prop · H70351 · 2019-12-05 00:00:00 — Lagen om behandling av personuppgifter om I den verksamhet som Totalförsvarets rekryteringsmyndighet bedriver har det, på grund av verksamhetens särskilda karaktär och hantering av integritetskänsliga uppgifter, ansetts nödvändigt att reglera behandlingen av personuppgifter om totalförsvarspliktiga i en särskild lag, lagen 2019/20:51 (1998:938) om behandling av personuppgifter om totalförsvarspliktiga. Lagen kompletteras av bestämmelser i förordningen (1998:1229) om behandling av personuppgifter om totalförsvarspliktiga. Om inget annat följer av lagen eller av föreskrifter som meddelats med stöd av lagen, tillämpas personuppgiftslagen vid behandling av personuppgifter om totalförsvarspliktiga (4 §). Enligt 1 § första stycket lagen om behandling av personuppgifter om totalförsvarspliktiga tillämpas lagen vid behandling av personuppgifter om totalförsvarspliktiga i den verksamhet Totalförsvarets rekryteringsmyndighet bedriver för att 1.ta fram underlag för beslut om inskrivning, krigsplacering eller annat ianspråktagande av personal till totalförsvaret, 2.redovisa personal med uppgifter inom totalförsvaret, 3.säkerställa att den registrerade fortlöpande får ändamålsenlig utbildning och lämplig placering inom totalförsvaret, 4.se till att den registrerade fullgör sina skyldigheter såvitt avser totalförsvarsplikten, 5.tillgodose den registrerades rättigheter och trygghet i hans eller hennes egenskap av totalförsvarspliktig, och 6.planera, följa upp och utvärdera den verksamhet som anges i 1–5. Lagen gäller även i verksamhet som bedrivs av någon annan än Totalför- svarets rekryteringsmyndighet om det särskilt anges. om behandlingen är helt eller delvis automatiserad eller om personupp- gifter ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (1 § andra och tredje styckena). pliktiga jämställs vid tillämpningen av lagen personer som har en skyldig- het att fullgöra en uppgift inom totalförsvaret vid höjd beredskap utan att skyldigheten grundar sig på totalförsvarsplikt (2 §). I 5 § anges att personuppgifter som samlats in av Totalförsvarets rekryteringsmyndighet ska anses insamlade för de ändamål som anges i 1 § första stycket om inte myndigheten vid insamlingen uttryckligen an- gett att den sker för andra ändamål. Motsvarande gäller vid Totalförsvarets rekryteringsmyndighets behandling av uppgifter som annan myndighet Känsliga personuppgifter får som huvudregel endast behandlas om det är nödvändigt för de i lagen angivna ändamålen (6 §). även kommuner, landsting och statliga myndigheter om uppgifterna be- hövs för utredning om den totalförsvarspliktiges personliga förhållanden enligt 2 kap. 1 § lagen (1994:1809) om totalförsvarsplikt (s.k. annan ut- redning enligt 2 kap. 5 § samma lag). Av 7 § följer att Totalförsvarets rekryteringsmyndighet är personupp- giftsansvarig för den behandling av personuppgifter om totalförsvars- pliktiga som myndigheten utför. I likhet med andra äldre registerförfattningar innehåller lagen om be- handling av personuppgifter om totalförsvarspliktiga bestämmelser om registerinnehåll, dvs. vilka kategorier av uppgifter och personer som får I 8 § anges att i det automatiserade registret över totalförsvars- pliktiga får personuppgifter föras in endast om den som i) är eller har varit aktuell för mönstring eller annan utredning, ii) genom avtal, beslut om krigsplacering eller på annat sätt är tagen i anspråk för totalförsvaret, iii) ska utföra särskild uppgift vid höjd beredskap eller på grund av viss kompetens är viktig för totalförsvaret, iv) av en redan registrerad uppgetts som närstående, eller v) nämns bland de uppgifter som åberopas av den registrerade, om de rör hans eller hennes tjänstgöring inom totalförsvaret. Därutöver får personuppgifter registreras om den som fattat beslut eller handlagt ärende som rör den registrerade hos Totalförsvarets rekryteringsmyndighet eller hos någon annan som utfört annan utredning. Detsamma gäller personuppgifter om den som gjort journalanteckning i samband med sådan utredning eller i samband med den registrerades tjänstgöring inom totalförsvaret (8 § tredje stycket). I 9 § anges uttömmande vilka personuppgifter som får föras in i registret, bl.a. personnummer eller samordningsnummer, namn, adress, telefonnummer, folkbokföringsort, boende- och familjeförhållanden, utbildning, anställning, fysisk och psykisk hälsa och förmåga. Andra känsliga personuppgifter än sådana uppgifter som rör hälsa eller religiös övertygelse får inte föras in i registret. Uppgifter om religiös övertygelse får endast registreras om den registrerade har lämnat sitt uttryckliga samtycke till att uppgifterna behandlas i registret och de rör hans eller hennes tjänstgöring inom totalförsvaret (9 § andra stycket). Därutöver får beslut som rör totalförsvarsplikten liksom tidpunkter och tidsperioder för registrerade förhållanden samt erforderliga administrativa och tekniska uppgifter registreras (10 § första stycket). I 10 § andra och tredje stycket anges begränsningar i fråga om vilka uppgifter som får registreras för vissa i 8 § särskilt angivna personer. Regeringen får också meddela föreskrifter om ytterligare begränsningar av vad som får föras in i det automatiserade registret över totalförsvarspliktiga enligt 8 och 9 §§ (11 §). Enligt 12 § har Totalförsvarets rekryteringsmyndighet direktåtkomst till det automatiserade registret över totalförsvarspliktiga. Regeringen får meddela föreskrifter om att annan får ha direktåtkomst till registret. Regeringen får även meddela föreskrifter om att annan än Totalförsvarets rekryteringsmyndighet får föra in personuppgifter i registret och rätta dessa (13 §). I förordningen om behandling av personuppgifter om totalförsvarspliktiga anges vilka myndigheter m.fl. som får medges direktåtkomst, föra in och rätta uppgifter i registret. I lagen finns bestämmelser om förbud mot vissa särskilt angivna sökbegrepp. Enligt 14 § första stycket får personuppgifter som avses i 9 § första stycket 2 och 3 samt 5–9 inte användas som sökbegrepp annat än om det behövs för tillsyn, uppföljning eller utvärdering av Totalförsvarets rekryteringsmyndighets verksamhet eller för framtagande av material för forskning eller statistik. Det innebär att uppgift om hinder för genomförande av mönstring eller annan utredning, för utbildning eller för krigsplacering eller annat ianspråktagande av den registrerade för totalförsvarets räkning inte får användas som sökbegrepp. Inte heller uppgift om boende- och familjeförhållanden och försörjning får enligt nuvarande reglering användas som sökbegrepp. Detsamma gäller uppgifter om resultat från kunskapsprov och anlagstester som utförts vid mönstring eller annan utredning. Uppgift om fysisk och psykisk hälsa och förmåga jämte de uppgifter som ligger till grund för bedömningen härav faller också utanför vad som är tillåtet att använda som sökbegrepp. Som sökbegrepp får vidare inte användas uppgifter om den registrerade är svensk med- 2019/20:51 borgare eller inte, utgången i mål om ansvar för brott mot totalförsvarsplikten eller att den registrerade har dömts till påföljd för brott som framgår av uppgift ur belastningsregistret. Slutligen får inte heller uppgift om att den registrerade genomgått säkerhetsprövning enligt säkerhetsskyddslagen (2018:585), vilken säkerhetsklass prövningen avsett och resultatet av denna användas som sökbegrepp. I 15 § finns en bestämmelse om gallring. En personuppgift i det automatiserade registret över totalförsvarspliktiga ska gallras så snart uppgiften inte längre behövs för de i lagen angivna ändamålen. Personuppgifter beträffande den som i) är eller har varit aktuell för mönstring eller annan utredning, ii) genom avtal, beslut om krigsplacering eller på annat sätt är tagen i anspråk för totalförsvaret, eller iii) ska utföra särskild uppgift vid höjd beredskap eller på grund av viss kompetens är viktig för totalförsvaret, ska gallras senast vid utgången av det kalenderår den registrerade fyller , om inte han eller hon även därefter har en uppgift inom totalförsvaret vid höjd beredskap. Regeringen får meddela föreskrifter om för gallring och undantag från skyldigheten att gallra personuppgifter i fråga om bevarande av material för forskningens behov. Sådana uppgifter ska dock avföras från registret de annars skulle ha gallrats. Bestämmelserna i personuppgiftslagen om Datainspektionens befogenheter att meddela förbud mot att behandla personuppgifter är inte tillämpliga vid personuppgiftsbehandling om totalförsvarspliktiga i Totalförsvarets rekryteringsmyndighets verksamhet. I 17 § anges att tillsynsmyndigheten enligt personuppgiftslagen inte får förbjuda Totalförsvarets rekryteringsmyndighet att behandla personuppgifter om totalförsvarspliktiga. Däremot gäller personuppgiftslagens bestämmelser om den personuppgiftsansvariges skyldighet att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter och att underrätta tredje man, till vilken uppgifterna har lämnats ut, även då personuppgifter har behandlats i strid med lagen eller föreskrifter som utfärdats med stöd av lagen (18 §). Även personuppgiftslagens bestämmelser om skadestånd är tillämpliga då personuppgifter har behandlats i strid med lagen (19 §). 6Allmänna utgångspunkter för en ny reglering 6.1En ny lag införs och lagen om behandling av totalförsvarspliktiga upphävs Regeringens förslag: Lagen om behandling av personuppgifter om totalförsvarspliktiga upphävs och en ny lag införs. Utredningens förslag överensstämmer med regeringens. Remissinstanserna tillstyrker förslaget eller har inga synpunkter på det. Skälen för regeringens förslag Ett starkt och hållbart skydd för den personliga integriteten Av 2 kap. 6 § andra stycket regeringsformen följer att enskilda är gentemot det allmänna skyddade mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Beträffande begreppet kartläggning anges följande i förarbetena till bestämmelsen (prop. 2009/10:80 s. 180). En åtgärd från det allmännas sida som vidtas primärt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda fall, exempelvis insamling av uppgifter av visst slag för beslut om t.ex. beskattning eller liknande, kan – även om avsikten inte är att kartlägga enskilda – i många fall anses innebära kartläggning av enskildas förhållanden. Så torde fallet vara i fråga om ett stort antal uppgiftssamlingar som det allmänna förfogar över. Bestämmelsen i 2 kap. 6 § andra stycket regeringsformen är avsedd att endast omfatta vissa kvalificerade intrång i den personliga integriteten. Vid bedömningen av hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden är det naturligt att stor vikt läggs vid uppgifternas karaktär och ändamålet med behandlingen. Ju känsligare uppgifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. Även hantering av ett litet fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Därutöver kan även mängden uppgifter vara en betydelsefull faktor i sammanhanget. Även omfattningen av utlämnandet av uppgifter till andra som sker utan stöd av offentlighetsprincipen kan vara av betydelse. Det kan också beaktas på vilket sätt och för vilka syften mottagaren av uppgifterna hanterar utlämnande uppgifter (prop. s.183 f.). I Totalförsvarets rekryteringsmyndighets verksamhet behandlas ett stort antal personuppgifter som avser en stor andel av den svenska befolkningen. Ändamålet med behandlingen av personuppgifter avser bl.a. att ta fram underlag för beslut om mönstring, inskrivning, krigsplacering eller annat ianspråktagande av personal inom totalförsvaret. Insamlingen av personuppgifter i Totalförsvarets rekryteringsmyndighets verksamhet baseras på en skyldighet för den enskilde att lämna dessa och de personuppgifter som samlas in är i många fall av integritetskänsligt slag. Även om syftet med personuppgiftsbehandlingen i Totalförsvarets rekryteringsmyndighets verksamhet inte är att kartlägga enskilda utan att kunna fatta beslut enligt lagen om totalförsvarsplikt, gör regeringen bedömningen att en stor del av den personuppgiftsbehandling som behöver ske i Totalförsvarets rekryteringsmyndighets verksamhet ändå utgör en sådan kartläggning av den enskildes förhållanden som innebär ett betydande intrång i den personliga integriteten i den mening som avses i regeringsformens bestämmelse om integritetsskydd. Detta skydd mot integritetsintrång kan begränsas i lag under förutsättning att begränsningen görs för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle (2 kap. 20 § första stycket 2 och 21 § regeringsformen). Det är av grundläggande betydelse i ett demokratiskt samhälle att Totalförsvarets personalförsörjning kan tillgodoses. 2019/20:51 het är central för personalförsörjningen av totalförsvaret. För att myndigheten ska kunna fullgöra sitt uppdrag behöver den i sin verksamhet kunna behandla personuppgifter i den omfattning som beskrivs ovan. Detta kan inte ske på ett mindre ingripande sätt. Det är därmed fråga om en sådan begränsning av 2 kap. 6 § regeringsformen som är proportionerlig och nödvändig för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. Detta innebär att de grundläggande bestämmelserna för behandlingen av personuppgifter i Totalförsvarets rekryteringsmyndighets verksamhet, liksom , bör regleras i lag. är det enligt regeringens mening olämpligt att tynga lagen med alltför detaljerade bestämmelser. Lagregleringen avseende Totalförsvarets rekryteringsmyndighets verksamhet bör därför kompletteras med bestämmelser som meddelas i förordning. De föreskrifter som regeringen meddelar får dock inte falla inom det grundlagsskyddade området som kräver lagform för begränsningar av integritetsskyddet. En ny lag bör införas gäller dataskyddsförordningen och dataskyddslagen i . Dataskyddsförordningens och dataskyddslagens bestämmelser är dock inte utformade för just den personuppgiftsbehandling som behöver utföras vid Totalförsvarets rekryteringsmyndighet. Det finns t.ex. inga bestämmelser som mer precist reglerar vilka personuppgifter som får behandlas i verksamheten, för vilka ändamål personuppgifter får behandlas eller vad som gäller i fråga om direktåtkomst. Behandlingen av personuppgifter om totalförsvarspliktiga behöver därför regleras i en särskild lag. Den nu gällande lagen om behandling av personuppgifter om totalförsvarspliktiga tillkom 1998 och har endast ändrats ett fåtal gånger . Regleringen behöver moderniseras så att Totalförsvarets rekryteringsmyndighet har möjlighet att bedriva sin verksamhet och behandla personuppgifter på ett effektivt sätt som skyddet för den enskildes personliga integritet tillgodoses. För att åstadkomma detta bör en ny lag införas och lagen om behandling av personuppgifter om totalförsvarspliktiga upphävas. Regeringens förslag: Den nya lagen ska heta totalförsvarsdatalag. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: anser att det kan ifråga- sättas om inte den nya författningen borde heta lagen om behandling av personuppgifter vid Totalförsvarets rekryteringsmyndighet med hänsyn till att totalförsvaret inrymmer mer än Totalförsvarets rekryteringsmyndighets verksamhet. Övriga remissinstanser har inga synpunkter på förslaget. Skälen för regeringens förslag: All automatisk behandling av personuppgifter om totalförsvarspliktiga i Totalförsvarets rekryteringsmyndig- hets verksamhet regleras i lagen om behandling av personuppgifter Prop. 2019/20:51 om totalförsvarspliktiga. Den nuvarande regleringen omfattar dock inte enbart totalförsvarspliktiga, även om huvuddelen av den personuppgiftsbehandling som myndigheten utför avser totalförsvarspliktiga. Inte heller den nu föreslagna lagen omfattar endast totalförsvarspliktiga. Även personuppgifter som rör annan personal inom totalförsvaret kommer att omfattas av den nya regleringen (se avsnitt 7.2). Namnet totalförsvarsdatalag täcker in den behandling av personuppgifter som omfattas av lagen, dvs. behandling av personuppgifter om totalförsvarspliktiga och annan personal som har en uppgift inom totalförsvaret vid höjd beredskap. anser att det kan ifrågasättas om inte den nya författningen borde heta lagen om behandling av personuppgifter vid Totalförsvarets rekryteringsmyndighet med hänsyn till att totalförsvaret inrymmer mer än myndighetens verksamhet. Den nya regleringen omfattar visserligen huvudsakligen behandling av personuppgifter vid Totalförsvarets rekryteringsmyndighet. Regleringen omfattar dock även bemanningsansvarigas behandling av känsliga personuppgifter vid annan utredning enligt 2 kap. 1 § lagen (1994:1809) om totalförsvarsplikt samt Försvarsmaktens behandling av personuppgifter när den myndigheten genom direktåtkomst i Totalförsvarets rekryteringsmyndighets informationssystem behandlar personuppgifter. Vidare faller viss personuppgiftsbehandling vid Totalförsvarets rekryteringsmyndighet utanför den nya lagens tillämpningsområde (se vidare avsnitt 7.3). Genom namnet totalförsvarsdatalag markeras att lagen enbart innehåller bestämmelser av dataskyddsrättslig karaktär. Regeringen anser vid en sammanvägd bedömning att det lämpligaste namnet på den nya lagen är totalförsvarsdatalag. 6.3 Förhållandet till annan reglering Regeringens förslag: I lagen införs en bestämmelse som anger att vid behandling av personuppgifter enligt denna lag gäller dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Utredningens förslag överensstämmer i sak med regeringens. ningen föreslår även att en upplysningsbestämmelse införs som anger att den nya lagen kompletterar dataskyddsförordningen. Remissinstanserna: Datainspektionen anser att förhållandet till annan dataskyddsreglering är otydligt utformat i lagförslaget. föreslår att 4 § totalförsvarsdatalagen i stället ska föreskriva att data- skyddsförordningen jämte dataskyddslagen gäller vid behandling av personuppgifter i Totalförsvarets rekryteringsmyndighets verksamhet, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd För de särskilda områden där dataskyddslagen och dataskydds- förordningens regler ska gälla uttömmande efterlyser Datainspektionen en Övriga remissinstanser tillstyrker förslaget eller har inga synpunkter på 2019/20:51 Skälen för regeringens förslag: Totalförsvarets rekryteringsmyndighets behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret syftar till att tillgodose det svenska totalförsvarets behov av personal samt att möjliggöra redovisning av dessa. Regeringen bedömer att dataskyddsförordningen inte gäller i den delen av Totalförsvarets rekryteringsmyndighets verksamhet. Genom bestämmelsen i 1 kap. 2 § dataskyddslagen har dock dataskyddsförordningens tillämpningsområde utsträckts till att även omfatta personuppgiftsbehandling på bl.a. försvarsområdet. Såväl dataskyddslagen som dataskyddsförordningen är därmed tillämpliga i hela Totalförsvarets rekryteringsmyndighets verksamhet. Om en annan lag eller förordning innehåller någon bestämmelse som avviker från dataskyddslagen, ska dock den bestämmelsen tillämpas (1 kap. 6 § dataskyddslagen). Vare sig dataskyddsförordningen eller dataskyddslagen utgör således något rättsligt hinder mot att införa en helt fristående reglering som inte är anpassad till den EU-rättsliga regleringen eller dataskyddslagen. Dataskyddsförordningens och dataskyddslagens bestämmelser är dock i stor utsträckning relevanta för Totalförsvarets rekryteringsmyndighets verksamhet. Tillräckliga skäl för att införa en helt fristående reglering för den här delen av Totalförsvarets rekryteringsmyndighets verksamhet har inte framkommit. I stället bör den nya regleringen av behandling av personuppgifter inom Totalförsvarets rekryteringsmyndighets verksamhet i viss mån anpassas till dataskyddsförordningen och dataskyddslagens bestämmelser. Vid Totalförsvarets rekryteringsmyndighets behandling av personuppgifter kommer alltså dataskyddslagen – och därmed också dataskyddsförordningen att gälla, med undantag för de fall då avvikelser som regleras i den nu föreslagna lagen är befogade på grund av verksamhetens särskilda karaktär. En bestämmelse bör införas som anger att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Datainspektionen anför att det för de särskilda områden där dataskyddslagen och dataskyddsförordningens regler ska gälla uttömmande bör finnas en direkt hänvisning i den nya lagen. Vid behandling av personuppgifter i Totalförsvarets rekryteringsmyndighets verksamhet kommer dataskyddsförordningen och dataskyddslagen i stor utsträckning att gälla. Vid dessa förhållanden anser regeringen att det inte är motiverat att i den nya lagen uttryckligen hänvisa till vissa bestämmelser i vare sig dataskyddsförordningen eller dataskyddslagen. Lagens syfte och tillämpningsområde Regeringens förslag: Syftet med lagen ska vara att ge Totalförsvarets rekryteringsmyndighet möjlighet att i sin verksamhet behandla personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret på ett ändamålsenligt sätt samt att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Utredningens förslag överensstämmer i sak med regeringens. Utredningen föreslår en annan utformning av bestämmelsen. Remissinstanserna: delar utredningens förslag. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Totalförsvarets rekryteringsmyndighets verksamhet medför ett behov av omfattande behandling av personuppgifter om totalförsvarspliktiga och annan personal inom totalförsvaret och i många fall rör behandlingen känsliga personuppgifter. kan en sådan behandling innebära en risk för intrång i den enskildes personliga integritet. Skyddet för den personliga integriteten måste därför värnas genom bestämmelserna i lagen. Vid utformningen av lagen måste således både kravet på att Totalförsvarets rekryteringsmyndighets verksamhet ska kunna bedrivas på ett ändamålsenligt sätt och skyddet för den personliga integriteten beaktas. Bestämmelserna i lagen har till syfte att balansera båda dessa intressen. Syftet med lagen är därför dubbelt, vilket bör komma till tydligt uttryck i lagen. Regeringens förslag: Lagen ska tillämpas i Totalförsvarets rekryteringsmyndighets verksamhet vid behandling av personuppgifter om totalförsvarspliktiga och annan personal som har en skyldighet att fullgöra en uppgift inom totalförsvaret vid höjd beredskap. I de fall det anges särskilt gäller lagen även i verksamhet som bedrivs av någon annan än Totalförsvarets rekryteringsmyndighet. Utredningens förslag överensstämmer i sak med regeringens. Utredningen föreslår delvis en annan utformning av bestämmelsen. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Verksamhet som ska omfattas av lagen Totalförsvarets rekryteringsmyndighet ansvarar för att myndigheter och andra som har bemanningsansvar inom totalförsvaret får stöd och service i frågor som avser bemanning med totalförsvarspliktiga som skrivs in för värnplikt eller civilplikt. Stöd och service ska lämnas även till de bemanningsansvariga i fråga om totalförsvarspliktigas tjänstgöring och om redovisning av annan personal inom totalförsvaret.