prop · H70351 · 2019-12-05 00:00:00 — I betänkandet redovisas även vissa andra frågeställningar som har ingått i uppdraget. Allmänna utgångspunkter för den nya regleringen Vår kartläggning av personuppgiftsbehandling visar att behandlingen är omfattande och att myndigheten i allt större utsträckning använder sig av elektronisk behandling av personuppgifter i sin verksamhet. Den nuvarande regleringen fungerar i huvudsak väl men är i behov av modernisering för att bättre vara anpassad till annan reglering inom rättsområdet och för att möta såväl myndighetens som uppdragsgivarnas krav. Vi föreslår att en ny lag införs, som ska heta totalförsvarsdatalag, samt en anslutande förordning. Den nya regleringen ska ersätta den nu gällande lagen och förordningen om behandling av personuppgifter om totalförsvarspliktiga som därigenom upphävs. Vi föreslår att regleringen av behandling av personuppgifter inte ska vara helt fristående utan anpassas till bestämmelserna i dataskyddsförordning och den kompletterande dataskyddslagen. I den nya lagen införs därför en bestämmelse som anger att dataskyddslagen gäller vid behandling av personuppgifter i verksamhet, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen. subsidiär i förhållande till denna lag eller föreskrifter som har meddelats med stöd av lagen. Till följd av bestämmelserna i dataskyddslagen kompletterar den nya lagen dataskyddsförordningen som, i tillämpliga delar, blir direkt tillämp- lig vid behandling av personuppgifter i verk- Uttrycket ”tillämpliga delar” tydliggör att vissa bestämmelser i dataskyddsförordningen inte kan tillämpas i rent nationell verksamhet och därmed inte av . Vårt förslag till ny reglering innebär att de grundläggande reglerna för behandling av personuppgifter om totalförsvarspliktiga ges i form av lag. De grundläggande reglerna avser, med beaktande av 2 kap. 6 § andra stycket regeringsformen, både moment i personuppgiftsbehandlingen som kan uppfattas som intrång i enskilds personliga förhållanden och sådant som är centralt för skyddet av den enskildes personliga integritet. föreslår att övriga bestämmelser ges i form av förordning och komp- Den nya lagen ges en mer generell utformning jämfört med den lag som inte bestämmelser som, till skillnad från vad som är fallet , särskilt tar sikte på att viss behandling sker i register. I lagen anges inte heller vilka kategorier av personer eller personuppgifter som får behandlas utan alla personuppgifter får behandlas som är nödvändiga för de ändamål för vilken behandlingen får utföras. Lagens syfte och tillämpningsområde Lagens syfte är att ge möjlighet att i sin verk- samhet behandla personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret på ett effektivt och ändamålsenligt sätt sam- tidigt som skyddet för den enskildes personliga integritet tillgodoses vid Lagen ska tillämpas i verksamhet vid behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret. Här avses den behandling som Rekryterings- myndigheten på grund av sitt uppdrag utför beträffande både totalförsvars- pliktiga samt anställd personal och avtalspersonal inom totalförsvaret. Lagen gäller i de fall det anges särskilt även i verksamhet som bedrivs av någon annan än . Ett sådant fall är då behandling av känsliga personuppgifter sker vid annan utredning enligt lagen (1994:1809) om totalförsvarsplikt. Ett annat fall är om Försvarsmakten eller annan aktör medges rätt att föra in och rätta personuppgifter i Utanför lagens tillämpningsområde faller administrativa verksamhet och civila uppdragsverksamhet. tillämpas inte heller vid behandling som utför i egenskap av vårdgivare inom hälso- och sjukvården. tillämpas, precis som tidigare, patientdatalagen (2008:355). kommer att bemanningsansvariga organ lämnar personuppgifter om total- 2019/20:51 Bilaga 1 försvarspliktiga till eller tar emot sådana uppgifter från myndigheten. Sådan behandling av personuppgifter om totalförsvarspliktiga som bemanningsansvariga organ utför faller också utanför lagens tillämpningsområde. Lagens tillämpningsområde begränsas också genom att lagen endast ska tillämpas vid sådan behandling av personuppgifter som är helt eller delvis automatisk eller som ingår i eller kommer att ingå i en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier. I lagen klargörs att är personuppgiftsansvarig för den behandling som myndigheten utför. Rättslig grund och tillåtna ändamål Enligt dataskyddsförordningen är behandling av personuppgifter laglig endast om den grundar sig på åtminstone en av vissa särskilt uppräknade rättsliga grunder. För ett par av de rättsliga grunderna krävs att de ska vara fastställda i unionsrätten eller i nationell rätt, bl.a. i fråga om den rättsliga grunden allmänt intresse. behandling av personuppgifter grundar sig framför allt på denna rättsliga grund. Vår bedömning är att den rättsliga grunden är fastställd i förordningen (2010:1472) med instruktion för Totalförsvarets rekryteringsmyndighet (myndighetsinstruktionen). Dataskyddsförordningens krav i denna del medför därför inte något behov av ytterligare författningsstöd. I lagen anges uttömmande de primära ändamål för vilka personuppgifter får behandlas i verksamhet i syfte att precisera den rättsliga grunden för behandlingen. De primära ändamålen motsvarar de centrala delarna i verksamhet, bl.a. att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret samt att redovisa personal med uppgifter inom totalförsvaret. Av lagen framgår även att personuppgifter som har samlats in för något av de primära ändamålen får behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Behandling av känsliga personuppgifter I verksamhet förekommer känsliga personuppgifter i stor utsträckning. Dataskyddsförordningens bestämmelser innebär att det som huvudregel är förbjudet att behandla känsliga personuppgifter, men det finns vissa undantag som tillåter behandling. Den kompletterande dataskyddslagen ger stöd för ytterligare behandling av känsliga personuppgifter på myndighetsområdet. Vår bedömning är att undantagen i dataskyddsförordningen och dataskyddslagen inte är tillräckliga för att ska kunna utföra sin verksamhet. Vi föreslår därför en bestämmelse i den nya lagen som tillåter att känsliga personuppgifter därutöver får behandlas om det är absolut nödvändigt för de primära och sekundära ändamålen i lagen. Även annan än ges vid annan utredning enligt lagen om totalförsvarsplikt motsvarande rätt att behandla känsliga personuppgifter. absolut nödvändighet markeras att behandlingen ska ske med restriktivitet och att behovet av att behandla den känsliga personuppgiften ska prövas noga i det enskilda fallet. Behandling av känsliga personuppgifter förut- sätter också att behandlingen är tillåten enligt de grundläggande principerna i dataskyddsförordningen. För att minska risken för integritetsintrång ska tillgången till personupp- gifter hos begränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. I lagen införs bestämmelser om att direktåtkomst får medges Försvars- makten och den registrerade själv. Regeringen får meddela föreskrifter om omfattningen av den direktåtkomst som medges Försvarsmakten. åtkomst för den registrerade själv får endast avse personuppgifter i den registrerades eget ärende. Regeringen ges genom ett bemyndigande en be- gränsad befogenhet att meddela föreskrifter om att medge även annan Direktåtkomsten ska därvid begränsas till de person- uppgifter som aktören behöver för att fullgöra sina uppgifter enligt lag eller förordning och får endast avse vissa uppgifter. Utlämnande av uppgifter till myndigheter Bestämmelserna om direktåtkomst bryter inte eventuell sekretess som kan gälla för personuppgifterna. En sekretessbrytande bestämmelse om upp- giftsskyldighet i förhållande till Försvarsmakten som motsvarar den direktåtkomst som myndigheten får medges införs därför i den nya lagen. För det fall behov skulle uppstå att medge andra myndigheter än Försvars- makten direktåtkomst ges regeringen befogenhet att meddela sekretess- brytande föreskrifter som möjliggör sådan åtkomst. För att tillgodose dataskyddsförordningens krav på särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen införs ett förbud mot att använda känsliga personuppgifter som sök- I lagen förbjuds också användning av vissa andra integritets- känsliga uppgifter som sökbegrepp. Sådana uppgifter får dock användas som sökbegrepp vid behandling för ändamålet att planera, följa upp och utvärdera verksamhet eller då uppgifter lämnas ut för framställning av statistik eller för forskningsändamål. gifter om resultat från begåvningstest eller anlagstest som utförs vid mönstring eller annan utredning får även användas som sökbegrepp vid behandling för ändamålet att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till 2019/20:51 Bilaga 1 Annans registrering och rättelse av personuppgifter I lagen införs en bestämmelse som ger Försvarsmakten rätt att föra in och rätta personuppgifter i informationssystem i den omfattning som följer av förordning. Försvarsmakten är personuppgiftsansvarig för behandling enligt bestämmelsen. Regeringen ges befogenhet att meddela föreskrifter om att även andra aktörer än Försvarsmakten kan medges rätt att registrera och rätta personuppgifter. Avskiljande av personuppgifter från den löpande verksamheten Vår kartläggning av behandling av personuppgifter visar att någon gallring i egentlig mening, dvs. att informationen förstörs, i allmänhet inte förekommer. Däremot avskiljs personuppgifter från de olika informationssystemen där de behandlas när de inte längre behövs för de olika ändamål för vilka de har samlats in. Det finns ett fortsatt stort behov av att huvuddelen av uppgifterna bevaras i myndighetens s.k. forskningsarkivregister i syfte att utgöra underlag för forskning. Någon särskild bestämmelse om gallring införs därför inte i den nya lagen. I stället ska , i egenskap av personuppgiftsansvarig, avskilja personuppgifter så att tillgången till dem begränsas när de inte längre behövs i myndighetens löpande verksamhet för de primära ändamålen. Det är ansvar att dels införa rutiner för när och på vilket sätt avskiljandet ska ske, dels begränsa tillgången till avskilda personuppgifter till det som varje anställd behöver för att kunna utföra sina arbetsuppgifter. För att tillgodose integritetsskyddet föreskrivs i lagen en yttersta gräns för hur länge personuppgifter om totalförsvarspliktiga får behandlas i den löpande verksamheten. Uppgifterna ska som regel avskiljas senast vid utgången av det kalenderår den totalförsvarspliktige fyller , dvs. vid totalförsvarspliktens upphörande. Om det står klart att uppgifterna inte behövs utifrån de primära ändamålen ska de avskiljas . Ett undantag införs dock för det fall där den totalförsvarspliktige, efter att totalförsvarsplikten har upphört, har en uppgift att utföra vid höjd beredskap. Regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om avskiljande. Vissa bestämmelser i dataskyddsförordningen och dataskyddslagen som inte ska tillämpas Vi föreslår att vissa bestämmelser i dataskyddsförordningen och dataskyddslagen inte ska gälla vid behandling av personuppgifter enligt lagen. Dataskyddsförordningens bestämmelser om den registrerades rätt att göra invändningar samt anmälan av en personuppgiftsincident till tillsynsmyndigheten och information till den registrerade i samband därmed ska inte gälla vid behandling enligt denna lag eller föreskrifter som har meddelats med stöd av lagen. ska inte heller kunna förbjuda att behandla personuppgifter. I övrigt ska dock bestämmelserna om tillsynsmyndighetens befogenheter i dataskyddsförordningen och dataskyddslagen tillämpas vid behandling enligt lagen. Vissa andra frågor av särskild vikt för dataskyddet I betänkandet har vi också tagit upp vissa andra frågor som är av särskild vikt för dataskyddet, bl.a. den registrerades rätt till rättelse, radering och begränsning av behandling, dataskyddsombud, säkerhet för personuppgifter, den registrerades rätt till information och tillgång till personuppgifter och rätten till skadestånd. Vi har funnit att regleringen i dataskyddsförordningen och dataskyddslagen är tillräcklig i dessa delar. Vi bedömer alltså att något behov av en särskild reglering för behandling av personuppgifter inte finns. Några sådana bestämmelser föreslås därför inte i den nya lagen. I dataskyddsförordningen och i viss utsträckning även i den kompletterande dataskyddslagen finns också andra bestämmelser som ska tillämpas av men som inte behandlas särskilt i detta betänkande. Ett sådant exempel är bestämmelser om överklagande. Det finns inget behov av andra sekretessbestämmelser än de som redan finns i offentlighets- och sekretesslagen (2009:204) för att skydda totalförsvarspliktigas personliga integritet. Sekretesskyddet behöver dock stärkas i ärenden som rör utredning, inskrivning, krigsplacering m.m. Sekretess enligt 38 kap. 1 § offentlighets- och sekretesslagen föreslås därför gälla med ett s.k. omvänt skaderekvisit, dvs. med presumtion för sekretess. Vi föreslår också att det i offentlighets- och sekretesslagen införs en ny sekretessbrytande bestämmelse som innebär att sekretess inte hindrar att uppgift lämnas från den verksamhet som i egenskap av vårdgivare bedriver inom hälso- och sjukvården, dvs. den medicinska grenen av verksamheten, till myndighetens inskrivningsverksamhet. Den nya lagen och förordningen liksom lagen om ändring i offentlighets- och sekretesslagen föreslås träda i kraft . Sammantaget gör vi bedömningen att våra förslag innebär en förstärkning av skyddet för enskildas personliga integritet. Förslagen kan i vissa enskilda delar uppfattas ha negativa konsekvenser för den personliga integriteten. I dessa delar har den avvägning som vi har gjort mellan detta och andra intressen redovisats. Förslagen kommer inte att innebära någon kostnadsökning för det allmänna eller för enskilda och förväntas inte få några konsekvenser i övrigt. 2019/20:51 Bilaga 1 2019/20:51 Bilaga 2 1 § Syftet med denna lag är att ge Totalförsvarets rekryteringsmyndighet () möjlighet att i sin verksamhet behandla personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret på ett effektivt och ändamålsenligt sätt som skyddet för den enskildes personliga integritet tillgodoses vid sådan behandling. 2 § Denna lag tillämpas i verksamhet vid behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret. I de fall det anges särskilt gäller lagen även i verksamhet som bedrivs av någon annan än . När sådan behandling av personuppgifter som avses i första stycket utförs av i egenskap av vårdgivare inom hälso- och sjukvården tillämpas patientdatalagen (2008:355). 3 § Lagen tillämpas vid sådan behandling av personuppgifter som är helt eller delvis automatisk. Lagen gäller även för annan behandling av personuppgifter som ingår i eller kommer att ingå i en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier. Förhållandet till annan dataskyddsreglering 4 § Lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) gäller vid behandling av personuppgifter i verksamhet, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen. Vad som anges i första stycket innebär att denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskyddsförordningen. 5 § Vid behandling enligt denna lag eller föreskrifter som har meddelats med stöd av lagen gäller inte följande bestämmelser i dataskyddsförordningen och dataskyddslagen: 1. artikel 21.1 i dataskyddsförordningen om rätt att göra invändningar, 2. artikel 33 i dataskyddsförordningen om anmälan av en personuppgiftsincident till tillsynsmyndigheten, 3.artikel 34 i dataskyddsförordningen om information till den registrerade om en personuppgiftsincident, och 4. artikel 58.2 f i dataskyddsförordningen och 6 kap. 1 § dataskyddslagen om tillsynsmyndighetens befogenhet att införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling. 6 § ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. 7 § Personuppgifter får behandlas om det behövs för att 1.ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret, 2.redovisa personal med uppgifter inom totalförsvaret, 3.säkerställa att den registrerade fortlöpande får ändamålsenlig utbildning och lämplig placering inom totalförsvaret, 4.se till att den registrerade fullgör sina skyldigheter i fråga om totalförsvarsplikten, 5.tillgodose den registrerades rättigheter och trygghet i egenskap av totalförsvarspliktig, 6.fullgöra serviceskyldighet gentemot bemanningsansvariga organ inom totalförsvaret, och 7.planera, följa upp och utvärdera den verksamhet som anges i 1–6. 8 § Personuppgifter som behandlas enligt 7 § får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Behandling av känsliga personuppgifter 9 § Utöver vad som följer av 3 kap. dataskyddslagen får känsliga personuppgifter behandlas om det är absolut nödvändigt för de ändamål som anges i 7 och 8 §§. Vad som anges i första stycket gäller även vid annan utredning om den totalförsvarspliktiges personliga förhållanden som enligt 2 kap. 1 § lagen (1994:1809) om totalförsvarsplikt utförs av annan än . Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter som begränsar användningen av känsliga personuppgifter. 2019/20:51 Bilaga 2 10 § Tillgången till personuppgifter ska begränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om hur tillgången till personuppgifter ska begränsas. 11 § Direktåtkomst till personuppgifter får medges 1.Försvarsmakten i den utsträckning som följer av föreskrifter som meddelats av regeringen, och 2.den registrerade själv. Direktåtkomst enligt första stycket 2 får endast avse personuppgifter i den registrerades ärende. Regeringen får meddela föreskrifter om att medge annan aktör direktåtkomst. Sådan direktåtkomst ska begränsas till de personuppgifter som aktören behöver för att fullgöra sina uppgifter enligt lag eller förordning och får endast avse vissa personuppgifter. Utlämnande av uppgifter till myndigheter 12 § Försvarsmakten har rätt att vid direktåtkomst enligt 11 § första stycket 1 ta del av de personuppgifter som omfattas av åtkomsten. Regeringen får meddela föreskrifter om att annan myndighet vid direktåtkomst som medges med stöd av 11 § tredje stycket har rätt att ta del av de personuppgifter som omfattas av åtkomsten. 13 § Vid sökning i personuppgifter är det förbjudet att som sökbegrepp använda känsliga personuppgifter. Det är också förbjudet att som sökbegrepp använda uppgifter om 1.hinder för mönstring, annan utredning, utbildning, krigsplacering eller annat ianspråktagande av den registrerade för totalförsvarets räkning, 2.boende- och familjeförhållanden samt försörjning, 3.resultat från begåvningstest eller anlagstest som utförs vid mönstring eller annan utredning, 5.lagöverträdelser, säkerhetsprövning enligt säkerhetsskyddslagen (1996:627) samt vilken säkerhetsklass prövningen avsett och resultatet av denna. De sökbegrepp som anges i andra stycket får användas som sökbegrepp vid behandling för ändamål som avses i 7 § första stycket 7 eller vid utlämnande enligt 8 § för framställning av statistik eller för forskningsändamål. De sökbegrepp som anges i andra stycket 3 får även användas som sökbegrepp vid behandling för ändamål som avses i 7 § första stycket 1. Annans registrering och rättelse av uppgifter 14 § Försvarsmakten får föra in och rätta personuppgifter i informationssystem i den utsträckning som följer av förordning. Regeringen får meddela föreskrifter om att även annan än Försvarsmakten får medges sådan rätt. 2019/20:51 Bilaga 2 15 § Personuppgifter ska avskiljas så att tillgången till dem begränsas när de inte längre behövs i löpande verksamhet för de ändamål som anges i 7 §. Personuppgifter om totalförsvarspliktiga ska avskiljas senast vid utgången av det kalenderår den totalförsvarspliktige fyller , om inte den totalförsvarspliktige därefter har en uppgift inom totalförsvaret vid höjd beredskap. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om avskiljande av personuppgifter. 1.Denna lag träder i kraft . 2.Genom lagen upphävs lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga. 2019/20:51 Bilaga 2 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att det i lagen ska införas en ny paragraf, 25 kap. 13 b §, dels att 38 kap. 1 § ska ha följande lydelse. Sekretessen enligt 1 § hindrar inte att en uppgift om en enskild lämnas från verksamhet hos Totalförsvarets rekryteringsmyndighet som avser medicinsk insats till verksamhet inom samma myndighet som avser inskrivning enligt lagen (1994:1809) om totalförsvarsplikt, om det krävs att uppgiften lämnas för sådan inskrivning av den enskilde. Sekretess gäller för uppgift om Sekretess gäller för uppgift om en enskilds personliga förhållanden, förhållanden, om det kan antas att om det inte står klart att uppgiften den enskilde eller någon när- kan röjas utan att den enskilde eller stående till denne lider men om någon närstående till denne lider uppgiften röjs och uppgiften före- men och uppgiften förekommer i kommer i ärende som angår 1.utredning om totalförsvarspliktigas personliga förhållanden, 2.antagning av kvinnor till befattningar inom totalförsvaret som kräver längre grundutbildning än , 3.inskrivning och krigsplacering av totalförsvarspliktiga, 4.antagning till utbildning vid Försvarsmakten, eller 5.skyldighet att tjänstgöra med totalförsvarsplikt samt uppskov med och avbrott i sådan tjänstgöring. Sekretessen gäller inte beslut i ärende. För uppgift i en allmän handling gäller sekretessen i högst . Denna lag träder i kraft . 2019/20:51 Bilaga 3 Remissvar har lämnats av Kammarrätten i , Förvaltningsrätten i , Förvaltningsrätten i , Justitiekanslern, , , Säkerhetspolisen, Kriminalvården, Myndigheten för samhällsskydd och beredskap, , Datainspektionen, Försvarsmakten, , , , Totalförsvarets rekryteringsmyndighet, , , , , i , i , i , , Myndigheten för ungdoms- och civilsamhällefrågor, Universitets- och högskolerådet, , , , , , , , , , , kommun, kommun, , , kommun, , och . ombudsmän, , , kommun, Falu kommun, , kommun, , , , kommun, kommun, kommun, , Kumla kommun, kommun, kommun, kommun, kommun, kommun, , kommun, , kommun, kommun, kommun, , , Civil , Forum för dataskydd, i (LO), , , , , , Akademikers (), Kommuner och Landsting, , (), och Vårdföretagarna har avstått från att lämna synpunkter på förslagen i betänkandet eller har inte svarat på remissen. 2019/20:51 Bilaga 4 Regeringen har följande förslag till lagtext. Härigenom föreskrivs följande.