prop · H70351 · 2019-12-05 00:00:00 — sättning för att Totalförsvarets rekryteringsmyndighet ska kunna utföra sitt Att begränsa rätten att göra invändningar mot behandling av personuppgifter om totalförsvarspliktiga och annan personal på totalför- svarsområdet är också nödvändigt för att totalförsvarets personalför- sörjning ska kunna upprätthållas. En totalförsvarspliktig bör därför inte kunna invända mot behandlingen med följden att personuppgifterna inte längre får behandlas om inte myndigheten kan påvisa tvingande be- rättigade skäl för behandlingen. En möjlighet för den registrerade att invända mot behandlingen skulle kunna få stora konsekvenser för be- manningen av totalförsvaret. Regeringen anser därför att en begränsning av rätten att invända mot den personuppgiftsbehandling som sker med stöd av den nya lagen både är nödvändig och proportionerlig i förhållande till sitt syfte att säkerställa ett viktigt mål av generellt allmänt intresse. Totalförsvarsdatalagen föreslås dessutom innehålla specifika be- stämmelser om bl.a. ändamålen med behandlingen, de uppgifter som får behandlas och sökbegränsningar. Totalförsvarets rekryteringsmyndighet ska vidare tillämpa dataskydds- lagen och därmed dataskyddsförordningens bestämmelser om skyddsåt- gärder när det gäller bl.a. kravet på effektiva rättsmedel och säkerhet för personuppgifter (se avsnitt 17 och 19.1). Även övriga rättigheter för en- skilda som regleras i dataskyddsförordningen, såsom rätten till rättelse, radering och begränsning av behandling (artiklarna 16–18) liksom rätten till information och tillgång till personuppgifter (artikel 13–15 och 5 kap. 1–3 §§ dataskyddslagen) kommer att gälla rekryteringsmyndighet vid dess behandling av personuppgifter (se avsnitt Regeringen anser därmed att bestämmelser med det innehåll som krävs enligt artikel 23.2 i dataskyddsförordningen, bl.a. bestämmelser om skyddsåtgärder, finns i den reglering som föreslås gälla för myndighetens En bestämmelse om att dataskyddsförordningens bestämmelse om rätt för den registrerade att göra invändningar (artikel 21.1) inte ska gälla vid sådan behandling som är tillåten enligt den föreslagna lagen eller före- skrifter som har meddelats med stöd av lagen bör därför införas i den nya Bestämmelsen bör utformas på samma sätt som motsvarande be- stämmelser i 18 b § utlänningsdatalagen (2016:27) och 1 kap. 8 § lagen (2001:183) om behandling av personuppgifter i verksamhet med val och Regeringens förslag: Tillgången till personuppgifter vid Totalför- svarets rekryteringsmyndighet, en annan statlig myndighet, en kommun eller region ska begränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. En upplysningsbestämmelse införs om att regeringen eller den myn- dighet regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare föreskrifter om hur tillgången till personupp- gifter ska begränsas. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: välkomnar förslaget om till- gång till uppgifter och påtalar att det är viktigt att en restriktiv hållning intas från myndighetens sida i förverkligandet av denna paragraf. remissinstanser kommenterar inte förslaget särskilt. Skälen för regeringens förslag: Inom Totalförsvarets rekryterings- myndighet sker en omfattande behandling av personuppgifter med ett ofta mycket integritetskänsligt innehåll. Många av de uppgifter som behandlas är känsliga personuppgifter. Det är därför särskilt angeläget att tillgången till uppgifterna som behandlas inom myndigheten begränsas för att und- vika att de sprids till någon som inte är behörig att ta del av dem. de anställda som på grund av sina arbetsuppgifter behöver åtkomst till uppgifterna bör ha tillgång till dem. En bestämmelse där en sådan princip uttrycks bör tas in i den nya lagen. Genom bestämmelsen i 8 § andra stycket i den nya lagen får även vissa andra aktörer behandla känsliga personuppgifter om totalförsvarspliktiga. Som utredningen konstaterar är det viktigt att åtkomsten till uppgifterna begränsas även vid t.ex. Försvarsmaktens behandling av personuppgifter med stöd av lagen. I den nya lagen bör det därför tydliggöras att bestäm- melsen om tillgång till uppgifter gäller Totalförsvarets rekryterings- myndighet, annan statlig myndighet, en kommun eller region. Bestämmelsen utgör en sådan säkerhetsåtgärd som syftar till att säker- ställa den registrerades grundläggande rättigheter och intressen. åligger därmed Totalförsvarets rekryteringsmyndighet, annan statlig myn- dighet, en kommun eller region i egenskap av personuppgiftsansvarig att begränsa tillgången till uppgifter för anställda så att obefogad spridning Det innebär bl.a. att det vid tilldelning av behörighet för åt- komst till personuppgifter särskilt bör beaktas att det, utöver behovet av uppgifterna, ställs krav på utbildning och lämplighet. ansvariga ansvarar vidare för att det inom organisationen finns rutiner för tilldelning, förändring, borttagning och regelbunden uppföljning av behörigheter för åtkomst till personuppgifterna. Regeringen anser att bestämmelsen om tillgång till personuppgifter bör kompletteras med en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regerings- formen kan meddela ytterligare föreskrifter om hur tillgången till person- uppgifter ska begränsas. Regeringens förslag: Direktåtkomst till personuppgifter hos Totalförsvarets rekryteringsmyndighet får endast medges Försvarsmakten och den registrerade. Den registrerade får endast ha direktåtkomst till personuppgifter som rör honom eller henne. 2019/20:51 En upplysningsbestämmelse införs om att regeringen eller den myndighet regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare föreskrifter om begränsningar av direktåtkomsten och föreskrifter om behörighet och säkerhet vid sådan åtkomst. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår även att regeringen ska få meddela föreskrifter om att medge annan aktör direktåtkomst än de som räknas upp i lagen. Remissinstanserna: Datainspektionen delar utredningens bedömning att den föreslagna direktåtkomsten, med hänsyn till kravet på skydd för den registrerades integritet, bör hållas begränsad. Datainspektionen noterar det positiva i att vilka personuppgifter som omfattas av den medgivna direktåtkomsten regleras i föreslagen förordning samt att den registrerade endast ska få åtkomst till uppgifter som rör den registrerade själv. kan konstateras att förslaget innebär en viss utvidgning av de kategorier av personuppgifter som berörs. Datainspektionen önskar därför påminna om vikten av att myndigheter genomför interna kontroller för att säkerställa att dessa begränsningar efterlevs. Det åligger Totalförsvarets rekryteringsmyndighet att kontrollera och säkerställa att det hos mottagaren finns ett tillräckligt och fullgott skydd för de personuppgifter som de får tillgång till. kommun förordar att kommuners fortsatta registeråtkomst möjliggörs. Övriga remissinstanser tillstyrker förslaget eller kommenterar det inte särskilt. Skälen för regeringens förslag Det finns inte någon legaldefinition av uttrycket direktåtkomst. Det som vanligen avses med direktåtkomst är att någon har direkt tillgång till någon annans register eller databas och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. Enligt bör direktåtkomst anses föreligga om en myndighet hos en annan myndighet har sådan teknisk tillgång till upptagningar som avses i 2 kap. 6 § första stycket tryckfrihetsförordningen, dvs. om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (se Myndighetsdatalag, SOU 2015:39, s. 390 f.). använde i avgörandet HFD 2015 ref. 61, som avsåg utlämnande av uppgifter i form av upptagning mellan myndigheter, samma definition av direktåtkomst. I begreppet direktåtkomst ligger också att den som är personuppgiftsansvarig för registret eller databasen saknar kontroll över vilka uppgifter som den som har direktåtkomst vid ett visst tillfälle tar del av. Vid direktåtkomst fattas beslutet om överföring i varje enskilt fall av mottagaren. Den faktiska begränsningen av direktåtkomsten görs med hjälp av olika tekniska lösningar, beroende på hur omfattningen av direktåtkomsten har begränsats i det enskilda fallet. Direktåtkomst enligt nuvarande reglering Enligt 12 § lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga har Totalförsvarets rekryteringsmyndighet direktåtkomst till det automatiserade registret över totalförsvarspliktiga. Vidare får regeringen meddela föreskrifter om att annan får ha direktåtkomst till registret. Av förarbetena (prop. 1997/98:80 s. 64) till bestämmelsen framgår att direktåtkomsten till det automatiserade registret över totalförsvarspliktiga av hänsyn till kravet på skydd för den registrerades personliga integritet bör hållas begränsad men att direktåtkomst av effektivitetsskäl bör tillåtas i de fall ett verkligt behov av sådan åtkomst föreligger, under förutsättning att erforderligt skydd för uppgifterna kan garanteras. Vidare anges att bestämmelserna om direktåtkomst i praktiken måste vara relativt detaljerade och att det inte är uteslutet att de behöver ändras med relativt täta mellanrum. Direktåtkomsten bör därför enligt regeringens bedömning regleras i förordningsform (a. prop. s. 65). I förordningen (1998:1229) om behandling av personuppgifter om totalförsvarspliktiga anges vilka aktörer som får medges direktåtkomst till registret över totalförsvarspliktiga. Av 3 § framgår att de myndigheter, kommuner, landsting och bolag som anges i bilaga 1 till förordningen får ha direktåtkomst till automatiserat register över totalförsvarspliktiga i enlighet med vad som anges i bilagan. Behandling av personuppgifter om totalförsvarspliktiga enligt första stycket får endast utföras om den är nödvändig för den egna verksamheten. Totalförsvarets rekryteringsmyndighet ska ställa de villkor för direktåtkomsten och registreringen av uppgifter som myndigheten bedömer vara nödvändiga för registrets säkerhet. Försvarsmaktens behov av direktåtkomst Försvarsmakten får enligt gällande regelverk ha direktåtkomst till registret över totalförsvarspliktiga och myndigheten har också medgetts sådan åtkomst till vissa personuppgifter hos Totalförsvarets rekryteringsmyndighet. Direktåtkomsten omfattar följande personuppgifter: –personnummer eller samordningsnummer, namn, adress, telefonnummer och folkbokföringsort, –hinder för genomförande av mönstring och annan utredning om den totalförsvarspliktiges förhållanden som kan utföras enligt lagen (1994:1809) om totalförsvarsplikt, för utbildning eller för krigsplacering eller annat ianspråktagande av den registrerade för totalförsvarets räkning, –utbildning, anställning, kunskaper, färdigheter, anlag och intressen som har betydelse för bedömningen av den registrerades användbarhet inom totalförsvaret, –om den registrerade är svensk medborgare eller inte, –att den registrerade genomgått säkerhetsprövning enligt säkerhetsskyddslagen (2018:585), vilken säkerhetsklass prövningen avsett och resultatet av denna, och –tjänstgöring inom totalförsvaret samt betyg, vitsord, förordnanden och utmärkelser som är att hänföra till denna. Försvarsmaktens behov av direktåtkomst har inte minskat. Tvärtom har behovet av elektroniskt informationsutbyte ökat avsevärt sedan nuvarande 2019/20:51 reglering trädde i kraft. Såväl Försvarsmakten som Totalförsvarets rekryteringsmyndighet har ofta behov av att snabbt och enkelt få omedelbar tillgång till information om totalförsvarspliktiga. Direktåtkomst till sådana uppgifter innebär fördelar och effektivitetsvinster för båda myndigheterna. Mot bakgrund av att det i Totalförsvarets rekryteringsmyndighets informationssystem finns stora mängder personuppgifter registrerade, varav många är av känslig karaktär, bör möjligheten att medge Försvarsmakten direktåtkomst till personuppgifter vid Totalförsvarets rekryteringsmyndighet anges i lag. Det är ur ett integritetshänseende viktigt att Försvarsmaktens direktåtkomst endast omfattar uppgifter som myndigheten har ett verkligt behov av. När det gäller ytterligare begränsningar av direktåtkomsten, tex. vilka personuppgifter som direktåtkomsten ska omfatta bör detta regleras så precist som möjligt. Behovet av personuppgifter kan variera . Den närmare regleringen om vilka personuppgifter Försvarsmakten ska få direktåtkomst till bör därför regleras i förordning. De registrerades behov av direktåtkomst Nuvarande reglering innehåller ingen bestämmelse om direktåtkomst för den enskilde beträffande hans eller hennes personuppgifter vid Totalförsvarets rekryteringsmyndighet. Totalförsvarets rekryteringsmyndighets behandling och handläggning av uppgifter om totalförsvarspliktiga vid mönstring, utbildning, tjänstgöring eller liknande, bygger i allt större utsträckning på elektronisk hantering och kommunikation med såväl de totalförsvarspliktiga som berörda myndigheter. I enlighet med utredningens förslag bör det därför vara möjligt för Totalförsvarets rekryteringsmyndighet att lämna ut uppgifter genom direktåtkomst till den registrerade själv. Möjligheten till direktåtkomst i dessa fall bör givetvis begränsas till personuppgifter som hänför sig till den registrerade själv. I den nya lagen bör det således införas en bestämmelse som anger att den registrerade får medges direktåtkomst till personuppgifter som rör honom eller henne. Övriga aktörers behov av direktåtkomst I fråga om de övriga aktörer som enligt nuvarande reglering får medges direktåtkomst till vissa uppgifter hos Totalförsvarets rekryteringsmyndighet kan det konstateras att ingen av dessa har medgetts direktåtkomst sedan lagens tillkomst. kommun har förordat att kommunens möjlighet till direktåtkomst till uppgifter i Totalförsvarets rekryteringsmyndighets register ska möjliggöras även fortsättningsvis. Regeringen anser dock att det inte framkommit att det finns ett behov av direktåtkomst på det sätt som nuvarande reglering medger. Den omständigheten att vissa av de uppräknade aktörerna, i egenskap av utbildnings- och bemanningsansvariga myndigheter inom det militära och civila försvaret, kan ha visst behov av uppgifter om den egna personalen respektive de som antagits till utbildning utgör inte tillräckligt skäl för att de i den nya lagen ska få medges direktåtkomst. Andra metoder för utlämnande av uppgifter får således användas i fråga om dessa aktörer. Det kan dock inte uteslutas att det framöver uppkommer ett behov av att medge andra aktörer direktåtkomst. Ett sådant behov skulle t.ex. uppstå om civilplikten återaktiveras. situationen får det närmare utredas vilka aktörer som i sådana fall bör med- Prop. 2019/20:51 ges direktåtkomst. Regeringen kan därefter återkomma i frågan. Enligt artiklarna 24.1 och 32 i dataskyddsförordningen ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen av personuppgifter utförs i enlighet med förordningen och att en lämplig säkerhetsnivå säkerställs. Eftersom direktåtkomst typiskt sett anses innebära att risken för kränkningar av den enskildes integritet blir större behövs särskilda regler som säkerställer skyddet för personuppgifterna vid direktåtkomst. Vid direktåtkomst är det viktigt att mottagaren endast har direktåtkomst till sådana uppgifter som denne verkligen kan antas ha behov av. Innan Totalförsvarets rekryteringsmyndighet medger direktåtkomst till personuppgifter ska myndigheten göra en risk- och sårbarhetsanalys. Totalförsvarets rekryteringsmyndighet ska då kontrollera att mottagande aktörer har ett tillräckligt skydd för mottagna personuppgifter. Regeringen avser att i förordning införa bestämmelser om vilka uppgifter som får omfattas av direktåtkomsten och bestämmelser om att Totalförsvarets rekryteringsmyndighet inte får medge någon direktåtkomst innan myndigheten har försäkrat sig om att mottagaren uppfyller kraven på behörighet och säkerhet. Den typen av bestämmelser finns också i förordningen om behandling av personuppgifter om totalförsvarspliktiga. Regeringen anser att bestämmelsen om direktåtkomst bör kompletteras med en upplysningsbestämmelse om att regeringen eller den myndighet regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst. En sekretessbrytande regel för Regeringens förslag: I lagen införs en sekretessbrytande bestämmelse om uppgiftsskyldighet i förhållande till Försvarsmakten som motsvarar den direktåtkomst som myndigheten får medges. Utredningens förslag överensstämmer med regeringens. Remissinstanserna invänder inte mot förslaget. Skälen för regeringens förslag: Bestämmelser om direktåtkomst anses inte ha någon sekretessbrytande verkan (se t.ex. prop. 2004/05:164 s. 83). Regler om direktåtkomst brukar därför ofta kompletteras med sekretess- brytande bestämmelser som är utformade som regler om uppgiftsskyldig- För att en bestämmelse om uppgiftsskyldighet ska ha sekretess- brytande effekt krävs antingen att den föreskriver en skyldighet för en myndighet att lämna ut uppgifter till en annan myndighet eller att den före- 2019/20:51 skriver en rätt för en myndighet att ta del av uppgifter hos en annan myndighet (se prop. 2007/08:160 s. 70–72). Av 8 kap. 1 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, följer att en uppgift för vilken sekretess gäller enligt den lagen inte får röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. I 10 kap. OSL finns ett flertal sekretessbrytande bestämmelser som innebär att sekretess inte hindrar ett utbyte av uppgifter mellan myndigheter. Enligt 10 kap. 28 § hindrar inte heller sekretess att en uppgift lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning. Med stöd av den paragrafen kan sekretessbrytande bestämmelser vid direktåtkomst införas. För Totalförsvarets rekryteringsmyndighets del finns en sekretessbrytande bestämmelse i förordningen (1995:238) om totalförsvarsplikt. Av 3 kap. 16 § framgår bl.a. att Totalförsvarets rekryteringsmyndighet, i samband med att en totalförsvarspliktig rycker in för värnplikt eller civilplikt med längre grundutbildning än , ska lämna de journalhandlingar som upprättas vid mönstring till hälso- och sjukvårdspersonalen vid den organisatoriska enhet hos en myndighet, en kommun eller ett landsting där den grundutbildningen ska genomföras (första stycket). Totalförsvarets rekryteringsmyndighet ska lämna uppgifter om den totalförsvarspliktiges psykiska funktionsförmåga, fysiska arbetsförmåga, allmänna begåvning och hälsotillstånd till den befattningshavare på en sådan enhet som anges i första stycket som har till uppgift att utbilda den totalförsvarspliktige (andra stycket). Totalförsvarets rekryteringsmyndighet ska också och till samma enheter som anges i första stycket lämna uppgift i form av fotografisk bild av den totalförsvarspliktige från det register som myndigheten för över sådana uppgifter. En sådan uppgift ska på begäran även lämnas till , , , , , och (tredje stycket). Den skyldighet som finns i 3 kap. 16 § förordningen om totalförsvarsplikt om att lämna ut uppgifter till exempelvis Försvarsmakten motsvarar emellertid inte den direktåtkomst som myndigheten får medges och har behov av. Exempelvis har Försvarsmakten även behov av direktåtkomst till personuppgifter vid utförandet av en utredning om den totalförsvarspliktiges personliga förhållanden med stöd av 2 kap. 1 § lagen (1994:1809) om totalförsvarsplikt (se föregående avsnitt). Regeringen föreslår därför en ny sekretessbrytande bestämmelse om uppgiftsskyldighet i förhållande till Försvarsmakten. En sådan bestämmelse korresponderar med den ändamålsbestämmelse som regeringen föreslår ska införas i lagen, vilken medger att personuppgifter också får behandlas för sådant uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. Den sekretessbrytande bestämmelsen bör formuleras som en rätt för Försvarsmakten att vid direktåtkomst ta del av de personuppgifter som omfattas av åtkomsten. Vilka personuppgifter Försvarsmakten ska få direktåtkomst till regleras i förordning (se avsnitt 14). Den föreslagna bestämmelsen gäller endast i förhållande till Försvarsmakten. Enligt 12 kap. 1 § OSL gäller sekretess till skydd för en enskild som regel inte i förhållande till den enskilde själv. Behov av att införa en Prop. 2019/20:51 sekretessbrytande regel i förhållande till enskilda finns därför inte. Flera sekretessbestämmelser skyddar de uppgifter som omfattas av direktåtkomsten En viktig fråga när det gäller utlämnande genom direktåtkomst är om de uppgifter som ska lämnas ut omfattas av sekretess hos den mottagande myndigheten. Av 11 kap. 4 § OSL framgår att om en myndighet har direktåtkomst till sekretessreglerade uppgifter hos en annan myndighet blir sekretessbestämmelsen tillämplig även hos den mottagande myndigheten. Enligt 11 kap. 8 § OSL har dock primär sekretess företräde framför överförd sekretess. Bestämmelsen i 11 kap. 4 § OSL ska således inte tillämpas om det finns en annan primär sekretessbestämmelse till skydd för samma intressen som är tillämplig hos den mottagande myndigheten. De uppgifter som Totalförsvarets rekryteringsmyndighet kommer att kunna medge Försvarsmakten direktåtkomst till med stöd av den nya lagen kan omfattas av sekretess enligt 15 kap. 2 § (försvarssekretess), 21 kap. 1 § (sekretess till skydd för uppgift om enskilds personliga förhållanden) och 25 kap. 1 § OSL (hälso- och sjukvårdssekretess). Dessa bestämmelser är primära sekretessbestämmelser och ska tillämpas av båda myndigheterna. Uppgifter om enskildas personliga förhållanden som Totalförsvarets rekryteringsmyndighet behandlar vid bl.a. utredning om totalförsvarspliktigas personliga förhållanden, inskrivning och krigsplacering av totalförsvarspliktiga kan också omfattas av sekretess enligt 38 kap. 1 § OSL. För uppgifterna råder en presumtion för offentlighet (rakt skaderekvisit). Hos Försvarsmakten omfattas motsvarande uppgifter av 38 kap. 3 § OSL. Enligt den bestämmelsen råder en presumtion för sekretess avseende uppgifterna (omvänt skaderekvisit). Bestämmelsen är primär och har således företräde framför överförd sekretess. Eftersom skyddet för uppgifterna är starkare hos Försvarsmakten än hos Totalförsvarets rekryteringsmyndighet finns det inte något behov av att införa några nya sekretessbestämmelser till skydd för de uppgifter som lämnas till Försvarsmakten genom direktåtkomst. 16Försvarsmakten får föra in och rätta uppgifter Regeringens förslag: Försvarsmakten får föra in och rätta personuppgifter om totalförsvarspliktiga i Totalförsvarets rekryteringsmyndighets informationssystem. En upplysningsbestämmelse införs om att regeringen eller den myndighet regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela närmare föreskrifter om Försvarsmaktens behandling av personuppgifter enligt första stycket och föreskrifter om behörighet och säkerhet vid sådan behandling. Utredningens förslag överensstämmer delvis med regeringens. Remissinstanserna: Försvarsmakten har inget att invända mot förslag- Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt 13 § lagen (1998:938) om be- handling av personuppgifter om totalförsvarspliktiga får regeringen med- dela föreskrifter om att annan än Totalförsvarets rekryteringsmyndighet får föra in uppgifter om totalförsvarspliktiga i det automatiserade registret över totalförsvarspliktiga och rätta dessa. Av 3 § första stycket förord- ningen (1998:1229) om behandling av personuppgifter om totalförsvars-