prop · H803224 · 2021-09-13 00:00:00 — Sådan information ska omfatta uppgift om att det är Försvarsmakten som är personuppgiftsansvarig för behandlingen, uppgift om ändamålen med behandlingen och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Av samma bestämmelse framgår att information inte behöver lämnas om sådant som den registrerade redan känner till. Det kan vara sådant som den registrerade vet t.ex. på grund av att informationen redan har lämnats i enlighet med annan lagstiftning eller när den personuppgiftsansvarige avser att fortlöpande samla in uppgifter om den registrerade. behöver då inte lämnas varje gång nya uppgifter samlas in, om den registrerade en gång har fått fullständig information och således redan känner till informationen. Bestämmelsen tillämpas huvudsakligen i samband med säkerhetsprövning enligt säkerhetsskyddslagen inför bl.a. anställning, uppdrag och tjänstgöring inom Försvarsmakten. Förutom i den militära säkerhetstjänsten, kommer Försvarsmakten även inom verksamhetsområdena försvar och säkerhet och internationellt försvars- och säkerhetssamarbete ibland att behandla personuppgifter som har lämnats av den enskilde själv. Som utredningen föreslår bör det i den nya lagen därför införas en bestämmelse som innebär att Försvarsmakten på eget initiativ ska lämna viss information om person- uppgiftsbehandlingen i de fall uppgifterna samlas in från den som uppgifterna avser. I enlighet med utredningens förslag bör det av den nya lagen framgå att den information som Försvarsmakten lämnar i dessa situationer ska vara avgiftsfri. Information som ska lämnas efter begäran Försvarsmakten och är enligt gällande ordning skyldiga att, till var och en som ansöker om det, en gång per kalenderår gratis lämna besked om huruvida personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter ska myndigheterna lämna skriftlig information om vilka uppgifter om den sökanden som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. En ansökan ska göras skriftligen och vara undertecknad av den sökande själv. Försvarsmakten och ska lämna information till den sökande inom efter det att ansökan gjordes. Om det finns särskilda skäl för det får informationen lämnas senast efter det att ansökan gjordes (2 kap. 2 § FM-PuL och 2 kap. 1 § FRA-PuL). Utredningen föreslår att motsvarande bestämmelser bör införas i de nya lagarna. Enligt utredningens förslag bör den skriftliga informationen även innehålla uppgifter om hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det och rätten att begära rättelse, radering eller begränsning av behandling. avstyrker utredningens förslag, med hänvisning till att myndigheten efter bedömning av den sekretess som omgärdar försvarsunderrättelseverksamheten, inte i något fall har lämnat ut någon personuppgift efter en enskilds begäran (rätten att begränsa rätten till information behandlas i avsnitt 12.2). Myndigheten framhåller även att skyddet av den enskildes integritet på ett bättre sätt säkerställs av den omfattande och oberoende statliga kontroll som finns på försvarsunderrättelseområdet. Regeringen instämmer i att kontrollverksamheten är av väsentlig betydelse för värnandet av den enskildes integritet. Det betyder emellertid inte att den rätt till information som den enskilde har enligt nuvarande ordning bör utgå. Utredningens förslag i denna del bör därför genomföras. Försvarsmakten föreslår ett förtydligande i förhållande till utredningens lagtextförslag då det enligt Försvarsmakten inte är möjligt att få del av handlingarna i vilka personuppgifterna behandlas genom en begäran om 2020/21:224 personrelaterad information. Försvarsmakten framhåller att en enskild alltid har möjlighet att begära att få ta del av en allmän handling enligt 2 kap. tryckfrihetsförordningen. Regeringen, som inte anser att det finns skäl att justera bestämmelsen, konstaterar att det inte finns något som hindrar att den, som med stöd av personuppgiftsregleringen begär att få ta del av sina personuppgifter, får detta genom en kopia av den handling i vilka uppgifterna finns. Den personuppgiftsansvarige har dock ingen skyldighet att lämna ut en kopia av handlingen om sökandens rättigheter kan säkerställas på annat sätt, t.ex. genom en sammanställning av vilka personuppgifter som behandlas. Som Totalförsvarets rekryteringsmyndighet uppmärksammar innebär förslaget en skillnad i förhållande till EU:s dataskyddsförordning när det gäller hur ofta den enskilde kan begära att få ta del av sina personuppgifter. Regeringen bedömer, i likhet med myndigheten, att det kan antas medföra verkningar av enbart begränsad betydelse för den enskilde. Enligt nuvarande ordning och utredningens förslag ska information som ska lämnas efter begäran från den registrerade lämnas utan avgift en gång per kalenderår. Utredningen föreslår även att de nya lagarna uttryckligen ska ge Försvarsmakten respektive rätt att avslå en begäran från någon som begär information om personuppgifter oftare än en gång per kalenderår. Regeringen anser att detta redan på ett tillräckligt tydligt sätt följer av de föreslagna bestämmelserna om att Försvarsmakten och är skyldiga att en gång per kalenderår på begäran lämna skriftligt besked om huruvida personuppgifter om en viss person behandlas. Utredningens förslag i denna del bör därför inte genomföras. 12.2Rätten till information får begränsas Regeringens förslag: Informationsskyldigheten gäller inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut. Om det finns grund för att begränsa informationen ska den person- uppgiftsansvarige inte heller vara skyldig att lämna ut skälen för ett beslut om att begränsa informationen eller för ett beslut om en begäran om rättelse, radering eller begränsning av behandlingen. Rätten att få del av personrelaterad information ska inte gälla person- uppgifter i löpande text som inte har fått sin slutliga utformning när begäran gjordes eller som utgör en minnesanteckning eller liknande. Informationsskyldigheten ska dock gälla om uppgifterna 1.har lämnats till tredje part, med undantag för en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision, 2.behandlas enbart för statistiska ändamål eller arkivändamål av allmänt intresse, eller 3.har behandlats i löpande text som inte har fått sin slutliga utformning. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen föreslår inte något undantag för uppgifter som har lämnats till en myndighet som med stöd av författning utövar tillsyn, kontroll eller Remissinstanserna: Försvarsmakten anser att förslaget om att informationsskyldighet föreligger för uppgifter som behandlas enbart för vissa ändamål bör få motsvarande omfattning som enligt dataskyddslagen. Skälen för regeringens förslag: Enskildas rätt till information enligt FM-PuL och FRA-PuL hos Försvarsmakten och begränsas av bestämmelser om sekretess (2 kap. 4 § FM-PuL och 2 kap. 3§ FRA-PuL). Den informationsskyldighet som behandlas i avsnitt 12.1.2 bör därför, på motsvarande sätt som enligt nuvarande ordning, inte gälla i den utsträckning sekretess hindrar att uppgifterna lämnas ut till den som uppgifterna rör. Eftersom skälen för ett beslut om sekretess kan ge ledning om uppgifternas innehåll, bör inte heller skälen för beslut om sekretess lämnas till den som gett in begäran. Redan uppgiften om huruvida en enskilds personuppgifter behandlas av Försvarsmakten eller kan således omfattas av sekretess. Detsamma gäller frågor som rör rättelse, radering eller begränsning av behandling av person- uppgifter i dessa sammanhang (se avsnitt 12.3). Lagrådet anser att lagförslaget bör förtydligas i den del som avser begränsning av information med hänsyn till sekretess och föreslår en annan språklig utformning. Regeringen anser att utformningen enligt lagrådsremissens förslag är tydligare och lämpligare och därför bör stå kvar. Enligt nuvarande ordning behöver information som har begärts av en enskild inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Detta gäller dock inte om uppgifterna har lämnats ut till tredje man eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats (2 kap. 3 § FM-PuL och 2 kap. 2 § FRA-PuL). Som utredningen föreslår bör motsvarande bestämmelser införas i de nya lagarna. Tredje part är, enligt den föreslagna definitionen, någon annan än den registrerade, den personuppgiftsansvarige, dataskyddsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller person- uppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter (se avsnitt 6.5). Enligt utredningens förslag ska personuppgifter även lämnas ut om uppgifterna behandlas för enbart vetenskapliga, statistiska eller historiska ändamål, eller arkivändamål av allmänt intresse. Försvarsmakten hänvisar till motsvarande bestämmelse i dataskyddslagen som i denna del omfattar sådana personuppgifter som behandlas enbart för arkivändamål av allmänt intresse eller statistiska ändamål. Till skillnad från utredningens förslag omfattar dataskyddslagens bestämmelse således inte sådana person- uppgifter som behandlas för vetenskapliga och historiska ändamål. Regeringen anser att de nya lagarna i denna del inte bör avvika från vad som gäller enligt dataskyddslagen. I de fall som ett utkast eller en minnesanteckning endast används för statistiska ändamål eller för arkivändamål av allmänt intresse, bör således information om person- uppgiftsbehandlingen kunna lämnas. Detta bör komma till uttryck i de nya lagarna. Med mottagare avses den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision (se avsnitt 6.5). Det är därför lämpligt att i den 2020/21:224 aktuella bestämmelsen klargöra att ett utlämnande av information till sådana myndigheter inte gör att undantaget upphör att gälla. 12.3Rättelse, radering och begränsning av behandlingen Regeringens förslag: Försvarsmakten och ska på begäran av den registrerade rätta, radera eller begränsa behandlingen av sådana personuppgifter som inte har behandlats i enlighet med de föreslagna lagarna eller föreskrifter som har meddelats med stöd av dessa lagar. Försvarsmakten och ska också underrätta tredje part till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om en mera betydande skada eller olägenhet för denne skulle kunna undvikas genom en underrättelse. Någon underrättelse behöver dock inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Den personuppgiftsansvarige ska inte heller vara skyldig att lämna ut skälen för beslut i fråga om begäran om rättelse, radering eller begränsning av behandlingen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser, däribland Försvarsmakten, tillstyrker eller invänder inte mot utredningens förslag. avstyrker utredningens förslag om enskildas möjlighet att begära rättelse, radering och begränsning av behandling av personuppgifter i myndighetens försvarsunderrättelse- och underrättelse- verksamhet. Skälen för regeringens förslag Försvarsmakten respektive är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med FM-PuL respektive FRA-PuL eller föreskrifter som har meddelats med stöd av lagarna. Myndigheterna ska också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats (2 kap. 5 § FM-PuL och 2 kap. 4 § FRA-PuL). Med blockering avses en åtgärd som vidtas för att personuppgifter ska förses med information om att de inte ska lämnas ut till tredje man (annat än med stöd av offentlighetsprincipen) och om anledningen till det. Sådana personuppgifter får dock fortfarande behandlas av den personuppgifts- ansvarige eller av personuppgiftsbiträden. Att en uppgift utplånas innebär att den förstörs så att den inte kan återskapas. I EU:s dataskyddsförordning används inte orden blockering och utplåning. Rätten att begära rättelse Att en personuppgift rättas innebär att den ersätts eller kompletteras med riktiga uppgifter. Att de personuppgifter som behandlas är riktiga är av grundläggande betydelse både för myndigheternas verksamhet och för enskilda. På motsvarande sätt som enligt nuvarande ordning bör de nya lagarna, som utredningen föreslår, därför innehålla en bestämmelse om rätt för den registrerade att begära rättelse. Skyldigheten för den personuppgiftsansvarige att på eget initiativ vidta åtgärder när det upptäcks att personuppgifter är felaktiga, ofullständiga eller inaktuella behandlas i avsnitt 8.1.2. Den personuppgiftsansvarige bör skyndsamt utreda frågan och, om det är motiverat, så fort som möjligt genomföra rättelse eller korrigering. Den information som finns tillgänglig för den personuppgiftsansvarige, bl.a. den information som framgår av begäran om rättelse, bör tas i beaktande, men vilka utredningsåtgärder som i övrigt bör vidtas av den personuppgiftsansvarige får bedömas i varje enskilt fall. Felaktiga och ofullständiga uppgifter Att en felaktig eller ofullständig personuppgift rättas eller kompletteras kan innebära att uppgiften ersätts av en annan uppgift som är objektivt sett riktig eller kompletteras med en uppgift om de riktiga förhållandena så att uppgiften blir fullständig i objektiv mening. Det kan vara fråga om t.ex. ett felaktigt namn eller att endast delar av ett namn har återgetts i en handling (jfr avsnitt 8.1.2). Det kan även vara fråga om något fel som har uppstått på grund av ett tekniskt förfarande. Det ska alltså röra sig om ett fel eller en ofullständighet på grund av något som inte förutsätter en bedömning. Regeringen anser, i likhet med utredningen, att det i de nya lagarna bör införas bestämmelser om att den personuppgiftsansvarige på begäran ska rätta personuppgifter som rör den registrerade om de är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Att den personuppgiftsansvarige ska ta hänsyn till ändamålet med behandlingen vid bedömningen av om felaktiga personuppgifter ska rättas är en nödvändig del av prövningen av om en personuppgift är felaktig. Bestämmelserna bör inte innebära en rättighet för den registrerade att kräva att den personuppgiftsansvarige rättar inaktuella uppgifter. Däremot ska den personuppgiftsansvarige – om det är nödvändigt – på eget initiativ uppdatera uppgifter som är inaktuella. En felaktig personuppgift kan också rättas på så sätt att uppgiften tas bort utan att ersättas. Radering motsvarar utplåning, och är det ord som används i EU:s data- skyddsförordning. På samma sätt som när det gäller rättelse bör radering kunna göras dels på den personuppgiftsansvariges eget initiativ, dels på begäran av den registrerade. Den personuppgiftsansvarige ska på eget initiativ vidta åtgärder om personuppgifter behandlas i strid med vissa bestämmelser i lagarna. I enlighet med utredningens förslag bör rätten för 2020/21:224 enskilda att begära att den personuppgiftsansvarige ska radera uppgifterna regleras i de nya lagarna enligt följande. Personuppgifter ska vara adekvata och relevanta. Fler personuppgifter än nödvändigt får inte behandlas och de får bara behandlas om det finns en rättslig grund och för särskilt angivna ändamål. Det ska även anges i vilken utsträckning som känsliga personuppgifter får behandlas och hur länge personuppgifter får behandlas. Frågan om huruvida en personuppgift bör raderas får bedömas mot bakgrund av dessa bestämmelser. Vid bedömningen måste även 2 kap. tryckfrihetsförordningen och det arkivrättsliga regelverket beaktas. Uppgifter i allmänna handlingar En grundläggande princip i svensk rätt är att allmänheten ska ha insyn i det allmännas verksamhet. Enligt tryckfrihetsförordningen får grundläggande föreskrifter om hur allmänna handlingar ska bevaras samt om gallring och annat avhändande av sådana handlingar meddelas i lag (2 kap. 23 §). Sådana föreskrifter finns i arkivlagen (1990:782), vilken kompletteras av arkivförordningen (1991:446) och föreskrifter som har meddelats av . Många av myndigheternas handlingar är allmänna och omfattas därmed av offentlighetsprincipen. Arkivlagstiftningen har som utgångspunkt företräde framför person- uppgiftslagstiftningen på så sätt att intresset av att bevara allmänna handlingar väger över skyddet för personlig integritet. Utrymmet för att radera uppgifter i allmänna handlingar begränsas därmed av arkiv- lagstiftningen. Eftersom radering av uppgifter innebär att personuppgifter tas bort från uppgiftssamlingar på ett sådant sätt att de inte kan återskapas, bör en sådan åtgärd bara vidtas om den är förenlig med arkivlagstiftningen. För att radera personuppgifter i allmänna handlingar krävs därför författningsstöd för gallring. Utrymmet för att radera personuppgifter i allmänna handlingar på grund av att personuppgifterna inte har behandlats författningsenligt framstår därför som begränsat (jfr bl.a. Myndighetsdatalag, SOU 2015:39 s. 529 och 573–574). I enlighet med utredningens förslag bör ordet begränsning användas i de nya lagarna som motsvarighet till det som enligt nuvarande ordning benämns blockering. Med blockering av personuppgifter avses en åtgärd som vidtas för att personuppgifterna ska vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte ska lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen (1 kap. 4 § FM-PuL och FRA-PuL och 3 § personuppgiftslagen). Blockerade personuppgifter får användas internt av den personuppgifts- ansvarige och av personuppgiftsbiträdet, under förutsättning att det fram- går att uppgifterna är spärrade och anledningen till åtgärden. Däremot får personuppgifterna inte lämnas ut till tredje man, förutom enligt 2 kap. tryckfrihetsförordningen (prop. 1997/98:44 s. 117). Vad avses med begränsning av behandling?Prop. Begränsning av behandling definieras i EU:s dataskyddsförordning som en markering av lagrade personuppgifter med syftet att begränsa behand- lingen av dessa . Om behandlingen av personuppgifter har begränsats i stället för att uppgifterna raderas, bör uppgifterna endast behandlas för det ändamål som förhindrade raderingen. Exempel på begränsning av behandling kan vara att personuppgifterna flyttas till ett annat databehandlingssystem, t.ex. ett system för arkivering, eller att uppgifterna görs otillgängliga med hjälp av tekniska medel. För att åtgärden ska bli effektiv bör behandlingen begränsas redan i samband med markeringen. Begränsning om det bestrids att personuppgifterna är riktiga Begränsning av behandlingen kan komma i fråga om den registrerade bestrider att personuppgifterna är riktiga, men det inte är möjligt att fastställa om så är fallet. En felaktig personuppgift ska rättas efter det att den registrerade har begärt det. Om den personuppgiftsansvariges utredning om den omstridda personuppgiften inte kan slutföras tillräckligt snabbt bör behandlingen begränsas . Uppgifterna får då inte behandlas av den personuppgiftsansvarige eller personuppgifts- biträden annat än för det ändamål som föranledde begränsningen. Om det efter utredning visar sig att personuppgifterna är riktiga kan behandlingen av dem fortsätta som . Begränsningen bör då upphävas. ska dock den registrerade underrättas om att begränsningen upphör. Skulle det visa sig att personuppgifterna är felaktiga ska den personuppgifts- ansvarige rätta dem, varefter begränsningen kan upphöra. Förslaget om grundläggande krav på behandling av personuppgifter innebär att Försvarsmakten och på eget initiativ ska korrigera felaktiga personuppgifter. Lagförslagen omfattar inte behandling av uppgifter om juridiska personer. Intresset av att de uppgifter som behandlas är riktiga gör sig dock även gällande i de fall uppgifterna inte avser fysiska personer. Det är av väsentlig betydelse för den enskilde att Försvarsmakten och rättar personuppgifter som behandlas felaktigt så att intrång i den personliga integriteten kan undvikas. Bedömningen av om en uppgift har behandlats felaktigt måste göras mot bakgrund av de bestämmelser som gäller för behandlingen. Den personuppgiftsansvarige ska enligt förslaget vidta alla rimliga åtgärder för att rätta personuppgifter som är felaktiga eller ofullständiga och för att radera eller begränsa behandlingen av personuppgifter som har behandlats otillåtet. Enligt förarbetena till personuppgiftslagen väljer den personuppgiftsansvarige själv vilket alternativ som ska användas av rättelse, utplånande eller blockering (prop. 1997/98:44 s. 87). Som utredningen föreslår bör den personuppgiftsansvarige på motsvarande sätt enligt de nya lagarna själv avgöra om en viss personuppgift ska rättas eller raderas eller om behandlingen ska begränsas. Den personuppgifts- ansvarige är därmed inte bunden till att endast pröva om den åtgärd som 2020/21:224 begärs av den registrerade bör vidtas, utan kan välja en annan åtgärd om den är lämpligare. En åtgärd måste alltid ha stöd i lagstiftningen. Det innebär bl.a. att det krävs författningsstöd för gallring för att en myndighet ska få radera uppgifter i en allmän handling. Underrättelse till tredje part Försvarsmakten och ska enligt gällande rätt underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden att rätta, blockera eller utplåna en personuppgift, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Som utredningen föreslår bör motsvarande gälla vid rättelse, radering eller begränsning enligt de nya lagarna. I fråga om Försvarets radioanstalts invändning mot utredningens förslag gör regeringen samma bedömning som i avsnitt 12.1.2. utövar tillsyn över Försvarsmaktens och Försvarets radioanstalts personuppgiftsbehandling som sker enligt FM- PuL och FRA-PuL, samt personuppgiftslagen. inspektion för försvarsunderrättelseverksamheten ett särskilt kompletterande kontrollansvar för den personuppgiftsbehandling som sker enligt FM-PuL och FRA-PuL. har rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna och tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Om konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, ska myndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. får hos förvaltningsrätten inom vars domkrets tillsynsmyndigheten är belägen ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas, om ett beslut om utplånande inte skulle vara oskäligt. Statens inspektion för försvarsunderrättelseverksamheten är ansvarig kontrollmyndighet för försvarsunderrättelseverksamhet som bedrivs enligt lagen om försvarsunderrättelseverksamhet och för signalspaning i sådan verksamhet enligt lagen om signalspaning i försvarsunderrättelse- verksamhet.