prop · H70351 · 2019-12-05 00:00:00 — I fråga om vilka känsliga personuppgifter som får registreras i det automatiserade registret över totalförsvarspliktiga anges i 9 § andra stycket att andra känsliga personuppgifter än sådana uppgifter som rör hälsa eller religiös övertygelse inte får föras in. Uppgifter om religiös övertygelse får endast registreras om den registrerade har lämnat sitt uttryckliga samtycke till att uppgifterna behandlas i registret och de rör hans eller hennes tjänstgöring inom totalförsvaret. När behöver känsliga personuppgifter kunna behandlas? I Totalförsvarets rekryteringsmyndighets verksamhet förekommer känsliga personuppgifter i stor utsträckning och behandlingen omfattar flera av de kategorier av personuppgifter som anges i artikel 9.1 i dataskyddsförordningen. Myndigheten har t.ex. behov av att i stor utsträckning kunna behandla uppgifter om enskildas hälsa. Resultaten från de medicinska och psykologiska undersökningar som genomförs under mönstring är nödvändig information för att myndigheten ska kunna bedöma om kraven för tjänstgöring är uppfyllda. Underlaget är avgörande för att Totalförsvarets rekryteringsmyndighet ska kunna fatta beslut om inskrivning till grundutbildning med värnplikt eller annan tjänstgöring inom totalförsvaret. Även i andra aktörers verksamhet finns det ett behov av att kunna behandla känsliga personuppgifter. Ett sådant behov finns när någon annan myndighet än Totalförsvarets rekryteringsmyndighet, en kommun eller region utför utredning om den totalförsvarspliktiges personliga förhållanden enligt 2 kap. 1 § lagen om totalförsvarsplikt. Sådan utredning innebär i likhet med mönstring att de totalförsvarspliktigas personliga förhållanden utreds i syfte att avgöra om den totalförsvarspliktige ska skrivas in för värnplikt eller civilplikt. Det finns därför behov av att i de fallen kunna behandla t.ex. uppgifter om hälsa. Totalförsvarets rekryteringsmyndighet har även behov av att i vissa fall behandla uppgifter om religiös övertygelse för att kunna fatta beslut om tjänstgöring inom totalförsvaret och i förlängningen lämplig befattning för den enskilde. Enligt 10 kap. 8 § punkt 2 lagen om totalförsvarsplikt får Totalförsvarets rekryteringsmyndighet i särskilda fall besluta att en totalförsvarspliktig tills vidare inte ska kallas till mönstring eller inkallas till värnplikt eller civilplikt, om han eller hon med hänvisning till sin anslutning till visst religiöst samfund förklarar att han eller hon inte kommer att fullgöra vare sig värnplikt eller civilplikt. Motsvarande resonemang gör sig gällande i fråga om en enskilds personliga övertygelse om att inte använda vapen. Till följd av detta regleras i 3 kap. 16 § samma lag en rätt för en totalförsvarspliktig att vara vapenfri. Det kan även bli aktuellt för Totalförsvarets rekryteringsmyndighet att behandla andra känsliga personuppgifter än hälsa och religiös övertygelse. Så kan exempelvis bli fallet om en enskild själv, t.ex. i form av ett läkarintyg, lämnar och åberopar andra känsliga personuppgifter för att inte behöva mönstra, tjänstgöra eller inneha viss befattning inom totalförsvaret. I sådant fall råder inte myndigheten över vilka känsliga personuppgifter som kommer till dess kännedom men de måste ändå behandlas av myndigheten vid beslutsfattandet. Vilka personuppgifter som den enskilde själv kan komma att åberopa eller som av annat skäl måste behandlas av Totalförsvarets rekryteringsmyndighet går inte helt att förutse. Vidare finns det ett behov för myndigheten att kunna behandla känsliga personuppgifter för vissa statistikändamål och uppföljning av verksamheten. Det är av vikt att myndigheten fortlöpande kan bevaka att effektiviteten och kvaliteten upprätthålls i verksamheten. Behovet omfattas av ändamålet att planera, följa upp och utvärdera verksamheten. Som redogörs för i avsnitt 9.2.1 anses planering, uppföljning och utvärdering av verksamhet utgöra en integrerad del av själva verksamheten och inte någon fristående aktivitet som behöver regleras särskilt i registerförfattningar. Någon särskild bestämmelse som ger uttryckligt stöd för behandling av känsliga personuppgifter för det ändamålet behövs därför inte. Slutligen behöver Totalförsvarets rekryteringsmyndighet kunna behandla känsliga personuppgifter för de sekundära ändamål som anges i 8 § i den nya lagen. En bestämmelse om behandling av känsliga personuppgifter bör föras in i den nya lagen. Den föreslagna bestämmelsen utgör en särreglering i förhållande till 3 kap. 3 § dataskyddslagen. Regleringen av behandling av känsliga personuppgifter i totalförsvarsdatalagen Totalförsvarets rekryteringsmyndighets behov av att kunna behandla känsliga personuppgifter i den omfattning som lagen om behandling av personuppgifter om totalförsvarspliktiga medger kvarstår. Detsamma gäller för de övriga statliga myndigheter som t.ex. Försvarsmakten, kommuner och regioner, som har att utreda totalförsvarspliktigas personliga förhållanden med stöd av 2 kap. 1 § lagen om totalförsvarsplikt (se även avsnitt 7.2). Liksom enligt gällande regelverk bör dessa aktörer omfattas av den föreslagna bestämmelsen om behandling av känsliga personuppgifter. En bestämmelse om detta bör därför föras in i lagen. Totalförsvarets rekryteringsmyndighet har vidare ett behov av att kunna behandla känsliga personuppgifter för att fullgöra sin serviceskyldighet gentemot bemanningsansvariga organ inom totalförsvaret och för att fullgöra uppgiftslämnande som sker i överenstämmelse med lag eller förordning. Som det har redogjorts för ovan, är det inte möjligt att helt förutse vilka känsliga personuppgifter som den enskilde själv kan komma att åberopa eller som av annat skäl måste behandlas av Totalförsvarets rekryteringsmyndighet eller de andra aktörer som föreslås omfattas av bestämmelsen. Det finns därför ett behov av att möjligheten att behandla känsliga personuppgifter inte begränsas till att enbart omfatta vissa kategorier av känsliga personuppgifter. Totalförsvarets rekryteringsmyndighet behöver vidare kunna behandla känsliga personuppgifter i olika delar av verksamheten. Bestämmelsen bör därför gälla generellt. Till skillnad mot Datainspektionen anser regeringen därför att det inte bör göras någon åtskillnad för behandling av känsliga personuppgifter i 2019/20:51 register och i annat sammanhang. Något behov av att, såsom utredningen föreslår, i lagen ange att regeringen kan meddela ytterligare föreskrifter som begränsar användningen av känsliga personuppgifter finns inte. Behandlingen omgärdas av säkerhetsåtgärder Genom det regelverk som regeringen föreslår skyddas den registrerades grundläggande rättigheter och intressen på flera olika sätt när känsliga personuppgifter behandlas. Till en början innebär de föreslagna ändamålsbestämmelserna att utrymmet för att över huvud taget behandla personuppgifter är begränsat. Detta eftersom personuppgifter endast får behandlas om det är nödvändigt för vissa angivna ändamål. Vid sidan av de krav som ställs på den personuppgiftsansvarige enligt dataskyddsförordningen, t.ex. kravet på en lämplig säkerhetsnivå, föreslås att totalförsvarsdatalagen ska innehålla ett flertal bestämmelser om säkerhetsåtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Det föreslås bl.a. att den interna tillgången till personuppgifter hos den aktör som behandlar personuppgifter med stöd av lagen ska begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter (se avsnitt 13). Det föreslås också ett förbud mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter (se avsnitt 11). Inskränkningar i förhållande till gällande reglering föreslås när det gäller möjligheten att medge direktåtkomst till personuppgifter hos Totalförsvarets rekryteringsmyndighet (se avsnitt 14). Bestämmelser om avskiljande av personuppgifter i Totalförsvarets rekryteringsmyndighets informationssystem införs (se avsnitt 20). Därutöver kommer bestämmelser i dataskyddsförordningen och dataskyddslagen om bl.a. tillsyn, skadestånd och överklagande att gälla. Sammantaget bedöms den behandling av känsliga personuppgifter som kommer att ske med stöd av den föreslagna bestämmelsen vara tillåten enligt artikel i dataskyddsförordningen. Behandlingen ska vara absolut nödvändig För att ytterligare förstärka skyddet för den enskildes personliga integritet när känsliga personuppgifter behandlas bör särskilt höga krav ställas på behovet av att uppgifterna behandlas. I flera registerförfattningar anges av denna anledning att känsliga personuppgifter får behandlas bara om det är absolut nödvändigt för ändamålet med behandlingen (se t.ex. 5 § kriminalvårdsdatalagen). För att känsliga personuppgifter ska få behandlas räcker det då inte att behandlingen är nödvändig såsom framgår av dataskyddsförordningen. Behandlingen måste i stället vara absolut nödvändig, vilket innebär att behovet av behandlingen måste prövas noggrant i varje enskilt fall. För att motverka risken för integritetsintrång bör ett krav av detta slag gälla enligt totalförsvarsdatalagen. Det bör alltså införas en bestämmelse som anger att känsliga personuppgifter får behandlas i verksamheten endast om det är absolut nödvändigt för ändamålet med behandlingen. Härigenom kommer behovet av att behandla känsliga personuppgifter behöva prövas särskilt noggrant. Kravet utgör ytterligare en åtgärd till skydd för den registrerades grundläggande rättigheter och intressen. Regeringens bedömning: Bestämmelserna om personnummer och samordningsnummer i dataskyddslagen bör tillämpas vid behandling av personuppgifter enligt totalförsvarsdatalagen. Bestämmelser om personuppgifter och samordningsnummer behöver därför inte föras in i den föreslagna lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna kommenterar inte bedömningen särskilt. Skälen för regeringens bedömning: Bestämmelserna i 3 kap. 10 och 11 §§ dataskyddslagen om personnummer och samordningsnummer motsvarar 22 § och delvis 50 § c personuppgiftslagen (1998:204) som Totalförsvarets rekryteringsmyndighet tillämpar . En tillämpning av bestämmelserna i dataskyddslagen innebär därför inga större förändringar mot vad som gäller enligt det regelverk som tillämpar . Vikten av en säker identifiering av totalförsvarspliktiga och annan personal inom totalförsvaret medför att personnummer och samordningsnummer regelmässigt måste behandlas av Totalförsvarets rekryteringsmyndighet. Några inskränkningar i rätten att behandla personnummer eller samordningsnummer i förhållande till dataskyddslagens bestämmelser ska därför inte införas. Det har inte heller framkommit skäl att avvika från eller i övrigt föreskriva undantag från dataskyddsförordningens bestämmelser i detta avseende. Bestämmelserna i dataskyddslagen bör tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag. Detta kommer att framgå genom den föreslagna paragrafen om att dataskyddslagen ska gälla fullt ut i myndighetens verksamhet förutom i de fall när det finns avvikande bestämmelser i den nu föreslagna lagen. Bestämmelser om personnummer och samordningsnummer behöver därför inte föras in i den nya lagen. Regeringens bedömning: Bestämmelserna om behandling av person- uppgifter som rör lagöverträdelser i dataskyddslagen bör gälla vid behandling av personuppgifter enligt totalförsvarsdatalagen. bestämmelse om behandling av personuppgifter som rör lagöver- trädelser behöver därför inte föras in i den föreslagna lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna kommenterar inte bedömningen särskilt. Skälen för regeringens bedömning: Enligt nuvarande ordning tillämpas 21 § personuppgiftslagen när det gäller Totalförsvarets rekryter- ingsmyndighets behandling av personuppgifter som rör totalförsvars- pliktigas lagöverträdelser (jfr 4 § lagen [1998:938] om behandling av personuppgifter om totalförsvarspliktiga). giftslagen har ersatts av bestämmelserna i 3 kap. 8 och 9 §§ dataskydds- Totalförsvarets rekryteringsmyndighet bör omfattas av samma be- stämmelser som andra myndigheter i detta avseende. 2019/20:51 rör lagöverträdelser i dataskyddslagen ska därför gälla även i fråga om Totalförsvarets rekryteringsmyndighets behandling av sådana uppgifter. Detta kommer att framgå genom den föreslagna paragrafen om att dataskyddslagen ska gälla fullt ut i myndighetens verksamhet förutom i de fall när det finns avvikande bestämmelser i den nu föreslagna lagen. Någon bestämmelse om behandling av personuppgifter som rör lagöverträdelser behöver därför inte föras in i den nya lagen. Regeringens förslag: Vid behandling av känsliga personuppgifter enligt lagen ska det vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Det ska också vara förbjudet att som sökbegrepp använda uppgifter 1. hinder för mönstring, annan utredning, utbildning, krigsplacering eller annat ianspråktagande av den registrerade för totalförsvarets 2. boende- och familjeförhållanden samt försörjning, resultat från begåvningstest eller anlagstest som utförs vid mönst- ring eller annan utredning, 5. lagöverträdelser, säkerhetsprövning enligt säkerhetsskyddslagen samt vilken säkerhetsklass prövningen avsett och resultatet av den. De uppgifter som anges i punkterna 1–5 ska dock få användas som sökbegrepp när uppgifter lämnas ut för framställning av statistik eller De uppgifter som anges i punkt 3 ska även få användas som sökbegrepp för att ta fram underlag för beslut om mönst- ring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår en annan utformning av bestämmelsen. Remissinstanserna: tillstyrker för- slaget om sökförbud. Datainspektionen är positiv till utredningens förslag om att ett sökförbud införs. Myndigheten efterlyser dock en vidare analys av konsekvenserna för de undantag som föreslås. kommenterar inte förslaget särskilt. vikten av att möjligheterna inte begränsas för Totalförsvarets rekryterings- myndighet att ta fram underlag om ärenden om vapenfrihet, vilket behövs för den statistik som centrum för vapenfrihet sammanställer. Skälen för regeringens förslag: I 3 kap. 3 § andra stycket dataskydds- lagen uppställs ett generellt förbud för myndigheter att använda sök- begrepp som avslöjar känsliga personuppgifter. enbart vara tillämplig vid myndigheters behandling som sker med stöd av 3 kap. 3 § första stycket samma lag. Den gäller alltså inte när känsliga personuppgifter behandlas med stöd av bestämmelser i en annan för- Regeringen föreslår att särskilda bestämmelser som anger när känsliga personuppgifter får behandlas förs in i den nya lagen. Den sökbegränsning som framgår av dataskyddslagen kommer därför inte att vara tillämplig när känsliga personuppgifter behandlas med stöd av totalförsvarsdatalagen. En särskild bestämmelse om sökförbud bör därför införas i totalförsvarsdatalagen. Den nya lagen omfattar, liksom tidigare, behandling av en stor mängd känsliga personuppgifter som – om det inte fanns några sökbegränsningar –skulle möjliggöra sammanställningar av stor omfattning eller kartläggning av totalförsvarspliktigas personliga förhållanden, vilket i sig kan utgöra ett intrång i den personliga integriteten. Det bör därför, i likhet med nuvarande reglering, införas en bestämmelse om sökförbud. Av bestämmelsen bör det framgå att det vid behandling av känsliga personuppgifter är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Detta görs lämpligast genom en hänvisning till den föregående paragrafen där stödet finns för att behandla känsliga personuppgifter enligt lagen. Därutöver bör det vara förbjudet att som sökbegrepp använda uppgifter om 1.hinder för mönstring, annan utredning, utbildning, krigsplacering eller annat ianspråktagande av den registrerade för totalförsvarets räkning, 2.boende- och familjeförhållanden samt försörjning, 3.resultat från begåvningstest eller anlagstest som utförs vid mönstring eller annan utredning, 5.lagöverträdelser, säkerhetsprövning enligt säkerhetsskyddslagen samt vilken säkerhetsklass prövningen avsett och resultatet av den. Det föreslagna sökförbudet omfattar samma sökbegrepp som enligt nu gällande reglering med undantag för uppgifter om resultat från kunskapsprov. Anledningen är att totalförsvarspliktiga vid mönstring eller annan utredning inte längre utför kunskapsprov utan begåvningstest. Det innebär att sökförbudet i den nya lagen bör omfatta uppgifter om resultat från begåvningstest eller anlagstest som utförs vid mönstring eller annan utredning. Från sökförbudet i bestämmelsens andra stycke finns det ett behov av att göra vissa generella undantag. Den insamling av uppgifter om och behandling av totalförsvarspliktigas personliga förhållanden som myndigheten utför inom ramen för sin verksamhet, dvs. de uppgifter som tidigare fanns i registret över totalförsvarspliktiga, är betydelsefull som underlag för statistik eller för forskningsändamål. Undantag från förbudet att använda de uppräknade sökbegreppen bör därför göras för framställning av statistik eller för forskningsändamål. De nu föreslagna undantagen gäller även enligt nu gällande lag. Skäl att frångå en sådan ordning har inte kommit fram. Totalförsvarets rekryteringsmyndighet har också behov av att som sökbegrepp använda uppgifter om resultat från begåvningstest och anlagstest för att kunna ta fram underlag för inskrivning av lämpliga personer till grundutbildning med värnplikt. För att samtliga utbildningsplatser ska kunna tillsättas med personer som uppfyller kraven för inskrivning till grundutbildning med värnplikt använder sig myndigheten av 2019/20:51 den s.k. utbildningsreserven. Genom att söka på resultat från de begåvningstester eller anlagstester som utförs vid mönstring eller annan utredning kan myndigheten få fram vilka personer i utbildningsreserven som uppfyller kraven för inskrivning. Därefter kan en bedömning göras av vilka som bör skrivas in till grundutbildning med värnplikt. Uppgifter om resultat från begåvnings- eller anlagstest som utförs vid mönstring eller annan utredning (punkt 3) behöver därför få användas som sökbegrepp för att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret. Totalförsvarets rekryteringsmyndighet har vidare behov av att kunna använda de uppräknade sökbegreppen i punkt 1–5 för planering, uppföljning och utvärdering av Totalförsvarets rekryteringsmyndighets verksamhet. Någon särskild bestämmelse som ger stöd för Totalförsvarets rekryteringsmyndighets behandling av personuppgifter i det här avseendet behöver dock inte införas (se vidare avsnitt 9.2.1). Bestämmelserna i paragrafens andra och tredje stycke torde främst vara av betydelse för den verksamhet som bedrivs av Totalförsvarets rekryteringsmyndighet. Det saknas dock skäl att inte låta personuppgifter som behandlas av en annan statlig myndighet, kommun eller region omfattas av motsvarande sökbegränsning. Hänvisningen till den tidigare bestämmelsen innebär att även sökbegränsningarna i andra och tredje stycket gäller när någon av dessa aktörer behandlar personuppgifter med stöd av lagen. Datainspektionen har efterlyst en vidare analys av konsekvenserna för de undantag från sökförbuden som föreslås. Till en början kan konstateras att det i den nya lagen föreslås ett förbud mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Därutöver föreslås det även ett förbud mot att använda vissa sökbegrepp. De undantag som föreslås i bestämmelsens tredje stycke gäller i förhållande till andra stycket. Som redogörs för ovan medger även gällande reglering en möjlighet att använda vissa sökbegrepp för framställning av statistik eller för forskningsändamål. Det föreslagna undantaget om att de sökbegrepp som anges i punkt 3 även ska få användas vid behandling för att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret syftar till att tillgodose Totalförsvarets rekryteringsmyndighets behov av att på ett ändamålsenligt sätt kunna fullgöra en av myndighetens kärnuppgifter: att skriva in värnpliktiga till grundutbildning. Möjligheten att använda vissa sökbegrepp utökas visserligen genom förslaget men stärks skyddet för enskildas integritet genom de säkerhetsåtgärder som införs genom det nya regelverket. Regleringen är resultatet av en avvägning mellan Totalförsvarets rekryteringsmyndighets behov av att kunna bedriva sin verksamhet på ett ändamålsenligt sätt och skyddet för enskildas integritet. Motsvarande gäller för de övriga aktörer som nämnts ovan. Rätten att göra invändningar Regeringens förslag: Dataskyddsförordningens bestämmelse om rätt för den registrerade att göra invändningar (artikel 21.1) ska inte gälla vid sådan behandling som är tillåten enligt den föreslagna lagen eller föreskrifter som har meddelats med stöd av lagen. Utredningens förslag överensstämmer i sak med regeringens. Utredningen föreslår en annan språklig utformning av bestämmelsen. Remissinstanserna invänder inte mot förslaget. Skälen för regeringens förslag Enligt artikel 21.1 i dataskyddsförordningen ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Rätten att göra invändningar avser sådan behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning eller som sker med stöd av en intresseavvägning (artikel 6.1 e eller f). Om den registrerade gör en invändning får den personuppgiftsansvarige inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. I dataskyddsförordningen ges en möjlighet att i nationell rätt begränsa bl.a. rätten att göra invändningar enligt artikel 21.1 om de förutsättningar som anges i artikel 23 är uppfyllda. Enligt artikel 23.1 får en sådan begränsning införas om den sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Därutöver måste begränsningen ske i syfte att säkerställa något av de i punkterna a–j uppräknade intressena, såsom den nationella säkerheten och försvaret (punkt a och b) Vidare måste den lagstiftning som begränsar den registrerades rättigheter innehålla vissa specifika bestämmelser om bl.a. skyddsåtgärder i enlighet med artikel 23.2. Genom dataskyddslagen gäller dataskyddsförordningen i Totalförsvarets rekryteringsmyndighets verksamhet men som regeringen närmare beskriver nedan föreslås det att rätten att göra invändningar som föreskrivs i förordningen inte ska gälla i myndighetens verksamhet. Rätten att göra invändningar ska inte gälla enligt den nya lagen Totalförsvarets rekryteringsmyndighets verksamhet och behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret utförs i syfte att säkerställa den nationella säkerheten och försvaret. Personuppgiftsbehandlingen grundar sig till övervägande del på skyldigheten för totalförsvarspliktiga att lämna uppgifter om sina person- liga förhållanden i mönstringsunderlaget enligt lagen om totalförsvars- Samtycke från de totalförsvarspliktiga till att uppgifterna behandlas krävs således inte. Den behandling som tillåts enligt denna lag är en förut-