prop · H70351 · 2019-12-05 00:00:00 — Bestämmelser om information och tillgång till personuppgifter behöver därför inte föras in i den nya lagen. Bemyndigandet i 5 kap. 3 § dataskyddslagen innebär att regeringen med stöd av artikel 23 i dataskyddsförordningen kan meddela ytterligare begränsningar i vissa av de rättigheter som följer av förordningen. Regeringens bedömning: Bestämmelserna om skadestånd i dataskyddsförordningen och dataskyddslagen bör tillämpas vid Totalförsvarets rekryteringsmyndighets behandling av personuppgifter enligt den föreslagna lagen. Någon bestämmelse om skadestånd behöver därför inte föras in i lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens bedöm- Skälen för regeringens bedömning: Enligt 19 § lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga tillämpas personuppgiftslagens bestämmelser om skadestånd då personuppgifter behandlats i strid med lagen. Personuppgiftslagen har upphävts. Bestämmelser om skadestånd finns i stället dels i dataskyddsförordningen (artikel 82), dels i dataskyddslagen (7 kap. 1 §). Enligt 7 kap. 1 § dataskyddslagen gäller rätten till ersättning enligt artikel 82 i dataskyddsförordningen vid överträdelser av bestämmelser i dataskyddslagen och andra föreskrifter som kompletterar dataskyddsförordningen. Då ingen avvikande reglering föreslås i den nya lagen kommer bestämmelsen i artikel 82 i dataskyddsförordningen gälla i Totalförsvarets rekryteringsmyndighets verksamhet. Det saknas därför behov av en bestämmelse om skadestånd i den föreslagna lagen. Regeringens bedömning: Bestämmelserna om administrativa sanktionsavgifter i dataskyddslagen bör tillämpas vid Totalförsvarets rekryteringsmyndighets behandling av personuppgifter enligt den föreslagna lagen. Någon bestämmelse om administrativa sanktionsavgifter behöver därför inte föras in i lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens bedöm- Skälen för regeringens bedömning: Dataskyddsförordningens bestämmelser om administrativa sanktionsavgifter (artikel 83) är inte direkt tillämpliga när det gäller offentliga myndigheter och organ. I stället har medlemsstaterna getts möjlighet att själva besluta om administrativa sanktionsavgifter ska kunna beslutas för personuppgiftsansvariga i offentlig verksamhet. I 6 kap. dataskyddslagen har det därför förts in bestämmelser som föreskriver att dataskyddsförordningens bestämmelser om administrativa sanktionsavgifter ska gälla även för myndigheter. Det saknas tillräckliga skäl för att Totalförsvarets rekryteringsmyndighet inte ska omfattas av samma sanktionsbestämmelser som andra myndigheter. Bestämmelserna om administrativa sanktionsavgifter i dataskyddslagen och dataskyddsförordningen bör därför gälla även i fråga om Totalförsvarets rekryteringsmyndighets behandling av personuppgifter. Någon bestämmelse om administrativa sanktionsavgifter behöver därför inte föras in i den föreslagna lagen. Regeringens förslag: Personuppgifter ska avskiljas så att tillgången till dem begränsas när de inte längre behövs i Totalförsvarets rekryterings- myndighets löpande verksamhet för de primära ändamålen. Personuppgifter om totalförsvarspliktiga ska avskiljas senast vid ut- gången av det kalenderår då den totalförsvarspliktige fyller , om inte den totalförsvarspliktige därefter har en uppgift inom totalförsvaret vid höjd beredskap. En upplysningsbestämmelse införs om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regerings- formen kan meddela ytterligare föreskrifter om avskiljande av person- Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen ser positivt på att det införs regler om avskiljande samt att bestämmelser om gallring tas bort men före- språkar att inte bara ett avskiljande, utan även en hänvisning om längsta tid för behandling införs. Datainspektionen efterlyser bestämmelser i total- 2019/20:51 försvarsdatalagen som uppmärksammar tillämparen på att de personuppgifter som inte är nödvändiga för bl.a. forskningsändamål inte ska bevaras i Totalförsvarets rekryteringsmyndighets informationssystem. är positivt till att det inte föreslås någon bestämmelse om gallring i lagen utan att uppgifter som inte behövs för sitt ändamål i stället ska avskiljas och kunna göras tillgängliga för forskning genom att de förvaras i ett e-arkiv. Övriga remissinstanser är positiva till eller yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag Inledande om bevarande och gallring Enligt 2 kap. 1 § tryckfrihetsförordningen har varje svensk medborgare rätt att ta del av allmänna handlingar. Bestämmelsen medför en skyldighet för myndigheterna att bevara handlingar för att möjliggöra denna rätt till handlingsoffentlighet. Enligt 2 kap. 18 § tryckfrihetsförordningen ska bestämmelser om hur allmänna handlingar ska bevaras och gallras meddelas i lag. Bestämmelser om myndigheternas skyldighet att bevara och gallra allmänna handlingar finns framför allt i arkivlagen (1990:782), arkivförordningen (1991:446) och föreskrifter (RA-FS och ). Bestämmelser om gallring finns även ofta i registerförfattningar som reglerar behandling av personuppgifter. Huvudregeln i arkivlagstiftningen är att allmänna handlingar ska bevaras. Det kommer till uttryck i 3 § arkivlagen, som anger att myndigheternas arkiv som huvudregel ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Enligt 10 § arkivlagen får dock allmänna handlingar under vissa förutsättningar gallras. Med gallring avses att allmänna handlingar eller uppgifter i allmänna handlingar förstörs. Arkivlagens bestämmelser om gallring är subsidiära i förhållande till annan lagstiftning. Det innebär att om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller förordning har de bestämmelserna företräde (10 § tredje stycket arkivlagen). I registerförfattningar är det vanligt med bestämmelser om gallring. Sådana bestämmelser innebär i allmänhet att en omvänd princip tillämpas där huvudregeln är gallring och inte, som i arkivlagen, bevarande. Bevarande och gallring i Totalförsvarets rekryteringsmyndighets verksamhet Enligt 15 § första stycket lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga ska en personuppgift i det automatiserade registret över totalförsvarspliktiga gallras så snart uppgiften inte längre behövs för de ändamål som anges i 1 § första stycket. Personuppgifter ska gallras senast vid utgången av det kalenderår den registrerade fyller , om inte han eller hon även därefter har en uppgift inom totalförsvaret vid höjd beredskap. Detta gäller personuppgifter om dem som avses i 8 § första stycket 1–3, dvs. 1.är eller har varit aktuell för mönstring eller annan utredning, 2.genom avtal, beslut om krigsplacering eller på annat sätt är tagen i anspråk för totalförsvaret eller 3.ska utföra särskild uppgift vid höjd beredskap eller på grund av viss kompetens är viktig för totalförsvaret. Uppgifter om närstående, beslutsfattare, handläggare, den som gjort journalanteckning samt om personer som nämns bland vad som antecknats med stöd av 9 § första stycket 13 ska härvid anses som uppgifter om den totalförsvarspliktige. Regeringen får meddela föreskrifter om för gallring än vad som följer av detta stycke. För personuppgifter som Totalförsvarets rekryteringsmyndighet behandlar utan att registrera dem i register som förs med hjälp av automatiserad behandling, ansågs vid lagens tillkomst inte några särskilda bestämmelser om gallring vara nödvändiga. Arkivlagens huvudregel om att handlingarna ska bevaras och de möjligheter arkivmyndigheten (Riks- arkivet) har att lämna föreskrifter ansågs tillräckliga (prop. 1997/98:80 s. 71 f.) Den gallring som Totalförsvarets rekryteringsmyndighet utför enligt 15 § lagen om behandling av totalförsvarspliktiga omfattar således endast gallring av personuppgifter i det automatiserade registret över totalförsvarspliktiga, dvs. Det innebär i praktiken att huvuddelen av uppgifterna överförs och sparas i myndighetens s.k. forskningsarkivregister i syfte att utgöra underlag för forskning. De uppgifter som alltjämt behövs i myndighetens löpande verksamhet, exempelvis namn, adress och tjänstgöringsuppgifter sparas i informationssystemen till och med den tidpunkt då den totalförsvarspliktige fyller . I de fall den totalförsvarspliktige har en uppgift inom totalförsvaret vid höjd beredskap, sparas uppgifterna ännu längre. Därefter överförs uppgifterna till en särskild databas för långtidslagring, ett s.k. elektroniskt slutarkiv. Vissa uppgifter överförs sedan till . handlingar ska överföras från Totalförsvarets rekryteringsmyndighet till fastställs genom en överenskommelse mellan de båda myndigheterna. Någon regelrätt gallring i arkivlagens mening, dvs. att uppgifterna rent faktiskt förstörs genom att informationen raderas från databäraren, sker alltså i allmänhet inte. Personuppgifter i Totalförsvarets rekryteringsmyndighets verksamhet fortsätter att vara en del av verksamheten även efter det att de handlingar som de ingår i har arkiverats, i vart fall så länge arkiveringen sker hos myndigheten. Arkivering av personuppgifter omfattas därmed av den nya lagens tillämpningsområde. Av artikel 5.1 b i dataskyddsförordningen framgår att vidarebehandling av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. För att klargöra att vidarebehandling av personuppgifter för arkivändamål är tillåten enligt den nya lagen föreslås en bestämmelse i 7 § andra stycket av vilken det framgår att personuppgifter som får behandlas för de primära ändamålen får behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in (se vidare avsnitt 9.2.2). Behovet av en särskild gallringsbestämmelse I Totalförsvarets rekryteringsmyndighets verksamhet behandlas en betydande mängd personuppgifter om ett stort antal totalförsvarspliktiga i myndighetens olika informationssystem. Behandlingen grundar sig till övervägande del på den skyldighet för totalförsvarspliktiga att lämna uppgifter om sina personliga förhållanden i mönstringsunderlaget enligt lagen (1994:1809) om totalförsvarsplikt. Många av de personuppgifter som Totalförsvarets rekryteringsmyndighet registrerar har ett stort värde för forskningen. Uppgifterna innehåller en allsidig information beträffande en stor del av befolkningen vid en viss ålder. Samma slags uppgifter samlas in år och förändringar av t.ex. folkhälsan kan härigenom kontinuerligt följas (prop. 1997/98:80 s. 72 f.). Det finns alltså ett stort behov av att för forskningsändamål bevara många av de personuppgifter som behandlas i myndighetens verksamhet. Huvuddelen av de personuppgifter som behandlas i den löpande verksamheten överförs då de inte längre behövs till myndighetens s.k. forskningsarkivregister och sparas där i syfte att utgöra underlag för forskning. Övriga uppgifter sparas som regel till och med den tidpunkt då den totalförsvarspliktige fyller i något av myndighetens informationssystem för den löpande verksamheten för att därefter överföras till ett elektroniskt slutarkiv. När handlingar ska överföras till fastställs genom en överenskommelse mellan Totalförsvarets rekryteringsmyndighet och . Den gallring som Totalförsvarets rekryteringsmyndighet utför enligt 15 § lagen om behandling av personuppgifter om totalförsvarspliktiga är därmed ytterst begränsad. Regeringen anser därför att bevarande enligt arkivlagens bestämmelser bör vara utgångspunkten i den nya lagen. Någon bestämmelse om gallring bör därför inte införas i lagen. I stället ska bestämmelserna om gallring i arkivlagen gälla inklusive möjligheterna för att meddela föreskrifter. Att, såsom Datainspektionen föreslår, införa en särskild bestämmelse i den nya lagen om att uppgifter som inte är nödvändiga för bl.a. forskningsändamål inte ska bevaras i Totalförsvarets rekryteringsmyndighets informationssystem är därmed inte nödvändigt enligt regeringen. Avskiljande av inaktuella personuppgifter Det är viktigt att personuppgifter endast finns tillgängliga så länge som det finns berättigade ändamål för behandlingen (jfr artikel 5.1 b i dataskyddsförordningen). Det är därför – ur ett integritetsskyddsperspektiv – angeläget att uppgifter som inte längre behövs för något av de i lagen angivna ändamålen avförs från den löpande verksamheten så att de inte längre finns tillgängliga för samtliga anställda vid rekryteringsmyndighet. De uppgifter om totalförsvarspliktiga som behandlas i myndighetens verksamhet är ofta av integritetskänslig karaktär. Från integritetsskyddssynpunkt är det därför viktigt att uppgifterna finns tillgängliga för de anställda endast så länge som de har behov av uppgifterna för att kunna utföra sina arbetsuppgifter. En bestämmelse bör därför införas i den nya lagen som innebär att personuppgifter ska avskiljas när de inte längre behövs i den löpande verksamheten för de primära ändamålen. Ett avskiljande innebär att uppgiften avskiljs från fortsatt behandling. I teknisk mening innebär det inte att uppgifterna utplånas utan de bevaras i andra lagringsutrymmen för forsknings- eller andra arkivändamål. 2019/20:51 ningen av bestämmelsen bör vara generell i den meningen att det an- kommer på Totalförsvarets rekryteringsmyndighet att bestämma hur avskiljandet ska ske så länge det inte innebär någon informationsförlust av något slag. Någon anledning att i lagen precisera hur personuppgifterna ska avskiljas föreligger inte enligt regeringens bedömning. För att tillgodose integritetsskyddet är det dock av vikt att föreskriva en yttersta gräns för hur länge personuppgifter får behandlas i den löpande verksamheten innan de ska avskiljas. Regeringen anser att personuppgifter om totalförsvarspliktiga ska avskiljas senast vid utgången av det kalenderår den totalförsvarspliktige fyller , dvs. vid totalförsvarspliktens upphörande. Om det dock står klart att uppgifterna saknar betydelse utifrån de i lagen angivna ändamålen ska de avskiljas . Det är dock inte ovanligt att totalförsvarspliktiga har uppgifter att fylla inom totalförsvaret även efter det att totalförsvarsplikten har upphört, t.ex. medlemmar i frivilligorganisationer som väljer att kvarstå som medlemmar efter att de fyllt och som därmed behåller sina krigsuppgifter. Det kan också föreligga en skyldighet för vissa totalförsvarspliktiga att utföra uppgifter inom totalförsvaret vid höjd beredskap trots att de har fyllt . I likhet med nu gällande reglering bör därför bestämmelsen kompletteras med ett undantag från sjuttioårsgränsen för dem som därefter har en uppgift inom totalförsvaret vid höjd beredskap. Ett sådant undantag bör därför föras in i den nya lagen. Datainspektionen förespråkar att inte bara ett avskiljande, utan även att en bestämmelse om längsta tid för behandling införs i den nya lagen. Som redogjorts för ovan har Totalförsvarets rekryteringsmyndighet i många fall behov av att behandla personuppgifter . Uppgifterna får dock endast behandlas om det behövs för något av de ändamål som är angivna i den föreslagna lagen eller för arkivändamål. Dessutom föreslås att tillgången till uppgifterna ska begränsas till vad varje anställd behöver för att kunna fullgöra sina uppgifter. När uppgifterna inte längre behövs i myndighetens löpande verksamhet ska de avskiljas så att tillgången till dem begränsas. Enligt regeringens mening säkerställer kravet på att behandlingen ska vara nödvändig för angivna ändamål samt bestämmelserna om avskiljande, begränsning av tillgången till uppgifter och arkivering skyddet för den enskildes integritet som myndighetens behov av att kunna behandla personuppgifter tillgodoses. Någon bestämmelse om längsta tid för behandling av personuppgifter föreslås därför inte. Regeringen anser att bestämmelsen om avskiljande av inaktuella personuppgifter bör kompletteras med en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare föreskrifter om avskiljande av personuppgifter. 2019/20:51 20.2 Bevarande av känsliga personuppgifter Regeringens bedömning: Bestämmelsen i dataskyddslagen om behandling av känsliga personuppgifter för arkivändamål av allmänt intresse bör tillämpas i Totalförsvarets rekryteringsmyndighets verksamhet. Någon motsvarande bestämmelse behöver därför inte föras in i lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över bedömningen. Skälen för regeringens bedömning: I 3 kap. 6 § i dataskyddslagen finns en bestämmelse om behandling av känsliga personuppgifter för arkivändamål av allmänt intresse. Det saknas skäl för att Totalförsvarets rekryteringsmyndighet inte ska omfattas av samma bestämmelse som andra myndigheter i detta avseende. Bestämmelsen om behandling av känsliga personuppgifter för arkivändamål av allmänt intresse i dataskyddslagen bör därför gälla även i Totalförsvarets rekryteringsmyndighets verksamhet. Någon bestämmelse om bevarande av känsliga personuppgifter behöver därför inte föras in i den föreslagna lagen. 21.1Sekretess i Totalförsvarets rekryteringsmyndighets verksamhet I Totalförsvarets rekryteringsmyndighet gäller ett flertal bestämmelser i offentlighets- och sekretesslagen (2009:400), förkortad OSL. Flera sekretessbestämmelser kan vara tillämpliga på en uppgift hos en myndighet. Om en prövning i ett enskilt fall resulterar i att uppgiften inte är sekretessbelagd enligt en eller flera bestämmelser som den är sekretessbelagd enligt en eller flera andra bestämmelser, är huvudregeln att de senare bestämmelserna har företräde. Sekretess gäller för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs (15 kap. 2 § OSL). Sekretessen gäller i högst . Om det finns särskilda skäl, får dock regeringen meddela föreskrifter om att sekretessen ska gälla . I Totalförsvarets rekryteringsmyndighets verksamhet kan t.ex. uppgifter om totalförsvarspliktigas krigsplacering och befattning omfattas av bestämmelsen. Sekretess gäller för uppgift som ingår i eller utgör underlag för kunskapsprov eller psykologiskt prov under en myndighets överinseende, om det kan antas att syftet med provet (17 kap. 4 § OSL). är inte föreskriven i denna Bestämmelsen aktualiseras vid utlämnande av uppgifter i de begåvningstest och anlagstest som totalförsvarspliktiga får genomföra vid mönstring eller annan utredning. 21.1.3Hälsotillstånd och hälso- och sjukvård Sekretess gäller för uppgift som rör en enskilds hälsa eller sexualliv, såsom uppgifter om sjukdomar, missbruk, sexuell läggning, könsbyte, sexualbrott eller annan liknande uppgift, om det måste antas att den enskilde eller någon närstående till denne kommer att lida betydande men om uppgiften röjs. För uppgift i en allmän handling gäller sekretessen i högst (21 kap. 1 § OSL). Bestämmelsen innebär ett minimiskydd för uppgifter om enskildas hälsa och andra personliga förhållanden inom den offentliga sektorn. Uppgifter om enskildas hälsa och andra personliga förhållanden skyddas även av bestämmelsen om hälso- och sjukvårdssekretess i 25 kap. 1 § OSL. Av bestämmelsen följer att sekretess gäller inom hälso- och sjukvården för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Detsamma gäller i annan medicinsk verksamhet, exempelvis rättsmedicinsk och rättspsykiatrisk undersökning, insemination, befruktning utanför kroppen, fastställande av könstillhörighet, abort, sterilisering, omskärelse och åtgärder mot smittsamma sjukdomar. Med annan medicinsk verksamhet åsyftas t.ex. rättsmedicinsk undersökning och läkarundersökning som inte primärt har vård- eller behandlingssyfte utan går ut på att fastställa en persons lämplighet för viss befattning, t.ex. inom försvaret. Bestämmelsen är således tillämplig på de medicinska och psykologiska undersökningar som förekommer vid inskrivning av totalförsvarspliktiga (prop. 1979/80:2 Del A s. 167 och 204). Sekretesstiden för uppgifter i allmänna handlingar är enligt bestämmelsen högst . 21.1.4Behandling i strid med dataskyddsregleringen Av 21 kap. 7 § OSL framgår att sekretess gäller för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen eller dataskyddslagen. Någon sekretesstid är inte föreskriven i bestämmelsen. Register över totalförsvarets personal Enligt 6 § offentlighets- och sekretessförordningen (2009:641) gäller sekretess i verksamhet som avser registrering av betydande del av befolk- ningen för bl.a. uppgift om enskilds personliga förhållanden, om det av 2019/20:51 särskild anledning kan antas att den enskilde eller någon närstående till honom eller henne lider men om uppgiften röjs. Sekretesstiden för uppgifter i allmänna handlingar är enligt bestämmelsen högst . Sådan verksamhet som avses i bestämmelsen är bl.a. Totalförsvarets rekryteringsmyndighets register över totalförsvarets personal. 21.1.6Uppgifter vid utredning, inskrivning, krigsplacering m.m. Enligt 38 kap. 1 § OSL gäller sekretess för uppgift om en enskilds personliga förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs och uppgiften förekommer i ärende som angår 1.utredning om totalförsvarspliktigas personliga förhållanden, 2.antagning av kvinnor till befattningar inom totalförsvaret som kräver längre grundutbildning än , 3.inskrivning och krigsplacering av totalförsvarspliktiga, 4.antagning till utbildning vid Försvarsmakten, eller 5.skyldighet att tjänstgöra med totalförsvarsplikt samt uppskov med och avbrott i sådan tjänstgöring. Sekretessen gäller inte beslut i ärende. För uppgift i en allmän handling gäller sekretessen i högst . Bestämmelsen om sekretess enligt punkt 1 är i första hand tillämplig hos Totalförsvarets rekryteringsmyndighet som ansvarar för och genomför utredningar beträffande de totalförsvarspliktiga. även tillämplig hos andra myndigheter som utför utredningar om total- försvarspliktigas personliga förhållanden med stöd av lagen (1994:1809) Vidare gäller sekretessen i ärenden om inskrivning och krigsplacering av totalförsvarspliktiga (punkt 3). I denna del är be- stämmelsen tillämplig hos Totalförsvarets rekryteringsmyndighet och Som exempel på vad som kan omfattas av bestämmelsen kan nämnas uppgifter som kommer fram vid de psyko- Vidare gäller sekretessen enligt första stycket i ärenden som angår skyldighet att tjänstgöra med totalförsvarsplikt samt uppskov med och avbrott i sådan tjänstgöring (punkt 5). för att sekretess ska gälla i de aktuella ärendena är att det kan antas att uppgifterna gäller enskilds personliga förhållanden samt att den enskilde eller någon närstående till denne lider men om uppgifterna röjs. skaderekvisit gäller alltså med en presumtion för offentlighet. Enligt 38 kap. 2 § OSL gäller sekretess inom personalvård med av- seende på den som tjänstgör med totalförsvarsplikt för uppgift som hänför sig till psykologisk undersökning och för uppgift om en enskilds per- sonliga förhållanden hos en konsulent eller annan befattningshavare som särskilt har till uppgift att bistå med råd och hjälp i personliga angelägenheter, om det inte står klart att uppgiften kan röjas utan att den