppgiftsansvarige är såsom framgår av paragrafens andra stycke skyldig att underrätta tredje part om en korrigering, om den uppgiften rör begär det eller det kan antas att en underrättelse skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. Gäller det däremot en mera harmlös uppgift bör det som regel krävas någon särskild omständighet för att man ska kunna anta att en underrättelse skulle kunna undvika sådan skada eller olägenhet som avses. Det måste vidare kunna antas att underrät- telsen medför att skadan eller olägenheten kan undvikas. Detta är inte fallet när det är känt att aktuella tredje män redan har korrigerat uppgiften. Enligt tredje stycket behöver inte någon underrättelse lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Vad som gäller vid sekretess framgår av 4 §. Vad som är att betrakta som en oproportionerligt stor arbetsinsats får bedömas från fall till fall och vid eventuell granskning eller överprövning. Beslut i fråga om rättelse eller radering av personuppgifter eller begränsning av behandlingen får enligt 7 kap. 2 § överklagas. Information enligt 1 och 2 §§ ska lämnas utan avgift. Information och uppgifter enligt 3 § ska lämnas utan avgift en gång per kalenderår. Om någon begär information och uppgifter enligt 3 § oftare än en gång per kalenderår, får Försvarsmakten avslå begäran. Paragrafen behandlas i avsnitt 6.7.6. Enligt första stycket ska information enligt 1 och 2 §§ lämnas utan att myndigheten har rätt att ta ut någon avgift. Försvarsmakten är även enligt 3 § skyldig att till var och som ansöker om det, en gång per kalenderår gratis lämna besked om huruvida personuppgifter som rör den sökande behandlas eller inte. Enligt andra stycket i förevarande paragraf anges att rätten gäller en begäran per kalenderår och att Försvarsmakten har rätt att avslå ytterligare begäran inom samma kalenderår. Försvarsmaktens pröv- ning i en sådan situation begränsas till att kontrollera huruvida per- sonen har begärt uppgifter tidigare och att i sådant fall meddela ett avslagsbeslut. Den myndighet som regeringen bestämmer ska utöva allmän tillsyn över Försvarsmaktens behandling av personuppgifter enligt denna lag. ska ge råd och stöd till Försvarsmakten om myndighetens skyldigheter enligt lag eller annan författning eller när det i övrigt är påkallat. I paragrafen, som behandlas i avsnitt 6.8.1, anges vilka tillsynsupp- gifter som tillsynsmyndigheten har. Enligt första stycket ska tillsynsmyndigheten utöva allmän tillsyn över Försvarsmaktens behandling av personuppgifter enligt denna lag. avgör om och i vilken utsträckning tillsyn ska utövas och hur den ska genomföras. Myndigheten ska agera helt oberoende vid denna bedömning. Det innebär att ingen kan kräva att myndigheten ska utöva tillsyn. Det finns inte heller några formella krav på hur tillsynen ska utövas, med undantag från vissa bestämmelser i denna lag och i föreskrifter som beslutas i anslutning till den. Enligt andra stycket ska tillsynsmyndigheten ge råd och stöd till Försvarsmakten. Med råd avses både muntliga och skriftliga råd. Det kan vara fråga om allmänna råd eller rådgivning i ett enskilt fall. Myndigheten ska ge råd och stöd bara när den anser att det är påkallat. Rådgivningen och stödet ska avse personuppgiftsansvarigas och per- sonuppgiftsbiträdens skyldigheter. Paragrafen ger således ingen rätt för personuppgiftsansvariga eller personuppgiftsbiträden att avkräva tillsynsmyndigheten råd i en konkret fråga. har rätt att av Försvarsmakten eller ett person- uppgiftsbiträde på begäran få 1. tillgång till personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av person- uppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behand- ling av personuppgifter, och 4.det biträde och annan information som behövs för tillsynen. I paragrafen, som behandlas i avsnitt 6.8.1, regleras tillsynsmyndig- hetens undersökningsbefogenheter. Enligt punkten 1 har tillsynsmyndigheten rätt att för sin tillsyn från personuppgiftsansvariga och personuppgiftsbiträden få tillgång till alla personuppgifter som behandlas. Det innebär att Försvars- makten eller personuppgiftsbiträdet ska lämna de begärda upp- gifterna även om det kräver viss efterforskning. Att tillsynsmyndig- heten har rätt få del av annan information framgår av punkterna 2 och 4 och rätten att få hjälp med de sökningar i behandlingssystem som myndigheten begär regleras i punkten 4. Punkten 2 ger tillsynsmyndigheten rätt till upplysningar och dokumentation som rör behandling av personuppgifter och vilka åtgärder som har vidtagits för att säkerställa skyddet för personupp- gifterna och registrerades personliga integritet. Dokumentationen kan avse exempelvis de register eller loggar som Försvarsmakten och personuppgiftsbiträden ska föra. Det kan också vara fråga om upp- lysningar om och dokumentation av vilka organisatoriska och tek- niska åtgärder som vidtogs i samband med att en viss typ av behand- ling påbörjades. Det kan också röra sig om åtgärder för att garantera säkerheten, begränsa den interna tillgången till uppgifter eller för- hindra otillåten behandling och åtgärder för intern kontroll. Infor- mationen kan avse exempelvis ändamålen med behandlingen eller loggar och förteckningar över pågående behandlingar I punkten 3 regleras tillsynsmyndighetens rätt att få tillträde till lokaler som den personuppgiftsansvarige eller personuppgiftsbiträdet disponerar och tillgång till utrustning och andra medel som används för behandlingen. Rätten till tillträde ger inte myndigheten rätt att bereda sig tillträde med tvång. Om Försvarsmakten eller personupp- giftsbiträdet inte samarbetar kan tillsynsmyndigheten utnyttja sina korrigerande befogenheter enligt 4 §. har också rätt att få tillgång till den utrustning som tillsynsobjektet disponerar för att, med hjälp av tillsynsobjektets personal, kunna göra nödvän- diga körningar och kontroller. Punkten ger således inte tillsyns- myndigheten någon rätt att fritt använda tillsynsobjektets utrust- ning och datasystem. Punkten 4 klargör att tillsynsmyndigheten har rätt att få hjälp med de sökningar och andra åtgärder som den begär och annan nödvändig hjälp för att genomföra tillsynen. Paragrafen ger även tillsynsmyndigheten rätt till information som inte har direkt anknyt- ning till behandlingen av personuppgifter men som myndigheten behöver för tillsynen. Informationen kan avse t.ex. verksamhets- planer som beskriver den verksamhet där behandlingen utförs. Om tillsynsmyndigheten bedömer att det finns risk för att person- uppgifter kan komma att behandlas i strid med lag eller annan författ- ning, ska myndigheten genom råd, rekommendationer eller påpekan- den försöka förmå Försvarsmakten eller personuppgiftsbiträdet att vidta åtgärder för att minska den risken. får utfärda en skriftlig varning för att planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riskerar att stå i strid med lag eller annan författning. Paragrafen reglerar tillsynsmyndighetens befogenheter i det före- byggande arbetet. De åtgärder som regleras i paragrafen är inte av tvingande karaktär. De syftar till att förebygga att framtida behand- ling av personuppgifter står i strid med de bestämmelser som gäller för behandlingen. Paragrafen behandlas i avsnitt 6.8.1. Av första stycket framgår att tillsynsmyndigheten, om det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska försöka förmå Försvarsmakten eller personuppgiftsbiträdet att minska risken genom råd, rekommenda- tioner och påpekanden. Rådgivning kan avse såväl formella som infor- mella samråd. Av 4 § första stycket 1 framgår att de befogenheter som räknas upp i detta stycke även i vissa fall får användas i korrigerande syfte. Enligt andra stycket får tillsynsmyndigheten skriftligen varna för att viss behandling riskerar att strida mot meddelade föreskrifter. En varning är en mer ingripande åtgärd än åtgärderna i första stycket. Varning kan användas för att visa hur allvarligt tillsynsmyndigheten ser på den planerade behandlingen. behöver inte ha uttömt andra förebyggande åtgärder innan den utfärdar en varning. En varning ska vara skriftlig. Av den ska framgå varför till- synsmyndigheten bedömt att behandlingen inte kommer att vara författningsenlig. Åtgärden är inte tvingande, men den som får en varning förväntas rätta sig efter den. Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning, eller att Försvarsmakten eller ett personuppgiftsbiträde annars inte fullgör sina skyldigheter, får tillsyns- myndigheten 1.genom sådana åtgärder som anges i 3 § första stycket försöka förmå Försvarsmakten eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldig- heter, eller 2.förelägga Försvarsmakten eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att fullgöra andra skyldigheter. Om ett föreläggande utfärdas ska det av föreläggandet framgå när åtgärderna senast ska vara genomföras och, om det är lämpligt, vilka åtgärder som ska vidtas. I paragrafen regleras tillsynsmyndighetens korrigerande befogen- heter. Paragrafen, behandlas i avsnitt 6.8.1. har möjlighet att successivt använda olika medel och därigenom stegra påtryckningarna på den som inte själv- mant rättar sig. De korrigerande befogenheterna får användas om tillsynsmyn- digheten konstaterar att Försvarsmakten eller ett personuppgifts- biträde behandlar personuppgifter i strid med lag eller annan författ- ning eller annars inte fullgör sina skyldigheter. avses är framför allt skyldigheterna i 4 kap. Försvarsmakten har emellertid också skyldigheter enligt 2 och 5 kap. och skyldighet att bistå tillsynsmyndigheten enligt 2 §. Även underlåtenhet att fullgöra sådana skyldigheter med anledning av denna lag omfattas. Enligt första stycket punkten 1 får tillsynsmyndigheten använda de förebyggande befogenheter som regleras i 3 § första stycket för att försöka förmå den Försvarsmakten eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter. Enligt punkten 2 får tillsynsmyndigheten förelägga Försvars- makten eller personuppgiftsbiträdet att vidta åtgärder för att viss behandling av personuppgifter ska bli författningsenlig eller för att de ska uppfylla andra skyldigheter. I andra stycket föreskrivs att det av ett föreläggande alltid ska framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas. Om föreläggandet avser rättelse, radering eller begränsning av behandlingen bör det framgå av före- läggandet vad som ska göras. får emellertid över- låta åt Försvarsmakten eller personuppgiftsbiträdet att avgöra vilka åtgärder som ska vidtas för att behandlingen ska bli författningsenlig eller hur andra skyldigheter ska fullgöras. Den personuppgiftsansvarige ska ersätta den som personuppgiften rör för skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med denna lag, eller föreskrifter som har meddelats i anslutning till den. Ersättningsskyldigheten kan i den utsträckning det är skäligt, jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne. I paragrafen regleras den registrerades rätt till skadestånd för behand- ling av personuppgifter i strid med regelverket. Paragrafen behandlas i avsnitt 6.9.1. Rätt till skadestånd kan uppkomma på grund av behandling i strid med bestämmelser i denna lag eller föreskrifter som meddelats i anslutning till lagen. För att den personuppgiftsansvarige ska bli ersättningsskyldig måste den som personuppgifterna rör bevisa att behandling av dennes personuppgifter stått i strid med reglerna om personuppgiftsbehandling och att den har skadat eller kränkt honom eller henne. Den registrerades rätt till skadestånd omfattar ersättning för kränkning av den personliga integriteten och för annan skada. Med skada avses personskada, sakskada eller ren förmögenhetsskada. Det är bara sådan kränkning eller skada som behandlingen av personuppgifter har vållat som ersätts. Ersättningen för kränkning får uppskattas efter skälighet mot bak- grund av samtliga omständigheter i det enskilda fallet. Sådana fak- torer som att det funnits risk för otillbörlig spridning av känsliga eller felaktiga personuppgifter eller att den som uppgifterna rör genom behandlingen av uppgifterna drabbats av beslut eller åtgärder som kunnat få negativa följder hör till det som bör beaktas. Försvarsmaktens beslut om information som ska lämnas enligt 5 kap. 2 och 3 §§ och om rättelse och underrättelse till tredje part enligt 5 kap. 6 § får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. I paragrafen, som behandlas i avsnitt 6.9.2, anges i vilken utsträck- ning beslut som Försvarsmakten har fattat i egenskap av person- uppgiftsansvarig får överklagas. Vilka typer av beslut som får överklagas räknas upp i första stycket. Uppräkningen är uttömmande. Besluten ska överklagas till allmän förvaltningsdomstol.