prop · H70351 · 2019-12-05 00:00:00 — pliktiga framgår det att de myndigheter m.fl. som anges i bilagan till förordningen får föra in personuppgifter i registret om totalförsvarspliktiga och rätta dessa. Vilka personuppgifter som får föras in och rättas anges uttömmande i bilaga 2 till förordningen. Försvarsmakten har enligt nu gällande reglering rätt att föra in och rätta vissa personuppgifter, såsom personnummer, namn, adress, uppgifter om krigsplacering och tjänstgöring i Totalförsvarets rekryteringsmyndighets register över totalförsvarspliktiga. Försvarsmakten använder sig också av Det bör anges i lagen att Försvarsmakten – som föreslås få direktåtkomst till Totalförsvarets rekryteringsmyndighets informations- system – får föra in och rätta personuppgifter om totalförsvarspliktiga i Totalförsvarets rekryteringsmyndighets informationssystem. ställa ett så fullgott integritetsskydd som möjligt bör, på motsvarande sätt som , omfattningen av Försvarsmaktens rätt att föra in och rätta personuppgifter avgränsas mer precist genom bestämmelser i förordning. Även bestämmelser om behörighet och säkerhet vid sådan behandling kan anges i förordning. En upplysningsbestämmelse bör införas om att regeringen eller den myndighet regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela närmare föreskrifter om Försvarsmaktens behandling av personuppgifter enligt första stycket och föreskrifter om behörighet och säkerhet vid sådan behandling. Enligt artikel 16 i dataskyddsförordningen ska den registrerade bl.a. ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Den nu föreslagna be- stämmelsen innebär inte någon särreglering i förhållande till bestäm- melsen i dataskyddsförordningen. Personuppgiftsansvarig är den som ut- för personuppgiftsbehandling med stöd av lagen (se avsnitt 8). makten är personuppgiftsansvarig för den personuppgiftsbehandling som myndigheten utför när uppgifterna förs in i Totalförsvarets rekryterings- myndighets informationssystem samt vid rättelse av dem. rekryteringsmyndighet blir å sin sida personuppgiftsansvarig för den behandling av personuppgifterna som myndigheten utför. Försvarsmaktens behandling av personuppgifter och regleringen av den- samma, se avsnitt 7.2. I fråga om de övriga aktörer som enligt nuvarande reglering får föra in och rätta uppgifter om totalförsvarspliktiga i det automatiserade registret över totalförsvarspliktiga hos Totalförsvarets rekryteringsmyndighet har det inte framkommit att det finns ett behov av en sådan rätt. behov skulle dock kunna uppstå exempelvis om civilplikten återaktiveras. I den situationen får regeringen återkomma i fråga om vilka aktörer som i sådana fall bör ges rätt att föra in och rätta personuppgifter om totalför- svarspliktiga i Totalförsvarets rekryteringsmyndighets register. Regeringens förslag: En bestämmelse införs i den föreslagna lagen som anger att artikel 58.2 f i dataskyddsförordningen och 6 kap. 1 § dataskyddslagen om tillsynsmyndighetens befogenhet att införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, be- handling inte ska gälla vid behandling enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen anser att förslaget är godtagbart med tanke på totalförsvarets för samhället kritiska uppdrag och med tanke på att Datainspektionen ges möjligheter att utdöma administrativa sank- tioner vid överträdelser. Övriga remissinstanser yttrar sig inte särskilt över Skälen för regeringens förslag Dataskyddsförordningen innehåller direkt tillämpliga bestämmelser om Dessa befogenheter är fler, eller i vart fall mer detaljerat reglerade, än de som anges i personuppgifts- lagen (1998:204). regleras i artikel 58.1 i förordningen, motsvarar i stora drag de befogenheter som myndigheten har enligt personuppgiftslagen. De s.k. korrigerande befogenheterna, som framgår av artikel 58.2, är däremot mer omfattande. Som exempel kan nämnas att tillsynsmyndigheten enligt led g i den angivna artikeln får förelägga om radering av personuppgifter och enligt led f införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling. Vidare anges i artikel 58.3 vilken möjlighet myndigheten har att utfärda tillstånd och att ge råd. I 6 kap. 1 § dataskyddslagen anges att de befogenheter som tillsynsmyndigheten har enligt artikel 58.1, 58.2 och 58.3 i dataskyddsförordningen även gäller vid tillsyn över efterlevnaden av bestämmelserna i lagen och andra författningar som kompletterar dataskyddsförordningen. Bestämmelsen innebär att de tillsynsåtgärder som tillsynsmyndigheten kan vidta vid överträdelser av förordningen också kan vidtas vid överträdelser av bestämmelser i svensk rätt som kompletterar förordningen. Detta gäller oavsett om dessa kompletterande bestämmelser om behandling av personuppgifter finns i dataskyddslagen eller i sektorsspecifika författningar. befogenheter ska inte gälla fullt ut Som redogörs för ovan saknar Datainspektionen möjlighet att för- bjuda behandling av personuppgifter som sker med stöd av lagen om be- handling av personuppgifter om totalförsvarspliktiga. De skäl som gjordes gällande vid den lagens tillkomst, dvs. att det inte är rimligt att Data- inspektionen ska ha möjlighet att förbjuda Totalförsvarets rekryterings- myndighets behandling av personuppgifter i en statlig verksamhet som är 2019/20:51 nödvändig för att säkerställa totalförsvarets personalförsörjning, gör sig alltjämt gällande. De korrigerande befogenheter i form av bl.a. varningar, reprimander och förelägganden som Datainspektionen innehar enligt artikel 58.2 i dataskyddsförordningen, är enligt regeringens bedömning tillräckliga för att säkerställa en rättssäker behandling och handläggning av personuppgifterna. Därtill finns andra skyddsåtgärder i form av kravet på effektiva rättsmedel enligt dataskyddsförordningen samt de krav på god förvaltning (partsinsyn, kommunikationsskyldighet etc.) som är uppställda i förvaltningslagen (2017:900). Det saknas därför skäl att frångå nuvarande ordning. befogenhet enligt artikel 58.2 f i dataskyddsförordningen och 6 kap. 1 § dataskyddslagen att införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling ska därför inte gälla vid behandling enligt den nya lagen eller föreskrifter som har meddelats i anslutning till lagen. En bestämmelse som ger uttryck för det bör föras in i den nya lagen. Den föreslagna bestämmelsen innebär alltså en avvikelse från 1 kap. 2 § och 6 kap. 1 § dataskyddslagen. Regeringens bedömning: Bestämmelserna om personuppgiftsincidenter i dataskyddslagen tillgodoser behovet av skydd för uppgifter som är av betydelse för säkerhet. Någon bestämmelse om personuppgiftsincidenter behöver därför inte föras in i totalförsvarsdatalagen. Utredningens förslag överensstämmer inte med regeringens bedömning. Utredningen föreslår att en bestämmelse ska införas i totalförsvarsdatalagen om att dataskyddsförordningens bestämmelser om anmälan av en personuppgiftsincident till tillsynsmyndigheten och information till den registrerade (artiklarna 33 och 34) inte ska gälla vid behandling enligt den nya lagen eller föreskrifter som har meddelats med stöd av lagen. Utredningen förhåller sig härvid till de förslag som presenterades i betänkandet SOU 2017:39, i vilket det inte föreslogs någon undantagsbestämmelse motsvarande den i 1 kap. 4 § dataskyddslagen. Remissinstanserna: Datainspektionen avstyrker utredningens förslag och anser att bestämmelserna i dataskyddslagen avseende incidentrapportering till tillsynsmyndighet ska tillämpas på Totalförsvarets rekryteringsmyndighet. Datainspektionen delar däremot utredningens bedömning gällande undantag från skyldigheten att informera den registrerade. i anser inte att det presenterats tillräckligt starka skäl för att göra undantag för incidentrapporteringen utan att den bör gälla även för Totalförsvarets rekryteringsmyndighet och de övriga myndigheterna inom totalförsvaret. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens bedömning Dataskyddsförordningens reglering när det gäller personuppgiftsincidenter En personuppgiftsincident är enligt definitionen i artikel 4.12 i dataskyddsförordningen en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Om en sådan incident inträffar ska den personuppgiftsansvarige utan onödigt dröjsmål och, om så är möjligt, inte senare än efter att ha fått vetskap om den, anmäla incidenten till tillsynsmyndigheten (artikel 33). Undantag från denna anmälningsskyldighet gäller endast om det är osannolikt att incidenten medför en risk för fysiska personers rättigheter och friheter. Om personuppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten (artikel 34). Information till den registrerade krävs dock inte om vissa särskilt angivna villkor är uppfyllda, t.ex. om den personuppgiftsansvarige har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder och dessa åtgärder tillämpats på de personuppgifter som påverkades av personuppgiftsincidenten, i synnerhet sådana som ska göra uppgifterna oläsbara för alla personer som inte är behöriga att få tillgång till personuppgifterna, såsom kryptering. Någon motsvarighet till skyldigheten att anmäla incidenter till tillsynsmyndigheten finns inte i personuppgiftslagen (1998:204). Liknande rapporteringsskyldigheter finns däremot på andra områden i svensk rätt, bl.a. till skydd för säkerhet. Enligt 2 kap. 10 § första stycket säkerhetsskyddsförordningen (2018:658) ska en verksamhetsutövare skyndsamt anmäla bl.a. vissa itincidenter till Säkerhetspolisen. Om verksamhetsutövaren tillhör Försvarsmaktens tillsynsområde enligt 7 kap. 1 § ska anmälan också göras till Försvarsmakten. Sådan anmälningsskyldighet gäller om det inträffat en itincident i ett informationssystem som verksamhetsutövaren är ansvarig för och som har betydelse för säkerhetskänslig verksamhet och där incidenten allvarligt kan påverka säkerheten i systemet (2 kap. 10 § första stycket 2). Av hänsyn till behovet av skydd för säkerhet har det i dataskyddslagen införts en undantagsbestämmelse gällande tillämpningen av dataskyddsförordningens bestämmelser om personuppgiftsincidenter. Enligt 1 kap. 4 § i den lagen ska artiklarna 33 och 34 i dataskyddsförordningen inte tillämpas i fråga om personuppgiftsincidenter som ska rapporteras enligt säkerhetsskyddslagen eller föreskrifter som har meddelats i anslutning till den lagen. Detta innebär att sådana incidenter som enligt 10 § säkerhetsskyddsförordningen ska anmälas till Säkerhetspolisen och i vissa fall även till Försvarsmakten, inte också ska rapporteras till tillsynsmyndigheten enligt dataskyddsförordningen. Vid en sådan incident 2019/20:51 gäller inte heller skyldigheten enligt dataskyddsförordningen att informera den registrerade. Behövs en bestämmelse i totalförsvarsdatalagen om rapporteringsskyldighet vid personuppgiftsincidenter? De personuppgifter som behandlas av Totalförsvarets rekryteringsmyndighet är i hög grad av betydelse för säkerhet. Myndigheten har en rapporteringsskyldighet enligt bestämmelserna i säkerhetsskyddsförordningen beträffande vissa it-incidenter. Bestämmelsen i dataskyddslagen om undantag från skyldigheten att till tillsynsmyndigheten rapportera personuppgiftsincidenter och vid dessa informera de registrerade omfattar således Totalförsvarets rekryteringsmyndighets verksamhet. Detta innebär att personuppgiftsincidenter som utgör sådana it-incidenter som avses i bestämmelsen i säkerhetsskyddsförordningen inte också ska rapporteras till tillsynsmyndigheten. Den registrerade ska inte heller informeras i de fallen. Enligt regeringens bedömning tillgodoser bestämmelsen i dataskyddslagen behovet av att skydda uppgifter inom Totalförsvarets rekryteringsmyndighets verksamhet som är av betydelse för säkerhet. Någon särskild bestämmelse om rapporteringsskyldighet vid personuppgiftsincidenter behöver därför inte föras in i totalförsvarsdatalagen. 19Vissa andra frågor av särskild vikt för dataskyddet Den nya regleringen om behandlingen av personuppgifter i Totalförsvarets rekryteringsmyndighets verksamhet innebär att dataskyddsförordningen och dataskyddslagen ska gälla i verksamheten så länge det inte finns avvikande regleringar i den föreslagna lagen. Det finns inte skäl att behandla alla bestämmelser i dataskyddsförordningen och dataskyddslagen som kommer att gälla vid Totalförsvarets rekryteringsmyndighets behandling av personuppgifter i avsaknad av avvikande regleringar. I det här avsnittet behandlas vissa frågor som inte påkallar en särskild reglering i den nya lagen men som bedöms vara av särskild vikt att lyfta fram. För övriga bestämmelser i dataskyddsförordningen och dataskyddslagen som inte nämns i avsnittet gäller huvudregeln, dvs. de gäller i Totalförsvarets rekryteringsmyndighets verksamhet om det inte finns avvikande regleringar i den nya lagen. Regeringens bedömning: Dataskyddsförordningens bestämmelser om säkerhet för personuppgifter (artiklarna 5.1 f och 32) bör gälla i Totalförsvarets rekryteringsmyndighets verksamhet. Någon bestämmelse om säkerhet för personuppgifter behöver inte föras in i den nya lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Datainspektionen efterlyser en tydligare hänvis- ning till vilka säkerhetsbestämmelser som gäller. Datainspektionen anför vidare att utredningen inte utförligt nog visat om skyddet för personuppgifter hos Totalförsvarets rekryteringsmyndighet är tillräckligt eller om det föreligger något behov av att stärka skyddet för dessa personuppgifter ytterligare. Skälen för regeringens bedömning: Av bestämmelserna om säkerhet för personuppgifter i dataskyddsförordningen (artiklarna 5.1 f och 32) följer att en personuppgiftsansvarig ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas i myndighetens verksamhet. Personuppgiftslagens bestämmelse i 31 § motsvarar i princip dataskyddsförordningens, som Totalförsvarets rekryteringsmyndighet har haft att tillämpa. Några särskilda bestämmelser om skydd för personuppgifter finns inte i lagen om behandling av personuppgifter om totalförsvarspliktiga. Det har heller inte framkommit något behov av att införa bestämmelser i den nya lagen som avviker från de som följer av dataskyddsförordningen. Bestämmelserna i dataskyddsförordningen i det här avseendet ska därför gälla i Totalförsvarets rekryteringsmyndighets verksamhet. Datainspektionen efterfrågar hänvisningar till tillämpliga bestämmelser om säkerhet i den nya lagen. Den huvudsakliga regleringen på området kommer att utgöras av dataskyddsförordningen och dataskyddslagen. Som anförts i avsnitt 6.3 anser regeringen att det vid dessa förhållanden inte är motiverat att uttryckligen hänvisa till vissa bestämmelser i dataskyddsförordningen eller dataskyddslagen som ska gälla eftersom det är utgångspunkten så länge det inte finns avvikande reglering i den föreslagna lagen. Detta gäller även för bestämmelser om säkerheten för personuppgifter. Någon hänvisningsbestämmelse av det slag som Datainspektionen efterfrågar bör därför inte införas. Datainspektionen anför vidare att utredningen inte utförligt nog visat om skyddet för personuppgifter hos Totalförsvarets rekryteringsmyndighet är tillräckligt eller om det föreligger något behov av att stärka skyddet för dessa personuppgifter ytterligare. Den personuppgiftsansvariges skyldighet att se till att lämpliga tekniska och organisatoriska säkerhetsåtgärder vidtas har ett nära samband med ansvaret för informationssäkerheten i hela verksamheten. Detta gäller inte minst Totalförsvarets rekryteringsmyndighets verksamhet där skyddet för personuppgifter även behöver säkerställas med hänsyn till säkerhet. Bestämmelser om säkerhetsskydd finns i säkerhetsskyddslagen (2018:585) och säkerhetsskyddsförordningen (2018:658). Dessa författningar gäller för bl.a. den som till någon del bedriver verksamhet som är av betydelse för säkerhet. Sådan verksamhet benämns som säkerhetskänslig verksamhet. Regelverket för säkerhetsskydd ställer långtgående krav på verksamhetsutövaren att utreda behovet av säkerhetsskydd och planera och vidta de säkerhetsskyddsåtgärder som behövs. Försvarsmakten, som utövar tillsyn över säkerhetsskyddet vid bl.a. Totalförsvarets rekryteringsmyndighet, har meddelat föreskrifter om säkerhetsskydd (FFS 2019:2) som gäller för Totalförsvarets rekryteringsmyndighet. Vidare har Totalförsvarets rekryteringsmyndighet utfärdat interna bestämmelser om säkerhetsskydd. 2019/20:51 att se över dessa interna bestämmelser med anledning av det nya regelverket om säkerhetsskydd. Utöver regelverket om säkerhetsskydd finns bestämmelser om myndigheters informationssäkerhet i förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Dessa bestämmelser gäller även sådan verksamhet som inte är säkerhetskänslig verksamhet. Totalförsvarets rekryteringsmyndighet har också utfärdat interna bestämmelser om it-säkerhet. Sammantaget anser regeringen att dataskyddsförordningens bestämmelser om säkerhet för personuppgifter, regelverket om säkerhetsskydd och övriga bestämmelser om myndigheters informationssäkerhet, tillgodoser det behov av säkerhet som finns när det gäller Totalförsvarets rekryteringsmyndighets verksamhet och de uppgifter som behandlas i myndighetens verksamhet. Regeringen delar därför inte Datainspektionens uppfattning att det finns ett behov av att härutöver analysera huruvida skyddet för personuppgifter hos Totalförsvarets rekryteringsmyndighet är tillräckligt eller om det föreligger något behov av att stärka skyddet för dessa personuppgifter ytterligare. Rättelse och annan korrigering Regeringens bedömning: Dataskyddsförordningens bestämmelser om rätt till rättelse, radering och begränsning av behandling bör gälla i Totalförsvarets rekryteringsmyndighets verksamhet. melse om rättelse och annan korrigering behöver därför inte föras in i den nya lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens be- Skälen för regeringens bedömning: Det är viktigt att det finns en möjlighet för enskilda att se till att en felaktig behandling av personuppgifter rättas eller på annat sätt korrigeras av Totalförsvarets Detta behov tillgodoses genom bestäm- melsen i 18 § lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga som stadgar att bestämmelserna i personuppgifts- lagen (1998:204) om den personuppgiftsansvariges skyldighet att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter och att underrätta tredje man, till vilken uppgifterna har lämnats ut, ska gälla även då personuppgifter behandlats i strid med lagen eller föreskrifter som utfärdats med stöd av lagen. Dataskyddsförordningens bestämmelser om den registrerades rätt till rättelse, radering respektive begränsning av behandlingen (artiklarna 16– 18) är direkt tillämpliga och gäller generellt även i myndigheternas verk- Genom den föreslagna bestämmelsen i 4 § i den nya lagen gäller dessa rättigheter även i Totalförsvarets rekryteringsmyndighet, om det inte finns avvikande regleringar i detta avseende. Det saknas skäl att införa några avvikande bestämmelser. Bestämmelserna bör följaktligen tillämpas av Totalförsvarets rekryteringsmyndighet. Någon bestämmelse om rättelse och annan korrigering behöver därför inte föras in i den nya lagen. Regeringens bedömning: Dataskyddsförordningens bestämmelser om dataskyddsombud bör gälla i Totalförsvarets rekryteringsmyndighets verksamhet. Bestämmelser om dataskyddsombud behöver därför inte föras in i lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens bedöm- Skälen för regeringens bedömning: Lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga innehåller inte några bestämmelser om anmälningsskyldighet eller dataskyddsombud. Det innebär att personuppgiftslagens bestämmelser om detta är tillämpliga. Totalförsvarets rekryteringsmyndighet har utsett ett personuppgiftsombud som för en förteckning över de behandlingar som myndigheten genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte funnits (jfr 37 och 39 §§ personuppgiftslagen). I och med dataskyddsförordningens ikraftträdande gäller dataskyddsförordningens bestämmelser om krav på dataskyddsombud i myndigheters och offentliga organs verksamhet (artikel 37). Någon skyldighet för dataskyddsombudet att föra förteckning över behandlingar motsvarande den som personuppgiftsombudet har finns inte enligt dataskyddsförordningen. I stället är det varje personuppgiftsansvarigs skyldighet att föra ett register över den behandling som utförts (artikel 30). Genom den föreslagna bestämmelsen i 4 § i den nya lagen gäller dataskyddsförordningen i denna del i Totalförsvarets rekryteringsmyndighets verksamhet, om det inte finns avvikande regleringar i detta avseende. I likhet med vad som anförts i föregående avsnitt saknas det skäl att avvika från dataskyddsförordningens bestämmelser i det här avseendet. Bestämmelserna bör således tillämpas av Totalförsvarets rekryteringsmyndighet i likhet med andra myndigheter. Bestämmelser om dataskyddsombud behöver därför inte föras in i den nya lagen. Information och tillgång till personuppgifter Regeringens bedömning: Bestämmelserna i dataskyddslagen liksom dataskyddsförordningens bestämmelser om information och tillgång till personuppgifter bör gälla vid behandling av personuppgifter i Total- försvarets rekryteringsmyndighets verksamhet. formation och tillgång till personuppgifter behöver därför inte föras in Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens bedöm- Skälen för regeringens bedömning: I artiklarna 13 och 14 i data- skyddsförordningen anges den personuppgiftsansvariges skyldighet att självmant tillhandahålla den registrerade information om behandlingen av Den registrerade har vidare enligt artikel 15 en rätt att på begäran få tillgång till de personuppgifter som behandlas och viss in- 2019/20:51 formation. I dataskyddslagen har införts vissa begränsningar i förhållande till artiklarna 13–15 i dataskyddsförordningen. I 5 kap. 1 § den lagen anges att artiklarna 13–15 i dataskyddsförordningen om information och rätt att få tillgång till personuppgifter inte gäller sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Enligt 5 kap. 2 § dataskyddslagen gäller artikel 15 i dataskyddsförordningen som utgångspunkt inte personuppgifter i löpande text som inte har fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckningar eller liknande. Dataskyddslagens bestämmelser i 5 kap. 1 och 2 §§ motsvarar i allt väsentligt bestämmelserna i personuppgiftslagen (1998:204) som redan tillämpas av Totalförsvarets rekryteringsmyndighet. En tillämpning av de föreslagna bestämmelserna i dataskyddslagen kommer därför att innebära få förändringar i förhållande till vad som gäller . Det har inte heller framkommit skäl att avvika från dataskyddsförordningens eller dataskyddslagens bestämmelser i detta avseende. Bestämmelserna i dataskyddslagen och dataskyddsförordningen bör därför tillämpas gälla vid behandling av personuppgifter i Totalförsvarets rekryteringsmyndighets verksamhet.