prop · H70351 · 2019-12-05 00:00:00 — 2019/20:51 Myndigheten ska vidare utföra uppgifter med stöd av lagen om totalförsvarsplikt, såsom genomföra utredningar om personliga förhållanden, mönstra, skriva in och krigsplacera totalförsvarspliktiga. Vidare ska Totalförsvarets rekryteringsmyndighet särskilt ansvara för att information om vad lagen (1994:1809) om totalförsvarsplikt innebär sprids till den som skriftligen lämnar uppgifter enligt 2 kap. 1 § lagen om totalförsvarsplikt. Det innebär att det är myndighetens uppgift att informera alla 18-åringar om skyldigheten att lämna uppgifter om hälsa, utbildning och andra personliga förhållanden i beredskapsunderlaget. Myndigheten ska också informera om skyldigheten att genomgå mönstring och fullgöra grundutbildning med värnplikt. Samtliga dessa uppgifter i Totalförsvarets rekryteringsmyndighets verksamhet bör i likhet med gällande regelverk, omfattas av den nya lagens tillämpningsområde. Personalkategorier som ska omfattas av lagen Nuvarande reglering omfattar behandling av personuppgifter om totalförsvarspliktiga i Totalförsvarets rekryteringsmyndighets verksamhet (1 § lagen [1998:938] om behandling av personuppgifter om totalförsvarspliktiga). Med totalförsvarspliktiga jämställs personer som har en skyldighet att fullgöra uppgift inom totalförsvaret vid höjd beredskap utan att skyldigheten grundar sig på totalförsvarsplikt (2 §). Totalförsvarspliktiga är samtliga svenska medborgare – och de som utan att vara svenska medborgare är bosatta i – som är 16–(se avsnitt 4.2 för en närmare beskrivning av totalförsvarspliktens innebörd). Med benämningen personer som har en skyldighet att fullgöra uppgift inom totalförsvaret vid höjd beredskap utan att skyldigheten grundar sig på totalförsvarsplikt avses annan personal inom totalförsvaret, dvs. anställd personal och avtalspersonal där tjänstgöringsskyldigheten har sin grund i det anställningsavtal eller annat avtal som ingåtts med Försvarsmakten, annan arbetsgivare eller någon annan. Tjänstgöringen grundar sig således på det ingångna avtalet och inte på totalförsvarsplikt. Till annan personal inom totalförsvaret hör även personer med begränsade uppgifter, t.ex. enligt förfogandelagstiftningen (se vidare avsnitt 4.3). Totalförsvarets rekryteringsmyndighets verksamhet förutsätter även fortsättningsvis att myndigheten kan behandla personuppgifter om både totalförsvarspliktiga och annan personal inom totalförsvaret. Mot denna bakgrund bör lagens tillämpningsområde omfatta myndighetens behandling av personuppgifter om såväl totalförsvarspliktiga som annan personal inom totalförsvaret. Utanför lagens tillämpningsområde faller bl.a. den prövningsverksamhet som Totalförsvarets rekryteringsmyndighets verksamhet utför på uppdrag av andra myndigheter (se vidare avsnitt 4.4.4). För att tydliggöra att annan personal inom totalförsvaret inte omfattar personer som Totalförsvarets rekryteringsmyndighet testar inom ramen för den verksamheten bör det av lagen framgå att dess tillämpningsområde endast tar sikte på Totalförsvarets rekryteringsmyndighets verksamhet i fråga om totalförsvarspliktiga och annan personal som har en skyldighet att fullgöra en uppgift inom totalförsvaret vid höjd beredskap. Andra aktörer som ska omfattas av lagen Enligt 1 § andra stycket lagen om behandling av personuppgifter om totalförsvarspliktiga gäller lagen även i verksamhet som bedrivs av någon annan än Totalförsvarets rekryteringsmyndighet i de fall det särskilt anges i lagen. En sådan bestämmelse finns i 6 § andra stycket där det föreskrivs att kommuner, landsting och statliga myndigheter får behandla känsliga personuppgifter om uppgifterna behövs för utredning om den totalförsvarspliktiges personliga förhållanden enligt 2 kap. 1 § lagen om totalförsvarsplikt. Vilka statliga myndigheter som bestämmelsen i 2 kap. 1 § omfattar framgår av 4 kap. 5 § andra stycket förordningen (1995:238) om totalförsvarsplikt. Som redogörs för under avsnitt 4.4.1 tillämpar Försvarsmakten bestämmelsen i 2 kap. 1 § lagen om totalförsvarsplikt i förhållande till enskilda som frivilligt ansöker om att genomgå annan utredning. I övrigt torde bestämmelsen främst bli tillämplig för det fall regeringen beslutar om att aktivera civilplikten. Någon anledning till att inskränka eller utvidga den krets av aktörer som i dessa avseenden ska tillämpa den nya lagen i förhållande till vad som gäller enligt nuvarande regleringar har inte kommit fram. En bestämmelse som motsvarar den i 6 § andra stycket lagen om behandling av personuppgifter om totalförsvarspliktiga bör därför föras in i den nya lagen, se vidare avsnitt 10.1. Den nya lagen är också tillämplig när Försvarsmakten för in och rättar personuppgifter med stöd av den föreslagna bestämmelsen i 14 § totalförsvarsdatalagen, se vidare avsnitt 16. En översyn av Försvarsmaktens personuppgiftsbehandling beslutade regeringen att tillkalla en särskild utredare med uppdrag att göra en översyn av den lagstiftning som gäller för personuppgiftsbehandling inom Försvarsmakten och . överlämnade utredningen betänkandet Behandlingen av personuppgifter vid Försvarsmakten och (SOU 2018:63). Enligt utredningens förslag beträffande Försvarsmakten ska bl.a. viss särskilt angiven verksamhet hos myndigheten även fortsatt regleras i en heltäckande och självständig lag. Vidare föreslås ett vidgat tillämpningsområde för vilken verksamhet hos Försvarsmakten som ska omfattas av den nya regleringen. Betänkandet har remissbehandlats och bereds inom . Regeringen avser således återkomma beträffande regleringen av Försvarsmaktens behandling av personuppgifter. 7.3Personuppgiftsbehandling som inte omfattas av den nya lagen Regeringens förslag: En upplysningsbestämmelse införs om att patientdatalagen gäller vid sådan behandling av personuppgifter som Totalförsvarets rekryteringsmyndighet utför i egenskap av vårdgivare inom hälso- och sjukvården. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Genom den begränsning av den nya lagens tillämpningsområde som föreslås i föregående avsnitt kommer viss behandling av personuppgifter hos Totalförsvarets rekryteringsmyndighet att falla utanför tillämpningsområdet. Det gäller de typer av behandlingar som redovisas i det följande. Totalförsvarets rekryteringsmyndighets behandling av personuppgifter för rent administrativa ändamål. Det kan vara fråga om behandling av personuppgifter om anställda vid myndigheten, arbetssökande eller leverantörer. Det finns inte något behov av en särreglering för sådan behandling av personuppgifter. För behandling av uppgifter som rör administrativa frågor är dataskyddsförordningen och dataskyddslagen tillämpliga fullt ut. Behandling av personuppgifter om rekryter som genomgår utbildning enligt förordningen (2015:613) om militär grundutbildning faller också utanför lagens tillämpningsområde. Först när rekryterna anställs, krigsplaceras eller tecknar avtal om frivillig tjänstgöring inom totalförsvaret omfattas de av den föreslagna lagens tillämpningsområde. Detsamma gäller officersaspiranter som genomgår antingen utbildning vid som leder till officersexamen eller en grundläggande officersutbildning inom Försvarsmakten. Inte heller personer som söker grundläggande soldatutbildning för internationell tjänstgöring eller befattningar som militärobservatör eller stabspersonal i internationella insatser omfattas. Utanför lagens tillämpningsområde faller också Totalförsvarets rekryteringsmyndighets uppdragsverksamhet i förhållande till civila myndigheter som rör rekrytering till bl.a. Patientdatalagen (2008:355) gäller vid vårdgivares behandling av personuppgifter inom hälso- och sjukvården (1 kap. 1 § patientdatalagen). Av 1 kap. 3 § patientdatalagen framgår att med vårdgivare avses även statlig myndighet i fråga om sådan hälso- och sjukvård som myndigheten har ansvar för. Typiskt för de statliga vårdgivarna är att hälso- och sjukvård inte utgör deras kärnverksamhet utan bedrivs parallellt med annan verksamhet. Patientdatalagen gäller i de fallen endast i den del av verksamheten som innefattar sådan hälso- och sjukvård som avses i patientdatalagen. Universitet, högskolor, , Kriminalvården och Totalförsvarets rekryteringsmyndighet är exempel på myndigheter som bedriver sådan hälso- och sjukvård (prop. 2007/08:126 s. 50). Vid personuppgiftsbehandling som Totalförsvarets rekryteringsmyndighet utför i egenskap av vårdgivare inom hälso- och sjukvården gäller således patientdatalagen och inte totalförsvarsdatalagen. En upplysningsbestämmelse om detta förhållande bör föras in i den nya lagen. Andra aktörers behandling av personuppgifter Som framgår av föregående avsnitt föreslår regeringen att den nya lagen ska gälla även vid vissa andra aktörers behandling av personuppgifter när det särskilt anges i lagen. Sådan behandling av personuppgifter om totalförsvarspliktiga som andra aktörer utför i sin verksamhet i allmänhet faller utanför lagens tillämpningsområde. Bemanningsansvariga och andra myndigheter m.fl. som lämnar personuppgifter om totalförsvarspliktiga till Totalförsvarets rekryteringsmyndighet eller tar emot sådana uppgifter från myndigheten – i den mån det inte är fråga om direktåtkomst – omfattas Prop. 2019/20:51 således inte av bestämmelserna i den nya lagen. exempelvis beträffande Försvarsmaktens mottagande av uppgifter från Totalförsvarets rekryteringsmyndighet vid rekrytering i egen regi. Vid sådan behandling är i stället bestämmelserna i dataskyddsförordningen och dataskyddslagen tillämpliga eller, i förekommande fall, bestämmelser i annan särskild registerförfattning. 7.4Helt eller delvis automatiserad behandling Regeringens förslag: Lagen ska gälla vid sådan behandling av personuppgifter som är helt eller delvis automatiserad. Lagen ska även gälla för annan behandling av personuppgifter som ingår i eller är avsedd att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Utredningens förslag överensstämmer med regeringens. Remissinstanserna kommenterar inte förslaget särskilt. Skälen för regeringens förslag: Av 1 § tredje stycket lagen om behandling av personuppgifter om totalförsvarspliktiga framgår att lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifter ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I artikel 2.1 i dataskyddsförordningen anges tillämpningsområdet som behandling av personuppgifter som helt eller delvis företas på automatisk väg samt annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Särskilda registerförfattningar har i detta avseende i allmänhet samma tillämpningsområde. En bestämmelse som motsvarar den i nuvarande 1 § tredje stycket lagen om behandling av personuppgifter om totalförsvarspliktiga bör därför föras in. Utformningen av föreslagen bestämmelse skiljer sig något från utredningens föreslag. Skälet för detta är att så långt som möjligt anpassa utformningen till motsvarande bestämmelser i andra registerförfattningar inom dataskyddsförordningens tillämpningsområde. Förslaget är inte avsett att innebära någon ändring i sak i förhållande till utredningens förslag. Regeringens förslag: Totalförsvarets rekryteringsmyndighet ska vara personuppgiftsansvarig för den behandling som myndigheten utför. En annan statlig myndighet än Totalförsvarets rekryteringsmyndighet, en kommun eller region är ansvarig för den behandling av personuppgifter som myndigheten, kommunen eller regionen utför med stöd av lagen eller föreskrifter som meddelats i anslutning till lagen. 2019/20:51 Utredningens förslag överensstämmer delvis med regeringens. Utredningens förslag anger inte att även andra aktörer är personuppgiftsansvariga för den behandling av personuppgifter som sker enligt lagen. Remissinstanserna kommenterar inte förslaget i sak. föreslår en mindre språklig ändring av utredningens förslag. Skälen för regeringens förslag: Av artikel 4.7 i dataskyddsförordningen framgår att personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Det är således tillåtet enligt dataskyddsförordningen att i nationell lagstiftning peka ut vem som är personuppgiftsansvarig. Den som utför själva behandlingen av personuppgifter bör som huvudregel ha personuppgiftsansvaret. Totalförsvarets rekryteringsmyndighet ska därför vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Genom att införa en bestämmelse i den nya lagen som pekar ut Totalförsvarets rekryteringsmyndighet som personuppgiftsansvarig tydliggörs det för de registrerade att den myndigheten ska hållas ansvarig för behandlingen av personuppgifter som den utför enligt lagen. Ansvaret omfattar Totalförsvarets rekryteringsmyndighets egen personuppgiftsbehandling. Av den föreslagna bestämmelsen i 2 § andra stycket i den nya lagen framgår att lagen i vissa fall även gäller i verksamhet som bedrivs av någon annan än Totalförsvarets rekryteringsmyndighet. Försvarsmakten är t.ex. personuppgiftsansvarig när myndigheten för in personuppgifter i Totalförsvarets rekryteringsmyndighets informationssystem med stöd av den föreslagna bestämmelsen i 14 §. I de fall en statlig myndighet, kommun eller region behandlar personuppgifter med stöd av bestämmelsen i 8 § andra stycket i den nya lagen är den aktören ansvarig för den behandlingen. Nämnda bestämmelse blir dock tillämplig för andra myndigheter än Försvarsmakten endast om regeringen beslutar att aktivera civilplikten enligt lagen om totalförsvarsplikt. Behandling av personuppgifter som med stöd av den nya lagen utförs av någon annan aktör än Totalförsvarets rekryteringsmyndighet kommer således endast att ske i begränsad omfattning. Av tydlighetsskäl bör det dock av lagen framgå att en kommun, region eller statlig myndighet som behandlar personuppgifter med stöd av den nya lagen eller föreskrifter som har meddelats i anslutning till lagen är personuppgiftsansvarig för den behandlingen. Rättslig grund och tillåtna ändamål 9.1Rättslig grund för behandlingen av personuppgifter Regeringens bedömning: Den personuppgiftsbehandling om totalförsvarspliktiga och annan personal med uppgift inom totalförsvaret vid höjd beredskap som är nödvändig i Totalförsvarets rekryteringsmyndighets verksamhet har sådan rättslig grund som avses i artikel 6.1 dataskyddsförordningen. Utredningens bedömning överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen efterfrågar en vidare analys av om den nationella rätten uppfyller ett mål av allmänt intresse och är proportionerlig mot de legitima mål som eftersträvas enligt artikel 6.3. Myndigheten anför att för att det ska vara möjligt att ta ställning till om ett visst lagförslag utgör en proportionell åtgärd måste det framgå hur det allmänna intresset har vägts mot integritetsintresset i just detta fall. Enbart ett konstaterande att behandlingen är nödvändig för att myndigheten ska kunna bedriva sin verksamhet och att annan behandling än automatisk behandling är utesluten måste anses vara en relativt summarisk beskrivning av nödvändighetskriteriet i artikel 6.1 e i dataskyddsförordningen. Skälen för regeringens bedömning Dataskyddsförordningens bestämmelser om rättslig grund för behandling av personuppgifter Dataskyddsförordningen utgår från att varje behandling av personuppgifter måste vila på en rättslig grund. En uttömmande uppräkning av de rättsliga grunderna finns i artikel 6.1. Personuppgiftsbehandling är enligt bestämmelsen endast laglig om åtminstone ett av följande villkor är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. f)Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter 2019/20:51 väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Vid behandling av personuppgifter enligt c) rättslig förpliktelse och e) allmänt intresse eller myndighetsutövning, ska dessutom grunden för behandlingen vara fastställd i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av (artikel 6.3). Det krävs således inte en reglering i unionsrätten eller i nationell rätt av den personuppgiftsbehandling som ska ske med stöd av dessa rättsliga grunder. Det som måste ha stöd i rättsordningen är i stället den rättsliga förpliktelsen respektive uppgiften av allmänt intresse eller rätten att utöva myndighet (prop. 2017/18:105 s. 49). Dataskyddslagens bestämmelser om rättslig grund för behandling av personuppgifter I dataskyddslagen tydliggörs att en rättslig förpliktelse utgör rättslig grund för behandling av personuppgifter enligt artikel 6.1 c i dataskyddsförordningen, om förpliktelsen följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 1 §). Det anges vidare i lagen att en uppgift av allmänt intresse utgör en rättslig grund för behandling av personuppgifter enligt artikel 6. 1 e i dataskyddsförordningen om uppgiften följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning (2 kap. 2 § punkt 1) eller är ett led i den personuppgiftsansvariges myndighetsutövning om myndighetsutövningen sker enligt lag eller annan författning (2 kap. 2 § punkt 2). I förarbetena till dataskyddslagen uttalas att den verksamhet som en statlig eller myndighet bedriver inom ramen för sin befogenhet är av allmänt intresse och att det vanligen är den rättsliga grunden i artikel 6.1e i dataskyddsförordningen som bör tillämpas av myndigheter. Detta utesluter dock inte att andra rättsliga grunder kan vara tillämpliga i vissa fall (prop. 2017/18:105 s. 56 f.). När det gäller kravet i artikel 6.3 andra stycket om att grunden för behandlingen enligt led c och e ska vara fastställd i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av betonar regeringen att detta krav inte utgör någon nyhet när det gäller svenska myndigheters behandling av personuppgifter. I propositionen hänvisas till att legalitetsprincipen är grundlagsfäst genom 1 kap. 1 § regeringsformen, som anger att den offentliga makten utövas under lagarna. Legalitetsprincipen innebär alltså att myndigheternas maktutövning i vidsträckt mening, även i den mån den förutsätter behandling av personuppgifter, måste ha stöd av någon av de källor som tillsammans bildar rättsordningen. Det torde inte förekomma någon offentlig verksamhet i av vikt för samhällets funktioner som saknar stöd i författning eller beslut som har meddelats i enlighet med regeringsformens bestämmelser (prop. 2017/18:105 s. 50). Den rättsliga grunden för Totalförsvarets rekryteringsmyndighets behandling Totalförsvarets rekryteringsmyndighet har bl.a. i uppgift att utföra utredning om personliga förhållanden, mönstra, skriva in och krigsplacera totalförsvarspliktiga, lämna stöd till bemanningsansvariga myndigheter m.fl. i frågor som avser bemanning med totalförsvarspliktiga samt redovisa annan personal som har en uppgift inom totalförsvaret vid höjd beredskap. Myndighetens uppgifter i det här avseendet är fastställda i bl.a. lagen (1994:1809) och förordningen (1995:238) om totalförsvarsplikt samt förordningen (2010:1472) med instruktion för Totalförsvarets rekryteringsmyndighet. Den verksamhet som Totalförsvarets rekryteringsmyndighet bedriver är därmed av sådant allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen. Även de rättsliga grunderna i led c (rättslig förpliktelse) och led e (myndighetsutövning) kan vara tillämpliga vid myndighetens behandling av personuppgifter. Regeringen uppfattar att Datainspektionen efterfrågar en djupare analys av nödvändighetsrekvisitet i artikel 6.1. För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1b–f måste den vara nödvändig i förhållande till den rättsliga grunden, t.ex. nödvändig för att utföra en uppgift av allmänt intresse. I förarbetena till dataskyddslagen har regeringen utvecklat sin syn på nödvändighetsrekvisitet på följande vis. Enligt betyder det svenska ordet nödvändig att någonting absolut fordras eller inte kan underlåtas. Det unionsrättsliga begreppet har dock inte denna strikta innebörd. Nödvändighetsrekvisitet i artikel 7 i dataskyddsdirektivet har t.ex. inte ansetts utgöra ett krav på att det ska vara omöjligt att utföra en uppgift av allmänt intresse utan att behandlingsåtgärden vidtas. Detta synsätt kommer till uttryck i dom i målet Huber mot , som rörde tolkningen av motsvarande nödvändighetsrekvisit i artikel 7 e i direktivet (C-524/06, EU:C:2008:724). uttalade att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämpningen av relevanta bestämmelser. Domen bör kunna utgöra stöd även vid tolkningen av dataskyddsförordningen. På motsvarande sätt bör det mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom en informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag (prop. 2017/18:105 s. 46 f.). Totalförsvarets rekryteringsmyndighets uppdrag att utföra utredning om personliga förhållanden, mönstra, skriva in och krigsplacera totalförsvarspliktiga, lämna stöd till bemanningsansvariga myndigheter m.fl. i frågor som avser bemanning med totalförsvarspliktiga samt redovisa annan personal som har en uppgift inom totalförsvaret vid höjd beredskap förutsätter att myndigheten kan behandla personuppgifter. Mängden personuppgifter som myndigheten måste hantera inom ramen för sin verksamhet medför att annan behandling än automatisk i princip är utesluten. Enligt regeringens mening innebär dessa förhållanden att nödvändighetsrekvisitet i artikel 6.1. är uppfyllt. 2019/20:51 Datainspektionen efterfrågar också en vidare analys av om den nationella rätten uppfyller ett mål av allmänt intresse och är proportionerlig mot de legitima mål som eftersträvas enligt artikel 6.3. Dataskyddsförordningens krav i det här avseendet motsvarar det krav som ställer på lagstiftaren i en rättsstat. är inkorporerad i svensk rätt. Det torde vara mycket ovanligt att svensk lagstiftning inte uppfyller krav. 2017/18:105 utvecklar regeringen sin bedömning i fråga om myndigheters verksamhet och uppgifter samt innebörden av förordningens krav på proportionalitet (avsnitt 8.2).