prop · H70351 · 2019-12-05 00:00:00 — En kommun, region eller statlig myndighet som behandlar personuppgifter med stöd av denna lag eller föreskrifter som meddelats i anslutning till lagen är personuppgiftsansvarig för den behandlingen. I paragrafen regleras vem som ska vara personuppgiftsansvarig för behandlingen av personuppgifter. Övervägandena finns i avsnitt 8. Av definitionen i artikel 4.7 i dataskyddsförordningen framgår att personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. I första stycket anges att Totalförsvarets rekryteringsmyndighet är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. I andra stycket anges att en kommun, region eller statlig myndighet som behandlar personuppgifter med stöd av denna lag eller föreskrifter som meddelats i anslutning till lagen är personuppgiftsansvarig för den behandlingen. Paragrafen klargör för de registrerade vem som ska hållas ansvarig för behandlingen av personuppgifter enligt lagen. 6 § Personuppgifter i Totalförsvarets rekryteringsmyndighets verksamhet får behandlas om det är nödvändigt för att 1.ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret, 2.redovisa personal med uppgifter inom totalförsvaret, 3.säkerställa att den registrerade fortlöpande får ändamålsenlig utbildning och en lämplig placering inom totalförsvaret, 4.se till att den registrerade fullgör sina skyldigheter i fråga om totalförsvarsplikten, 5.tillgodose den registrerades rättigheter och trygghet i egenskap av totalförsvarspliktig, och 6.fullgöra Totalförsvarets rekryteringsmyndighets serviceskyldighet gentemot bemanningsansvariga organ inom totalförsvaret. Paragrafen reglerar de primära ändamålen, dvs. de ändamål för vilka personuppgifter får både samlas in och behandlas med stöd av lagen. De sekundära ändamålen som regleras i 7 § medger endast behandling av personuppgifter som redan har samlats in. De uppräknade ändamålen i punkterna 1–6 är uttömmande och motsvarar de centrala delarna i Totalförsvarets rekryteringsmyndighets verk- Övervägandena och en närmare beskrivning av ändamålen finns i Kravet på att behandlingen ska vara nödvändig innebär inte att be- handlingen ska vara oundgänglig. Behandlingen kan anses nödvändig och därmed tillåten om den leder till effektivitetsvinster. skulle kunna ske manuellt, utan tekniska hjälpmedel, hindrar normalt inte att en automatiserad behandling kan anses nödvändig (prop. s. 189). 7 § Personuppgifter som behandlas enligt 6 § får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller för- Personuppgifter som behandlas enligt 6 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Paragrafen reglerar för vilka sekundära ändamål som personuppgifter får behandlas i Totalförsvarets rekryteringsmyndighets verksamhet. ling enligt denna bestämmelse förutsätter att uppgifterna har samlats in för något primärt ändamål som följer av 6 §. Bestämmelsen utgör således inte något stöd för att samla in personuppgifter enbart i syfte att behandla dem enligt denna paragraf. Övervägandena finns i avsnitt 9.2.2. Av första stycket framgår att personuppgifter som behandlas enligt 6 § också får behandlas för att fullgöra uppgiftslämnande som sker i överens- stämmelse med lag eller förordning. Uppgifter kan lämnas ut av olika I vissa fall lämnas uppgifter ut på grund av en skyldighet att lämna uppgifter till vissa myndigheter enligt olika författningar. fall är myndigheterna enligt lag eller förordning skyldiga att på begäran lämna ut uppgifter till andra. Vidare finns det ett antal författningar med bestämmelser som medger att uppgifter får lämnas ut utan att det finns någon uttrycklig skyldighet att göra det. Det kan exempelvis vara fråga om en åtgärd som vidtas för att fullgöra serviceskyldigheten gentemot en- skilda enligt 6 § förvaltningslagen (2017:900). Ett annat exempel är 10 kap. 27 § offentlighets- och sekretesslagen (2009:400) som innebär att en sekretessbelagd uppgift får lämnas till en annan myndighet, om det är uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda. I andra stycket anges att personuppgifter som behandlas enligt 6 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Enligt den s.k. finalitetsprincipen får uppgifterna inte senare behandlas för något annat ändamål som är oförenligt med Finalitetsprincipen kommer till uttryck i artikel 5.1 b i dataskyddsförordningen. Av artikeln framgår att ytterligare behand- ling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen inte ska anses vara oförenlig med de ursprungliga Genom bestämmelsen i andra stycket tydliggörs att insamlade personuppgifter får behandlas för ändamål som inte är oförenliga med Personuppgifter som samlats in för att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret får således även behandlas Prop. 2019/20:51 för t.ex. arkivändamål av allmänt intresse eller vetenskapliga forsknings- Behandling av känsliga personuppgifter 8 § Känsliga personuppgifter enligt artikel 9.1 i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning, får endast behandlas om det är absolut nödvändigt för de ändamål som anges i 6 och 7 §§. Känsliga personuppgifter får även behandlas om det är absolut nöd- vändigt vid en utredning om den totalförsvarspliktiges personliga för- hållanden som görs enligt 2 kap. 1 § lagen (1994:1809) om totalförsvars- plikt av någon annan statlig myndighet än Totalförsvarets rekryterings- myndighet, en kommun eller region. Paragrafen reglerar när känsliga personuppgifter får behandlas. känsliga personuppgifter avses samtliga kategorier av personuppgifter som anges i artikel 9.1 i dataskyddsförordningen och där benämns sär- skilda kategorier av personuppgifter. Övervägandena finns i avsnitt 10.1. Av första stycket följer att känsliga personuppgifter får behandlas för de ändamål som avses i 6 och 7 §§ om det är absolut nödvändigt. läggande bestämmelserna om när känsliga personuppgifter får behandlas regleras i artikel 9.2 i dataskyddsförordningen. personuppgifter är tillåten för samtliga primära ändamål i 6 § och sekundära ändamål i 7 § och för planering, uppföljning och utvärdering av Syftet med begränsningen att behandlingen ska vara absolut nödvändig är att markera att behandlingen av känsliga person- uppgifter bör ske med försiktighet och aldrig slentrianmässigt. innebär emellertid inte att känsliga personuppgifter endast får behandlas i Totalförsvarets rekryteringsmyndighets verksamhet kräver regelmässigt att vissa typer av känsliga personuppgifter kan behandlas, exempelvis uppgifter om hälsa. Genom kravet på absolut nödvändighet markeras dock att behandlingen ska ske med restriktivitet och att behovet av att behandla den känsliga personuppgiften ska prövas noga i det En sådan prövning ska inte bara göras när uppgiften samlas in eller behandlas utan även vid senare behandling av redan insamlade uppgifter. I andra stycket anges att motsvarande ska gälla vid utredning om den totalförsvarspliktiges personliga förhållanden som enligt 2 kap. 1 § lagen om totalförsvarsplikt utförs av annan statlig myndighet än Totalförsvarets rekryteringsmyndighet, en kommun eller region. I 4 kap. 5 § andra stycket förordningen om totalförsvarsplikt anges uttömmande vilka statliga myndigheter som har sådan rätt. Såväl Försvarsmakten som andra aktörer har i samband med annan utredning ett berättigat behov av att behandla Dessa aktörer ges därför vid sådan behandling en motsvarande rätt att behandla känsliga personuppgifter som den Totalförsvarets rekryteringsmyndighet har. 9 § Vid behandling som sker med stöd av 8 § är det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Det är också förbjudet att som sökbegrepp använda uppgifter om 1.hinder för mönstring, annan utredning, utbildning, krigsplacering eller annat ianspråktagande av den registrerade för totalförsvarets räkning, 2.boende- och familjeförhållanden samt försörjning, 3.resultat från begåvningstest eller anlagstest som utförs vid mönstring eller annan utredning, 5.lagöverträdelser, säkerhetsprövning enligt säkerhetsskyddslagen (2018:585) samt vilken säkerhetsklass prövningen avsett och resultatet av den. De uppgifter som anges i andra stycket 1–5 får användas som sökbegrepp när uppgifter lämnas ut för framställning av statistik eller för forskningsändamål. De uppgifter som anges i andra stycket 3 får även användas som sökbegrepp för att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret. Paragrafen innehåller ett förbud mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter och att använda andra integritetskänsliga uppgifter som sökbegrepp. Övervägandena finns i avsnitt 11. Enligt första stycket är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Det innebär bl.a. att uppgift om totalförsvarspliktigas fysiska och psykiska hälsa omfattas av förbudet. Sökförbudet införs för att tillgodose kraven på särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen enligt artikel i dataskyddsförordningen. Förbudet omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information så att känsliga personuppgifter avslöjas. Genom hänvisningen till 8 § tydliggörs att sökförbudet även gäller när någon annan än Totalförsvarets rekryteringsmyndighet behandlar känsliga personuppgifter med stöd av lagen. Enligt andra stycket är det också förbjudet att som sökbegrepp använda vissa andra typer av integritetskänsliga uppgifter än sådana som betecknas som känsliga personuppgifter. Förbudet gäller uppgifter om hinder för mönstring, annan utredning, utbildning, krigsplacering eller annat ianspråktagande av den registrerade för totalförsvarets räkning, boende- och familjeförhållanden samt försörjning, resultat från begåvningstest eller anlagstest som utförs vid mönstring eller annan utredning, medborgarskap, lagöverträdelser, säkerhetsprövning enligt säkerhetsskyddslagen samt vilken säkerhetsklass prövningen avsett och resultatet av denna. I tredje stycket anges undantag från sökförbudet i andra stycket. Av bestämmelsen följer att de uppgifter som anges i andra stycket 1–5 får användas som sökbegrepp när uppgifter lämnas ut för framställning av statistik eller för forskningsändamål. De uppgifter som anges i andra stycket 3 får även användas för att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av Prop. 2019/20:51 personal till totalförsvaret. Bestämmelserna i paragrafens andra och tredje stycke gäller även när någon annan än Totalförsvarets rekryteringsmyndighet behandlar personuppgifter med stöd av lagen. Detta följer av hänvisningen till 8 § i paragrafens första stycke. Rätten att göra invändningar 10 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen reglerar dataskyddsförordningens tillämplighet i fråga om rätten för enskilda att göra invändningar. Övervägandena finns i avsnitt 12. Bestämmelsen innebär att artikel 21.1 i dataskyddsförordningen om den registrerades rätt att göra invändningar mot behandling av personuppgifter inte gäller vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. 11 § Tillgången till personuppgifter vid Totalförsvarets rekryteringsmyndighet, en annan statlig myndighet, en kommun eller region ska begränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om hur tillgången till personuppgifter ska begränsas. Paragrafen reglerar den interna tillgången till personuppgifter för personal som arbetar vid Totalförsvarets rekryteringsmyndighet eller vid någon av de andra aktörer som behandlar personuppgifter med stöd av lagen. Övervägandena finns i avsnitt 13. I första stycket slås fast att tillgången till personuppgifter hos de aktörer som behandlar personuppgifter med stöd av lagen ska begränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. Be- stämmelsen har sin grund i att risken för integritetsintrång minskar om endast en begränsad krets av anställda har tillgång till uppgifterna. Det är de uppräknade aktörerna som avgör vilka uppgifter som respektive anställd behöver för att kunna fullgöra sina uppgifter. Dessa ansvarar också för att deras informationssystem utformas så att det är möjligt att på ett ändamålsenligt sätt begränsa tillgången till information, t.ex. genom krav på behörighet, utbildning och lämplighet. I andra stycket finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer har möjlighet att meddela ytterligare föreskrifter om hur tillgången till personuppgifter ska begränsas. 12 § Direktåtkomst till personuppgifter hos Totalförsvarets rekryteringsmyndighet får endast medges Försvarsmakten och den registrerade. Den registrerade får endast ha direktåtkomst till personuppgifter som rör honom eller henne. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om begränsningar av direktåtkomsten enligt första stycket och föreskrifter om behörighet och säkerhet vid sådan åtkomst. I paragrafen anges vilka aktörer som får medges direktåtkomst till Totalförsvarets rekryteringsmyndighets personuppgifter. Övervägandena finns i avsnitt 14. I bestämmelsen föreskrivs att direktåtkomst får medges. Det ankommer på Totalförsvarets rekryteringsmyndighet att avgöra om direktåtkomst faktiskt ska medges. Att bestämmelsen ger Totalförsvarets rekryteringsmyndighet en möjlighet att medge direktåtkomst innebär således inte någon rätt för de angivna mottagarna att få sådan åtkomst. I första stycket anges vilka aktörer som får medges direktåtkomst. Utöver Försvarsmakten kan direktåtkomst medges den registrerade. Direktåtkomst för den registrerade får endast avse personuppgifter om honom eller henne själv. Det ankommer på Totalförsvarets rekryteringsmyndighet att genom tillräckliga säkerhetsrutiner se till att personuppgifter genom direktåtkomsten inte lämnas ut till någon annan än den registrerade. I tredje stycket finns en upplysning om att regeringen med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare föreskrifter om begränsningar av direktåtkomsten och föreskrifter om behörighet och säkerhet vid sådan åtkomst. Vilka personuppgifter direktåtkomsten får avse regleras därmed för Försvarsmaktens del i förordning. Bestämmelserna om att direktåtkomst får medges bryter inte eventuell sekretess som kan gälla för uppgifterna. Bestämmelser som har en sekretessbrytande verkan vid utlämnande av uppgifter genom direktåtkomst finns i 13 §. 13 § Försvarsmakten har rätt att vid direktåtkomst enligt 12 § första stycket ta del av de personuppgifter som omfattas av åtkomsten. Paragrafen reglerar utlämnande av uppgifter till Försvarsmakten. Övervägandena finns i avsnitt 15. Av bestämmelsen följer att Försvarsmakten har rätt att vid direktåtkomst som medges med stöd av 12 § första stycket ta del av de personuppgifter som omfattas av åtkomsten. Vilka personuppgifter som direktåtkomsten omfattar anges uttömmande i förordning. Genom Försvarsmaktens rätt att ta del av uppgifterna uppkommer en sådan uppgiftsskyldighet som enligt 10 kap. 28 § första stycket offentlighets- och sekretesslagen (2009:400) bryter den sekretess som kan gälla för uppgifterna hos Totalförsvarets rekryteringsmyndighet. Försvarsmaktens införande och rättelse av personuppgifter 14 § Försvarsmakten får föra in och rätta personuppgifter om totalför- svarspliktiga i Totalförsvarets rekryteringsmyndighets informations- Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om Försvars- maktens behandling av personuppgifter enligt första stycket och före- skrifter om behörighet och säkerhet vid sådan behandling. Paragrafen reglerar Försvarsmaktens rätt att föra in och rätta uppgifter i Totalförsvarets rekryteringsmyndighets informationssystem. vägandena finns i avsnitt 16. I första stycket anges att Försvarsmakten får föra in och rätta personupp- gifter i Totalförsvarets rekryteringsmyndighets informationssystem. Försvarsmakten är personuppgiftsansvarig för den behandling som myndigheten utför enligt denna bestämmelse. I andra stycket finns en upplysning om att regeringen med stöd av 8 kap. 7 § regeringsformen kan meddela närmare föreskrifter om För- svarsmaktens behandling av personuppgifter enligt första stycket och om behörighet och säkerhet vid sådan behandling. 15 § Personuppgifter ska avskiljas så att tillgången till dem begränsas när de inte längre behövs i Totalförsvarets rekryteringsmyndighets löp- ande verksamhet för de ändamål som anges i 6 §. Personuppgifter om totalförsvarspliktiga ska avskiljas senast vid ut- gången av det kalenderår då den totalförsvarspliktige fyller , om inte den totalförsvarspliktige därefter har en uppgift inom totalförsvaret vid Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om avskiljande av personuppgifter. I paragrafen regleras avskiljande av personuppgifter som inte längre behövs i Totalförsvarets rekryteringsmyndighets löpande verksamhet. Övervägandena finns i avsnitt 20.1. Enligt första stycket ska Totalförsvarets rekryteringsmyndighet, i egenskap av personuppgiftsansvarig, avskilja personuppgifter när de inte längre behövs i den löpande verksamheten för de ändamål som anges i 6 §.Med avskiljande menas att personuppgifterna tas bort från de informationssystem som används i verksamheten enligt 2 §. Det åligger Totalförsvarets rekryteringsmyndighet att införa rutiner för när avskiljande ska ske och på vilket sätt. Avskiljandet får dock inte innebära att uppgifter gallras i strid med arkivlagen (1990:782) eller föreskrifter som har meddelats med stöd av den lagen. Det är också Totalförsvarets rekryteringsmyndighets ansvar att begränsa den interna tillgången till avskilda personuppgifter till det som varje anställd behöver för att kunna fullgöra sina arbetsuppgifter, se kommentaren till 11 §. I andra stycket anges att personuppgifter om totalförsvarspliktiga ska avskiljas senast vid utgången av det kalenderår då den totalförsvarspliktige 2019/20:51 fyller , om inte den totalförsvarspliktige därefter har en uppgift inom totalförsvaret vid höjd beredskap. Bestämmelsen föreskriver en yttersta tidsgräns för hur länge uppgifter om totalförsvarspliktiga kan få vara tillgängliga i den löpande verksamheten. När totalförsvarsplikten upphör torde det i normalfallet inte längre vara nödvändigt att behandla uppgifter om totalförsvarspliktiga i Totalförsvarets rekryteringsmyndighets verksamhet. Om det står klart att uppgifterna saknar betydelse utifrån de i lagen angivna primära ändamålen ska de avskiljas . I undantagsfall kan totalförsvarspliktiga även efter att totalförsvarsplikten har upphört ha en uppgift att utföra vid höjd beredskap. Som exempel kan nämnas medlemmar i frivilligorganisationer som väljer att kvarstå som medlemmar efter att de fyllt och som därmed behåller sina krigsuppgifter. I bestämmelsen föreskrivs undantag för sådana fall. I tredje stycket finns en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om avskiljande av personuppgifter. 16 § Vid behandling enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen gäller inte bestämmelserna i artikel 58.2 f i EU:s dataskyddsförordning och 6 kap. 1 § lagen med kompletterande bestämmelser till EU:s dataskyddsförordning om tillsynsmyndighetens befogenhet att införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling. Paragrafen reglerar dataskyddsförordningens och dataskyddslagens tillämplighet i fråga om tillsynsmyndighetens befogenhet att förbjuda Totalförsvarets rekryteringsmyndighets behandling av personuppgifter. Övervägandena finns i avsnitt 17. Paragrafen innebär att bestämmelserna om tillsynsmyndighetens befogenhet enligt artikel 58.2 f i dataskyddsförordningen och 6 kap. 1 § dataskyddslagen att förbjuda behandling inte gäller vid Totalförsvarets rekryteringsmyndighets behandling av personuppgifter om totalförsvarspliktiga och annan personal som har en uppgift inom totalförsvaret vid höjd beredskap. I övrigt ska bestämmelserna om tillsynsmyndighetens befogenheter i dataskyddsförordningen och dataskyddslagen tillämpas vid Totalförsvarets rekryteringsmyndighets behandling av personuppgifter om totalförsvarspliktiga och annan personal som har en uppgift inom totalförsvaret vid höjd beredskap. 24.2Förslaget till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning I stället för vad som sägs i 1 kap. 2 § ska den upphävda lagen fortsätta att gälla i sådan verksamhet hos Försvarsmakten och som inte omfattas av unionsrätten. Bestämmelsen i punkt 3 är av övergångskaraktär och ska upphävas i samband med att en anpassad lagstiftning om behandling av personuppgifter i den verksamhet som bestämmelsen omfattar träder i kraft. Totalförsvarsdatalagen är en sådan anpassad lagstiftning som avses i bestämmelsen. När den lagen träder i kraft ska bestämmelsen i punkt 3 inte längre gälla i förhållande till Totalförsvarets rekryteringsmyndighet. Ändringen innebär att ”Totalförsvarets rekryteringsmyndighet” tas bort i bestämmelsen. 2019/20:51 Bilaga 1 Sammanfattning av betänkandet Totalförsvarsdatalag – personuppgiftsbehandling (SOU 2017:97) Vårt uppdrag har varit att göra en översyn av regleringen av behandlingen av personuppgifter om totalförsvarspliktiga i form av lagen (1998:938) respektive förordningen (1998:1229) om behandling av personuppgifter om totalförsvarspliktiga och att ta fram förslag till en ny lag och förordning. Utgångspunkten har varit att Totalförsvarets rekryteringsmyndighets () verksamhet ska kunna bedrivas effektivt med rationellt datorstöd som enskildas rätt till personlig integritet tillgodoses. Som ett led i detta har det bl.a. ingått att göra en kartläggning av behandling av personuppgifter. Uppdraget har inte omfattat behandling av personuppgifter inom ramen för myndighetens civila uppdragsverksamhet. Vi har också haft i uppdrag att analysera vilket förhållande lagstiftningen ska ha dels till EU:s dataskyddsförordning och den kompletterande nationella lagstiftning som föreslagits till följd av den, dels till annan reglering på området. Vid utformningen av en ny reglering har vi också beaktat den nya bestämmelsen i 2 kap. 6 § andra stycket regeringsformen med krav på lagform vid betydande intrång i den personliga integriteten.