sou · H6B363 · 2018-08-09 00:00:00 — sons fysiska, fysiologiska eller som tagits fram genom särskild teknisk behandling och som möj- liggör eller bekräftar unik identi- fiering av personen i fråga. En fysisk person som utses av att självständigt se till att person- enligt och på ett korrekt sätt. Personuppgifter som rör en per- sons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår av eller ett prov från personen i Den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av för- fattning utövar tillsyn, kontroll Varje upplysning om en identi- fierad eller identifierbar fysisk person som är i livet. Den som ensam eller tillsam- mans med andra bestämmer ända- målen med och medlen för be- handlingen av personuppgifter. Den som, med stöd av ett skrift- ligt avtal eller annan skriftlig överenskommelse, behandlar per- sonuppgifter för den personupp- Någon annan än den som per- sonuppgiften rör, personupp- det, personuppgiftsbiträdet och sådana personer som under den svar har rätt att behandla person- med hjälp av automatiserad be- handling är gemensamt tillgäng- 2 kap. Behandling av personuppgifter 1 § Försvarsmakten får behandla personuppgifter om det är nödvän- digt för att planera, förbereda och genomföra verksamhet som rör 1.Sveriges försvar och säkerhet, eller 2.internationellt försvars- och säkerhetssamarbete. Försvarsmaktens uppgift att bedriva sådan verksamhet som anges iförsta stycket ska följa av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. 2 § Personuppgifter får behandlas i Försvarsmaktens försvarsunder- rättelseverksamhet om det är nödvändigt för att bedriva den verksam- het som anges i lagen (2000:130) om försvarsunderrättelseverksamhet. 3 § De personuppgifter som Försvarsmakten har fått tillgång till i myndighetens försvarsunderrättelseverksamhet får fortsatt behand- las i den verksamheten, om det behövs för att fullgöra den. Vad som sägs i första stycket gäller endast om inget annat följer av denna lag eller förordning som regeringen har meddelat i anslut- ning till lagen. Särskilt om militär säkerhetstjänst 4 § Personuppgifter får behandlas i Försvarsmaktens militära säker- hetstjänst för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhets- intressen, om det är nödvändigt för att 1.klarlägga verksamhet som innefattar hot mot säker- het, eller 2.vidta åtgärder som hindrar eller försvårar säkerhetshotande verksamhet. 5 § Uppgifter om en person får behandlas för de ändamål som anges i 4 § endast om 1.uppgifterna är nödvändiga för att kartlägga verksamhet som innefattar brott som kan hota säkerhet eller terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott eller motsvar- ande brottslighet enligt tidigare lagstiftning, 2.uppgifterna är nödvändiga för att kartlägga underrättelseverk- samhet riktad mot Försvarsmakten och dess säkerhetsintressen, 3.uppgifterna är nödvändiga för att kartlägga annan säkerhets- hotande verksamhet än som avses i 1 och som innefattar brott eller åsidosättande av åligganden i anställning hos Försvarsmakten, och det finns särskilda skäl till att uppgiften ska behandlas, 4.personen har lämnat uppgifter om säkerhetshotande verksam- het och personuppgifterna är nödvändiga för att bedöma personens trovärdighet, eller 5.uppgifterna avser information som har framkommit i samband med säkerhetsprövning enligt säkerhetsskyddslagen (1996:627) eller iannat fall är nödvändiga för att utföra en uppgift som rör säker- hetsskydd. 6 § Personuppgifter som behandlas enligt 5 § ska förses med upp- lysning om på vilken av de angivna grunderna uppgiften behandlas. Om behandlingen av en personuppgift föranleds av något annat än antagande om att personen har utövat eller kommer att utöva brotts- lig verksamhet ska det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säkerhetshotande verksamhet ska förses med en särskild upplysning om detta, om det inte på annat sätt klart framgår att sådant antagande inte finns. Personuppgifter som behandlas enligt 5 § första stycket 1–3 ska i förekommande fall förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. 7 § Trots vad som sägs i 5 och 6 §§ får personuppgifter som ingår i eller har uppkommit i samband med användning av totalförsvarets telekommunikations- och informationssystem behandlas för att för- hindra obehörig insyn i och påverkan av dessa system. Det gäller även sådana uppgifter som avses i 15, 16, 18 och 19 §§. Behandling som särskilt syftar till att identifiera en person får dock endast utföras om bestämmelserna i 5 § 1, 2 eller 3 tillämpas. 8 § Personuppgifter som utgör allmänt tillgänglig information får behandlas av Försvarsmakten om det är nödvändigt för de ändamål som anges i 1, 2 och 4 §§. 9 § Personuppgifter får behandlas av Försvarsmakten om det är nöd- vändigt för diarieföring, arkivering, handläggning av ett ärende eller för att utföra annan liknande uppgift som åligger myndigheten. 10 § Försvarsmakten får behandla personuppgifter för vetenskap- liga, statistiska eller historiska ändamål inom denna lags tillämp- ningsområde. 11 § Försvarsmakten får behandla personuppgifter för att kunna tillgodose enskildas behov av information enligt 5 kap. och kunna lämna information vid tillsyn eller kontroll. 12 § Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oför- enligt med det ändamål för vilket personuppgifterna ursprungligen behandlades. Författningsenlig och korrekt behandling 13 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. 14 § Personuppgifter som behandlas ska vara adekvata och rele- vanta i förhållande till ändamålen med behandlingen och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 15 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. När uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt för syftet med behandlingen. 16 § Biometriska uppgifter får behandlas endast om det är absolut nödvändigt för ändamålet för behandlingen. Genetiska uppgifter får inte behandlas. 17 § Vid sökning får personuppgifter som avslöjar ras, etniskt ur- sprung, politiska åsikter, religiös eller filosofisk övertygelse eller med- lemskap i fackförening eller som rör hälsa, sexualliv eller sexuell lägg- ning användas som sökbegrepp om det är absolut nödvändigt för syftet med behandlingen. Detsamma gäller biometriska uppgifter. 18 § Uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till 1.ändamålet med behandlingen, 2.vikten av en säker identifiering, eller 3.något annat beaktansvärt skäl. Om den som uppgifterna rör har offentliggjort uppgifterna eller lämnat sitt samtycke 19 § Utan hinder av vad som föreskrivs i 15, 16 och 18 §§ får per- sonuppgifter behandlas, om den som personuppgifterna rör har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort uppgifterna. Första stycket gäller inte genetiska uppgifter. Behandling av personuppgifter i vissa fall 20 § Hantering av information som innebär behandling av person- uppgifter ska inte anses oförenlig med bestämmelserna i 1, 2, 4, 5, 7, 8 och 12–16 §§ i det skede av behandlingen då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller. Längsta tid som personuppgifter får behandlas 21 § Personuppgifter som behandlas automatiserat får inte behand- las än vad som behövs för något eller några av de ändamål som anges i 1–11 §§. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller i ett en- skilt fall besluta att personuppgifter får behandlas under endast eller bevaras för historiska, statistiska eller vetenskapliga ändamål. 22 § Personuppgifter som behandlas med stöd av denna lag får föras över till andra länder eller internationella organisationer endast om sekretess inte hindrar det och det är nödvändigt för att Försvars- makten ska kunna fullgöra sina uppgifter inom ramen för inter- nationellt försvars- och säkerhetssamarbete. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller i enskilt fall besluta att överföring får ske även i andra fall om det är nödvändigt för verksamheten vid Försvarsmakten. 23 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 2–4 §§. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av möjligheten att lämna ut personupp- gifter elektroniskt enligt första stycket. 3 kap. Gemensamt tillgängliga uppgifter Personuppgifter som får göras gemensamt tillgängliga 1 § Personuppgifter får göras gemensamt tillgängliga om det behövs för något av de ändamål som anges i 2 kap. Personuppgifter som endast ett fåtal personer har tillgång till anses inte som gemensamt tillgängliga. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller besluta i enskilda fall vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. 2 § Trots sekretess enligt 38 kap. 4 § offentlighets- och sekretess- lagen (2009:400) får Säkerhetspolisen och medges direktåtkomst till personuppgifter som utgör bearbetnings- underlag och analysresultat inom försvarsunderrättelseverksamheten och som finns i uppgiftssamlingar. 3 § Om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhetssam- arbete får, i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutat om det, en utländsk under- rättelse- eller säkerhetstjänst medges direktåtkomst till personuppgif- ter som behandlas med stöd av 2 kap. 2 § och som finns i uppgifts- samlingar. Direktåtkomst i andra fall 4 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- dela föreskrifter eller särskilt beslut om vilka som i andra fall än de som anges i 2 § och 3 § får ha direktåtkomst till gemensamt tillgäng- liga uppgifter. 5 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter eller beslut i enskilda fall om omfatt- ningen av direktåtkomsten, och 2.föreskrifter om behörighet och säkerhet vid sådan åtkomst. 4 kap. Skyldighet som personuppgiftsansvarig Åtgärder för att säkerställa författningsenlig behandling 1 § Försvarsmakten ska, genom lämpliga tekniska och organisato- riska åtgärder, säkerställa att behandlingen av personuppgifter är för- fattningsenlig och skydda rättigheterna för dem som uppgifterna rör. 2 § Försvarsmakten ska säkerställa att det förs loggar över person- uppgiftsbehandling av gemensamt tillgängliga uppgifter. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om loggar. 3 § Tillgången till personuppgifter ska alltid begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. 4 § Försvarsmakten ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling eller förstöring och mot för- lust eller annan oavsiktlig skada. 5 § Försvarsmakten ska inom myndigheten utse ett eller flera data- skyddsombud och anmäla till tillsynsmyndigheten när dataskydds- ombud utses och entledigas. 6 § Dataskyddsombudet ska 1.självständigt kontrollera att Försvarsmakten behandlar person- uppgifter författningsenligt och på ett korrekt sätt och i övrigt full- gör sina skyldigheter, 2.informera och ge råd till Försvarsmakten och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, 3.samråda med tillsynsmyndigheten, och 4.föra en förteckning över de kategorier av behandlingar som Försvarsmakten ansvarar för och som är helt eller delvis automati- serade. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vad en förteckning som avses i första stycket 4 ska innehålla. Om Försvarsmakten bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och rättelse inte vidtas, ska data- skyddsombudet anmäla det till tillsynsmyndigheten. 7 § Försvarsmakten får, om det är lämpligt, anlita personuppgifts- biträden för behandling av personuppgifter på Försvarsmaktens vägnar. Innan ett personuppgiftsbiträde anlitas, ska Försvarsmakten försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organi- satoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda rättigheterna för den som uppgifterna rör. 8 § Personuppgiftsbiträdets behandling av personuppgifter ska reg- leras i ett skriftligt avtal eller annan skriftlig överenskommelse. 9 § Ett personuppgiftsbiträde får inte anlita ett annat personupp- giftsbiträde utan skriftligt tillstånd av Försvarsmakten. 10 § Ett personuppgiftsbiträde eller den eller de personer som arbetar under biträdets eller Försvarsmaktens ledning ska behandla person- uppgifter i enlighet med instruktioner från Försvarsmakten. Om ett personuppgiftsbiträde, i strid med Försvarsmaktens in- struktioner, bestämmer ändamålen med och medlen för behandlingen, ska biträdet anses vara personuppgiftsansvarig enligt denna lag för den behandlingen. 11 § Det som sägs om Försvarsmaktens skyldigheter i 2–4 §§ gäller även för personuppgiftsbiträden som Försvarsmakten anlitar. 5 kap. Enskildas rättigheter 1 § Försvarsmakten ska göra följande allmänna information till- gänglig. 1.Myndighetens identitet och kontaktuppgifter. 2.Uppgifter om dataskyddsombudet. 3.Ändamålen med behandlingen. 4.Rätten enligt 3 § att begära att få information om behandling av personuppgifter och att få del av dem. 5.Rätten att begära rättelse, radering eller begränsning av behand- lingen enligt 6 §. Information som ska lämnas om uppgifterna samlas in från personen själv 2 § Om uppgifter om en person samlas in från personen själv, ska Försvarsmakten när personuppgifterna erhålls, självmant lämna föl- jande information till den som uppgifterna rör: 1.uppgift om att det är Försvarsmakten som är personuppgifts- ansvarig för behandlingen, 2.uppgift om ändamålen med behandlingen, och 3.all övrig information som behövs för att den som uppgifterna rör ska kunna ta till vara sina rättigheter i samband med behandlingen, så- som information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information som ska lämnas efter begäran 3 § Försvarsmakten är skyldig att en gång per kalenderår till den som begär det lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Behandlas sådana uppgifter ska sökan- den få del av dem och få följande skriftliga information. 1.Vilka personuppgifter om den sökande som behandlas. 2.Varifrån personuppgifterna kommer. 3.Den rättsliga grunden för behandlingen. 4.Ändamålen med behandlingen. 5.Mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer. 6.Hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det. 7.Rätten att begära rättelse, radering eller begränsning av be- handlingen enligt 6 §. Utlämnande enligt första stycket behöver inte omfatta person- uppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. En ansökan enligt första stycket ska göras skriftligen hos För- svarsmakten och vara undertecknad av den sökande själv. Informa- tion enligt första stycket ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Begränsning av rätten till information 4 § Informationsskyldigheten i 2 och 3 §§ gäller inte i den utsträck- ning sekretess hindrar att uppgifterna lämnas ut. Om förutsättningarna i första stycket är uppfyllda, är Försvars- makten inte skyldig att lämna ut skälen för beslut enligt första stycket eller beslut i fråga om rättelse, radering eller begränsning av behand- lingen enligt 6 §. 5 § Informationsskyldigheten i 2 och 3 §§ gäller inte personupp- gifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna har läm- nats ut till tredje part, behandlas enbart för vetenskapliga, statistiska eller historiska ändamål eller arkivändamål av allmänt intresse eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats längre än . Rätten till rättelse, radering och begränsning av behandlingen 6 § Försvarsmakten ska på begäran av den som personuppgiften rör rätta, radera eller begränsa sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. Försvarsmakten ska också underrätta tredje part till vilken upp- gifterna har lämnats ut om åtgärden, om den som personuppgiften rör begär det eller om en mera betydande skada eller olägenhet för denne skulle kunna undvikas genom en underrättelse. Någon underrättelse behöver dock inte lämnas, om sekretess hind- rar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 7 § Information enligt 1 och 2 §§ ska lämnas utan avgift. Information och uppgifter enligt 3 § ska lämnas utan avgift en gång per kalenderår. Om någon begär information och uppgifter en- ligt 3 § oftare än en gång per kalenderår, får Försvarsmakten avslå begäran. 1 § Den myndighet som regeringen bestämmer ska utöva allmän tillsyn över Försvarsmaktens behandling av personuppgifter enligt denna lag. ska ge råd och stöd till Försvarsmakten om myndighetens skyldigheter enligt lag eller annan författning eller när det i övrigt är påkallat. 2 § har rätt att av Försvarsmakten eller ett personuppgiftsbiträde på begäran få 1.tillgång till personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av per- sonuppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4.det biträde och annan information som behövs för tillsynen. 3 § Om tillsynsmyndigheten bedömer att det finns risk för att per- sonuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå Försvarsmakten eller personuppgifts- biträdet att vidta åtgärder för att minska den risken. får utfärda en skriftlig varning för att plane- rad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riske- rar att stå i strid med lag eller annan författning. 4 § Om tillsynsmyndigheten konstaterar att personuppgifter be- handlas i strid med lag eller annan författning, eller att Försvars- makten eller ett personuppgiftsbiträde annars inte fullgör sina skyl- digheter, får tillsynsmyndigheten 1.genom sådana åtgärder som anges i 3 § första stycket försöka förmå Försvarsmakten eller personuppgiftsbiträdet att vidta åtgär- der för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter, eller 2.förelägga Försvarsmakten eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att full- göra andra skyldigheter. Om ett föreläggande utfärdas ska det av föreläggandet framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas. 1 § Den personuppgiftsansvarige ska ersätta den som personupp- giften rör för skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med denna lag, eller föreskrifter som har meddelats i anslutning till den. Ersättningsskyldigheten kan i den utsträckning det är skäligt, jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne. 2 § Försvarsmaktens beslut om information som ska lämnas enligt 5 kap. 2 och 3 §§ och om rättelse och underrättelse till tredje part enligt 5 kap. 6 § får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. 3 § Av 6 kap. 8 § offentlighets- och sekretesslagen (2009:400) följer att beslut om sekretess överklagas till kammarrätt. 1.Denna lag träder i kraft . 2.Bestämmelsen i 4 kap. 2 § om loggning behöver inte tillämpas på automatiserade system för behandling av personuppgifter som inrättats före ikraftträdandet förrän . 3.Ärenden om tillsyn eller granskning av Försvarsmaktens person- uppgiftsbehandling som Datainspektionen eller Statens inspektion för försvarsunderrättelseverksamheten inte har avgjort före ikraftträdan- det handläggs enligt äldre föreskrifter. 1.2Förslag till lag (2019:000) om behandling av personuppgifter vid Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § Syftet med denna lag är att säkerställa att kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. 2 § Denna lag gäller vid behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet samt informationssäkerhetsverksamhet. 3 § Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i eller är av- sedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 4 § Vid behandling av personuppgifter enligt denna lag gäller inte lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning. Förhållandet till annan reglering 5 § Bestämmelserna i denna lag ska inte tillämpas i den utsträck- ning det skulle inskränka skyldigheten enligt 2 kap. tryckfrihetsför- ordningen att lämna ut personuppgifter. 6 § är personuppgiftsansvarig för den be- handling av personuppgifter som myndigheten utför. Personuppgiftsansvaret omfattar all behandling av personupp- gifter som utförs under myndighetens ledning eller på dess vägnar. 7 § får vara gemensamt personuppgifts- ansvarig med annan endast i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. 8 § I denna lag används följande uttryck med nedan angiven be- tydelse. En åtgärd eller kombination av åtgärder som vidtas i fråga om ningar av personuppgifter, oav- sett om det görs automatiserat eller inte, t.ex. insamling, regi- rering, lagring, bearbetning eller användning, utlämnande, sprid- ning eller tillhandahållande på annat sätt, justering, sammanför- ing, begränsning, Personuppgifter som rör en per-