prop · H70351 · 2019-12-05 00:00:00 — Utgångspunkten bör därför vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndighetsutövning som fastställs i enlighet med svensk rätt. Regeringens slutsats är således att den rättsliga grunden för den personuppgiftsbehandling som utförs av Totalförsvarets rekryteringsmyndighet är genom nu föreslagen lag och i enlighet med vad som anges ovan fastställd i den nationella rätten på ett sådant sätt som krävs enligt dataskyddsförordningen. Regeringens förslag: Den nya lagen ska innehålla bestämmelser som anger för vilka ändamål personuppgifter får behandlas med stöd av lagen. Det ska göras en skillnad mellan primära och sekundära ändamål. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att det bör göras tydligare skillnad mellan rättslig grund för behandling och eventuella ändamålsbestämmelser. Datainspektionen anser vidare att de primära och sekundära ändamål som utformats i 7–8 §§ i den nya lagen är så pass allmänt hållna att de snarare måste ses som en del av den rättsliga grunden för behandling av personuppgifter och att rubriken därför bör ändras till ”Tillåtna rättsliga grunder för behandling av personuppgifter.” Datainspektionen ifrågasätter också relevansen av en kategorisering av primära och sekundära ändamål. Skälen för regeringens förslag Personuppgifter ska enligt artikel 5.1 b i dataskyddsförordningen samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Denna ordning kallas för finalitetsprincipen. Ändamålsbestämmelser i författningar som reglerar myndigheters personuppgiftsbehandling är en typ av specifika bestämmelser som syftar till att klargöra för vilka ändamål som myndigheten får behandla uppgifter i sin verksamhet. Sådana bestämmelser är tillåtna enligt artikel 6.3 i dataskyddsförordningen. Många registerförfattningar innehåller verksamhetsspecifika ändamålsbestämmelser som anger den yttersta ram inom vilken personuppgifter får behandlas. Det är vanligt att ändamålen delas upp i primära och sekundära. Medan de primära ändamålen avser att tillgodose de behov som finns att behandla personuppgifter i den berörda myndighetens egen verksamhet, reglerar de sekundära ändamålen som regel i vilken utsträckning personuppgifter, som myndigheten samlat in för ett primärt ändamål, får behandlas för andra ändamål än de ursprungliga. Både primära och sekundära ändamålsbestämmelser är förenliga med dataskyddsförordningen (se t.ex. prop. 2017/18:113 s. 18). Precisering av rättslig grund eller ändamålsbestämmelse? När dataskyddsdirektiv genomfördes uttalade regeringen att gränsen mellan bestämmelser om rättslig grund för behandling och bestämmelser om ändamål för behandling inte är helt klar. Vad som är bestämmelser om rättsliga grunder och vad som är renodlade ändamålsbestämmelser ansågs ibland ha blandats samman. Det var enligt regeringen därför lämpligt att göra en tydligare skillnad mellan dessa typer av bestämmelser (jfr prop. 2017/18:232 s. 114 f. och prop. 2017/18:269 s. 138 ff.). I bl.a. brottsdatalagen har de primära ändamålsbestämmelserna därför ersatts med bestämmelser om rättslig grund. Bestämmelserna om sekundära ändamål har helt tagits bort. I flera registerförfattningar som har anpassats till dataskyddsförordningen finns systemet med primära och sekundära ändamålsbestämmelser kvar. Som exempel kan nämnas att såväl domstolsdatalagen (2015:728) som kriminalvårdsdatalagen (2018:1235) innehåller både primära och sekundära ändamålsbestämmelser. Den nya lagen bör innehålla primära och sekundära ändamålsbestämmelser Regeringen anser att den nya lagen bör innehålla ändamålsbestämmelser av det slag som förekommer i andra registerförfattningar som har anpassats till dataskyddsförordningen. Därigenom slås det fast vilka ändamål som personuppgifter får behandlas för i Totalförsvarets rekryteringsmyndighets verksamhet. Ändamålsbestämmelserna anger en yttersta ram för behandlingen och tydliggör vilka åtgärder som är tillåtna respektive otillåtna. Regeringen anser att ändamålsbestämmelserna är tillräckligt specifika och tydliga. Regeringen delar därför inte Datainspektionens bedömning att de föreslagna ändamålen utgör den rättsliga grunden och att rubriken närmast föregående de föreslagna bestämmelserna ska ändras. Vidare bör ändamålen, i likhet med andra registerförfattningar på dataskyddsförordningens område utgå från åtskillnaden mellan primära och sekundära ändamål. 9.2.1Primära ändamål för behandling av personuppgifter Regeringens förslag: En bestämmelse om primära ändamål införs i den nya lagen. Bestämmelsen innebär att personuppgifter får behandlas om det är nödvändigt för att 1.ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret, 2.redovisa personal med uppgifter inom totalförsvaret, 3.säkerställa att den registrerade fortlöpande får ändamålsenlig utbildning och lämplig placering inom totalförsvaret, 4.se till att den registrerade fullgör sina skyldigheter i fråga om totalförsvarsplikten, 5.tillgodose den registrerades rättigheter och trygghet i egenskap av totalförsvarspliktig, och 6.fullgöra Totalförsvarets rekryteringsmyndighets serviceskyldighet gentemot bemanningsansvariga organ inom totalförsvaret. Utredningens förslag överensstämmer delvis med regeringens. Enligt utredningens förslag ska personuppgifter få behandlas om det behövs för de uppräknade ändamålen. Utredningen föreslår även att en bestämmelse införs för ändamålet att planera, följa upp och utvärdera den verksamhet som anges i punkterna 1–6. Remissinstanserna: Datainspektionen ser positivt på att den rättsliga grunden ytterligare förtydligas med uppräkningen av Totalförsvarets rekryteringsmyndighets verksamhetsuppgifter. Myndigheten anser även att begreppet ”nödvändigt” borde användas i 7 § 1 meningen i stället för ”behövs” i syfte att undvika begreppsförvirring. Totalförsvarets rekryteringsmyndighet efterfrågar ett förtydligande om den personuppgiftsbehandling som myndigheten utför i samband med utskick av nyhetsbrev med information om mönstringen som skickas ut till de totalförsvarspliktiga som är kallade till mönstring faller in under det ändamål som anges i 7 § punkt 4 i lagförslaget. Skälen för regeringens förslag: Enligt 1 § lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga får Totalförsvarets rekryteringsmyndighet behandla personuppgifter för att 1.ta fram underlag för beslut om inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret, 2.redovisa personal med uppgifter inom totalförsvaret, 3.säkerställa att den registrerade fortlöpande får ändamålsenlig utbildning och lämplig placering inom totalförsvaret, 4.se till att den registrerade fullgör sina skyldigheter i fråga om totalförsvarsplikten, 5.tillgodose den registrerades rättigheter och trygghet i egenskap av totalförsvarspliktig, och 6.planera, följa upp och utvärdera den verksamhet som anges i 1–5. En stor del av den personuppgiftsbehandling som sker hos Totalförsvarets rekryteringsmyndighet utförs i samband med myndighetens uppgift att utföra utredning om personliga förhållanden, mönstra, skriva in och krigsplacera totalförsvarspliktiga. Även myndighetens behandling av per- sonuppgifter i samband med annan utredning än mönstring omfattas. För dessa ändamål finns således ett behov av att Totalförsvarets rekryteringsmyndighet behandlar personuppgifter om totalförsvarspliktiga. Myndigheten har vidare till uppgift att redovisa personal inom totalförsvaret. Detta innefattar både totalförsvarspliktiga, anställd personal, avtalspersonal och hemvärnssoldater m.fl. inom totalförsvaret. I sin verksamhet ska Totalförsvarets rekryteringsmyndighet inte endast utreda och placera totalförsvarspliktiga inom totalförsvaret. Det åligger myndigheten att också säkerställa att den registrerade fortlöpande får ändamålsenlig utbildning och lämplig placering inom totalförsvaret. För detta ändamål måste Totalförsvarets rekryteringsmyndighet löpande behandla och uppdatera personuppgifter. Detta är av särskild vikt för att placera rätt person på rätt plats inom totalförsvaret. Myndigheten behöver vidare behandla personuppgifter för att kalla totalförsvarspliktiga till mönstring och grundutbildning med värnplikt. Inom ramen för detta ändamål behöver myndigheten även pröva andra frågor, exempelvis föreläggande av vite vid utebliven inställelse m.m. Av- sikten är att tillförsäkra att totalförsvarspliktiga fullgör sina skyldigheter och åtaganden såvitt avser totalförsvarsplikten enligt gällande reglering. Behandling av personuppgifter är ibland nödvändig för att Totalförsvarets rekryteringsmyndighet ska kunna tillgodose totalförsvarspliktigas rättigheter. Det kan av olika skäl bli aktuellt att befria en totalförsvarspliktig från skyldigheten att tjänstgöra. Rätten till vapenfri tjänstgöring eller uppskov med tjänstgöringen kan göras gällande i vissa fall. Det kan också finnas rätt till olika typer av ersättningar, exempelvis vårdbidrag eller rätt till ekonomiskt bistånd. Det åligger också Totalförsvarets rekryteringsmyndighet att försäkra sig om att en totalförsvarspliktig inte utsätts för onödiga påfrestningar i samband med utredning om dennes personliga förhållanden eller under tjänstgöringen. Även för dessa ändamål finns behov av att Totalförsvarets rekryteringsmyndighet behandlar personuppgifter om den totalförsvarspliktige. Slutligen behöver Totalförsvarets rekryteringsmyndighet även behandla personuppgifter för planering, uppföljning och utvärdering av den ovan nämnda verksamheten. Samtliga ändamål som anges i 1 § lagen om behandling av personuppgifter om totalförsvarspliktiga är berättigade och en behandling av personuppgifter med dessa ändamål som grund är nödvändig för att Totalförsvarets rekryteringsmyndighet ska kunna bedriva en ändamålsenlig och effektiv verksamhet. När det gäller ändamålet under punkt 6: att planera, följa upp och utvärdera den verksamhet som anges i 1–5, har Lagrådet uttalat att planering, uppföljning och utvärdering av verksamhet är en integrerad del av själva verksamheten och inte någon fristående aktivitet som behöver regleras särskilt i registerförfattningar. Det har därför ansetts att det inte behövs någon särskild bestämmelse som ger stöd för behandling av personuppgifter för bl.a. planering och uppföljning av verksamheten (se t.ex. prop. 2004/05:164 s. 179 och prop. 2014/15:63 s. 63). Någon särskild bestämmelse om att sådan behandling är tillåten behövs därför inte i den nya lagen. De ändamål som anges i punkterna 1–5 i nuvarande reglering bör däremot föras in. Totalförsvarets rekryteringsmyndighet utför även uppgifter inom ramen för sin serviceskyldighet, vilken följer av myndighetens instruktion. 2019/20:51 digheten ger bl.a. stöd och service till myndigheter och andra inom totalförsvaret i en inte obetydlig omfattning. Utöver de ovan nämnda ändamålen, ska det även vara möjligt för Totalförsvarets rekryteringsmyndighet att behandla personuppgifter för att fullgöra myndighetens serviceskyldighet gentemot andra organ inom totalförsvaret. Regeringen delar därför utredningens bedömning att en bestämmelse som möjliggör personuppgiftsbehandling för det ändamålet behöver föras in i den nya lagen. Totalförsvarets rekryteringsmyndighet efterfrågar ett förtydligande om huruvida den personuppgiftsbehandling som myndigheten utför i samband med utskick av nyhetsbrev med information om mönstringen som skickas ut till de totalförsvarspliktiga som är kallade till mönstring faller in under det ändamål som anges i 7 § punkt 4 i lagförslaget. Totalförsvarets rekryteringsmyndighet har till uppgift att informera totalförsvarspliktiga om vad lagen om totalförsvarsplikt innebär, inte minst vad gäller de totalförsvarspliktigas rättigheter och skyldigheter. Detta följer dels av 4 kap. 2 § förordningen om totalförsvarsplikt och dels av 2 § förordningen (2010:1472) med instruktion för Totalförsvarets rekryteringsmyndighet. Behandling av personuppgifter som behövs för att kunna göra utskick av sådan information, bl.a. i form av nyhetsbrev, bör därför falla in under punkt 4 i ändamålsbestämmelsen. Datainspektionen anser vidare att begreppet ”nödvändigt” borde användas i 7 § första meningen i stället för ”behövs” i syfte att undvika begreppsförvirring. Som konstateras i föregående avsnitt om rättslig grund följer det av dataskyddsförordningen att personuppgiftsbehandling endast får ske om det är nödvändigt för att uppnå ändamålen (artikel 6.1 c och e). Begreppet nödvändigt används också i dataskyddslagen, se 2 kap. 1 och 2 §§, liksom i vissa andra författningar på dataskyddsförordningens område, såsom lagen (2018:1699) om kriminalvårdens behandling av personuppgifter. Kravet på att behandlingen ska vara nödvändig innebär inte att behandlingen ska vara oundgänglig. Behandlingen kan anses nödvändig och därmed tillåten om den leder till effektivitetsvinster. Att behandlingen skulle kunna ske manuellt, utan tekniska hjälpmedel, hindrar normalt inte att en automatiserad behandling kan anses nödvändig (prop. 2017/18:105 s. 189). Regeringen instämmer i Datainspektionens synpunkt att det är lämpligare att använda begreppet nödvändigt även i den nya lagen. Innebörden av begreppet redogörs för i avsnitt 9.1. 9.2.2Sekundära ändamål för behandling av personuppgifter Regeringens förslag: I den nya lagen införs en bestämmelse som anger att personuppgifter som får behandlas för de primära ändamålen också får behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. En bestämmelse införs också som anger att personuppgifter som får behandlas för de primära ändamålen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår inte att personuppgifter som får behandlas för de primära ändamålen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Myndigheter är i vissa fall enligt lag eller förordning skyldiga att på begäran lämna ut uppgifter till andra myndigheter eller utomstående. Enligt 2 kap. 1 tryckfrihetsförordningen har var och en rätt att ta del av allmänna handlingar. En myndighet är därmed skyldig att lämna ut personuppgifter som ingår i allmänna handlingar, om inte sekretess gäller för uppgifterna. Sekretessbrytande uppgiftsskyldighet kan följa av bestämmelser i lag eller förordning (jfr 10 kap. 28 § offentlighets- och sekretesslagen [2009:400]). Enligt 6 kap. 5 § offentlighets- och sekretesslagen ska vidare en myndighet på begäran av en annan myndighet lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Vidare får enligt 10 kap. 27 § offentlighets- och sekretesslagen en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Personuppgifter som behandlas i Totalförsvarets rekryteringsmyndighets verksamhet lämnas i olika sammanhang ut till andra myndigheter, företrädesvis Försvarsmakten, men även till enskilda. Sker uppgiftslämnandet för syften som gäller Totalförsvarets rekryteringsmyndighets verksamhet, omfattas personuppgiftsbehandlingen genom utlämnandet av de primära ändamål som angetts i föregående avsnitt. Om utlämnandet av uppgifterna i stället sker för mottagarens räkning, krävs att den efterföljande personuppgiftsbehandlingen också är författningsenlig. I sådana fall, dvs. när uppgiftslämnandet är författningsreglerat, får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken man funnit att uppgiften ska eller får lämnas ut. I lagen bör det införas en sekundär ändamålsbestämmelse som medger att personuppgifter – som behandlas med stöd av något eller några av de primära ändamålen – också får behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Som utredningen har beskrivit finns det i ett flertal registerförfattningar bestämmelser som anger att behandling av personuppgifter får behandlas även för andra ändamål än de som angetts i författningen, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen). Denna princip följer av artikel 5.1 b i dataskyddsförordningen. Av artikeln följer vidare att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. Utredningen har gjort bedömningen att något annat rättsligt stöd för vidarebehandling hos myndigheter för arkivändamål av allmänt intresse än det som ges i dataskyddsförordning inte är påkallat och att det saknas behov av att föra in en kompletterande ändamålsbestämmelse i den nya lagen för Totalförsvarets rekryteringsmyndighets egen arkivering av de 2019/20:51 personuppgifter som behandlas med stöd av lagen. Regeringen bedömer dock att det uttryckligen bör framgå av den nya lagen att personuppgifter får behandlas även för andra ändamål än de som anges i lagen, såsom t.ex. arkiv- eller forskningsändamål. En sådan bestämmelse bör utformas i enlighet med finalitetsprincipen. I den nya lagen bör det således anges att personuppgifter som behandlas för de ändamål som anges i 7 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. 10Behandling av vissa kategorier av personuppgifter Regeringens förslag: Känsliga personuppgifter får behandlas i verksamheten endast om det är absolut nödvändigt för de ändamål som anges i 6 och 7 §§. Känsliga personuppgifter får också behandlas om det är absolut nödvändigt vid en utredning om den totalförsvarspliktiges personliga förhållanden som görs enligt 2 kap. 1 § lagen om totalförsvarsplikt av någon annan statlig myndighet än Totalförsvarets rekryteringsmyndighet, en kommun eller region. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att känsliga personuppgifter får behandlas utöver vad som följer av 3 kap. dataskyddslagen om det är absolut nödvändigt för de ändamål som anges i lagen. Utredningen föreslår i övrigt en annan utformning av bestämmelsen. Remissinstanserna: Datainspektionen förordar att den begränsning av behandling av känsliga personuppgifter som återfinns i 9 § lagen om behandling av personuppgifter om totalförsvarspliktiga kvarstår. Myndigheten anser inte att det är motiverat att ge ett så generellt undantag för behandling av känsliga personuppgifter som utredningen föreslår med hänsyn till att det inte framgår av utredningen att bland annat uppgifter om ras, etniskt ursprung, politiska åsikter eller medlemskap i fackförening är nödvändiga för verksamhetens övergripande uppgifter. () har i sitt remissvar hänvisat till det remissvar som ombudsmannen lämnade vid remitteringen av betänkandet Ny dataskyddslag, Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39), Ju2017/04264/L6. I det remissvaret anser DO att myndigheters möjlighet till behandling av känsliga personuppgifter i enstaka fall ska begränsas särskilt. DO har inga invändningar mot förslaget om möjligheten för Totalförsvarets rekryteringsmyndighet att behandla känsliga personuppgifter när det är absolut nödvändigt. Övriga remissinstanser instämmer i utredningens förslag eller kommenterar det inte särskilt. Skälen för regeringens förslag Känsliga personuppgifter är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Som känsliga personuppgifter räknas även genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Detta framgår av artikel 9.1 i dataskyddsförordningen. Utgångspunkten är att känsliga personuppgifter inte får behandlas (artikel 9.1 i dataskyddsförordningen). Undantag från huvudregeln finns dock i artikel 9.2 i förordningen. För myndigheter är artikel av särskilt intresse. I artikeln anges att känsliga personuppgifter får behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I 3 kap. 3 § dataskyddslagen har det införts en generell bestämmelse som kompletterar artikel . Enligt bestämmelsen får en myndighet behandla känsliga personuppgifter med stöd av undantaget i artikeln om 1) uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, 2) behandlingen är nödvändig för handläggningen av ett ärende, eller 3) i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Även artikel 9.2 j i dataskyddsförordningen är av betydelse för myndigheter. I artikeln anges att känsliga personuppgifter under vissa förutsättningar får behandlas om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1. Enligt 3 kap. 6 dataskyddslagen får känsliga personuppgifter behandlas för arkivändamål av allmänt intresse med stöd av artikel 9.2 j i dataskyddsförordningen om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Enligt 3 kap. 7 § dataskyddslagen får känsliga personuppgifter behandlas med stöd av artikel 9.2 j i dataskyddsförordningen om behandlingen är nödvändig för statistiska ändamål och samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Dataskyddslagen är subsidiär i förhållande till andra lagar och förordningar. Det går därför att införa bestämmelser som tillåter att myndigheter behandlar känsliga personuppgifter även i andra fall eller under andra förutsättningar än de som anges i dataskyddslagen, under förutsättning att villkoren i artikel eller någon av de andra punkterna i artikel 9.2 i dataskyddsförordningen är uppfyllda. Sådana avvikande bestämmelser finns i flera registerförfattningar. Lagen om behandling av personuppgifter om totalförsvarspliktiga Enligt 6 § första stycket lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga får känsliga personuppgifter behandlas om det är nödvändigt för de ändamål som anges i 1 § första stycket samma lag. Detsamma gäller även kommuner, landsting och vissa statliga myndigheter om uppgifterna behövs för utredning om den totalförsvarspliktiges personliga förhållanden enligt 2 kap. 1 § andra stycket lagen (1994:1809) om totalförsvarsplikt.