prop · H803224 · 2021-09-13 00:00:00 — Innan ett personuppgiftsbiträde anlitas, ska Försvarsmakten försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. Paragrafen reglerar anlitande av personuppgiftsbiträden. Övervägandena finns i avsnitt 11.5.2. Försvarsmakten får anlita personuppgiftsbiträden under förutsättning att det är lämpligt. Om det är lämpligt får avgöras med hänsyn bl.a. till vilka personuppgifter som ska behandlas. Av paragrafen följer att Försvarsmakten ska försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att personuppgiftsbehandlingen ska vara författningsenlig och för att skydda registrerades rättigheter. omfattar inte bara säkerhetsåtgärder, utan även andra tekniska och Prop. 2020/21:224 organisatoriska åtgärder. Skyldigheten innebär att den personuppgifts- ansvarige, innan ett personuppgiftsbiträde anlitas, bl.a. bör undersöka hur biträdet kommer att behandla uppgifterna tekniskt, hur arbetet är organiserat och vilket skydd personuppgifterna kommer att ha. 7 § Personuppgiftsbiträdets behandling av personuppgifter ska regleras i ett skriftligt avtal eller annan skriftlig överenskommelse. Paragrafen reglerar förhållandet mellan Försvarsmakten och person- uppgiftsbiträden. Övervägandena finns i avsnitt 11.5.2. Av paragrafen följer att det ska finnas ett skriftligt avtal eller en annan skriftlig överenskommelse med personuppgiftsbiträden som reglerar personuppgiftsbiträdets behandling av personuppgifter för Försvars- maktens räkning. Eftersom statliga myndigheter, som ingår i samma juridiska person – staten, i rättslig mening inte kan ingå bindande avtal med varandra får de ingå en skriftlig överenskommelse som reglerar behandlingen om en myndighet agerar personuppgiftsbiträde åt en annan. 8 § Ett personuppgiftsbiträde får inte anlita ett annat personuppgiftsbiträde utan skriftligt tillstånd av Försvarsmakten. Paragrafen reglerar möjligheten för ett personuppgiftsbiträde att anlita ett annat personuppgiftsbiträde. Övervägandena finns i avsnitt 11.5.2. Enligt paragrafen får ett personuppgiftsbiträde inte anlita ett annat personuppgiftsbiträde, ett s.k. underbiträde, utan skriftligt tillstånd från Försvarsmakten. Ett sådant tillstånd kan gälla personuppgiftsbiträdets rätt att anlita underbiträden generellt eller i en specifik situation. Syftet med paragrafen är att Försvarsmakten ska känna till vilka personuppgifts- biträden som behandlar personuppgifter för myndighetens räkning. 9 § Ett personuppgiftsbiträde eller den eller de personer som arbetar under biträdets eller Försvarsmaktens ledning ska behandla personuppgifter i enlighet med instruktioner från Försvarsmakten. Om ett personuppgiftsbiträde, i strid med Försvarsmaktens instruktioner, bestämmer ändamålen med och medlen för behandlingen, ska biträdet anses vara personuppgiftsansvarig enligt denna lag för den behandlingen. Paragrafen reglerar behandling av personuppgifter hos ett personuppgifts- biträde. Övervägandena finns i avsnitt 11.5.3. Av första stycket framgår den grundläggande principen att ett person- uppgiftsbiträde och den eller de personer som arbetar under biträdets ledning bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Instruktionerna till biträdet bör vara så tydliga att det inte finns risk för otillåten behandling. Instruktionerna kan exempelvis gälla hur tillgången till personuppgifter hos biträdets anställda ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för dataskydd. Om det finns avvikande bestämmelser i annan lagstiftning som anger att personuppgiftsbiträdet är skyldigt att utföra viss behandling, t.ex. att lämna ut allmänna handlingar, får behandlingen utföras utan särskilda instruktioner. 2020/21:224 I andra stycket regleras det fallet där personuppgiftsbiträdet i strid med den personuppgiftsansvariges instruktioner bestämmer ändamålen med och medlen för behandlingen. Personuppgiftsbiträdet är då att anse som personuppgiftsansvarig för den behandlingen. 10 § Försvarsmaktens skyldigheter enligt 2 och 3 §§ gäller även för person- uppgiftsbiträden som Försvarsmakten anlitar. Paragrafen kopplar Försvarsmaktens skyldigheter i egenskap av personuppgiftsansvarig till att gälla även för personuppgiftsbiträden. Övervägandena finns i avsnitt 11.5.4. Att personuppgiftsbiträden åläggs vissa skyldigheter fråntar inte Försvarsmakten dess ansvar som personuppgiftsansvarig. Den omständigheten att personuppgiftsbiträden ges en direkt skyldighet att vidta vissa åtgärder innebär dock att tillsynsmyndigheten vid brister kan vidta åtgärder mot både personuppgiftsbiträdet och Försvarsmakten. Vad som närmare gäller för ett personuppgiftsbiträde framgår av författningskommentaren till 2 och 3 §§. 5 kap. Enskildas rättigheter 1 § Försvarsmakten ska göra följande information allmänt tillgänglig: 1.myndighetens identitet och kontaktuppgifter, 2.uppgifter om dataskyddsombudet, 3.kategorier av ändamål för behandlingen av personuppgifter, 4.rätten enligt 3 § att begära att få information om behandlingen av personuppgifter och att få del av dem, och 5.rätten att begära rättelse, radering eller begränsning av behandlingen enligt Paragrafen reglerar krav på att göra viss information allmänt tillgänglig. Övervägandena finns i avsnitt 12.1.1. Informationen, som riktar sig till allmänheten, kan göras tillgänglig t.ex. på myndighetens webbplats. Enligt punkten 1 ska myndighetens identitet och kontaktuppgifter göras tillgängliga. Med det avses uppgifter om myndighetens namn, postadress, telefonnummer och e-postadress. Försvarsmakten är enligt 4 kap. 4 § skyldig att utse ett eller flera dataskyddsombud. Enligt punkten 2 ska uppgifter om dataskyddsombudet anges. Det behöver inte vara en kontaktuppgift direkt till dataskydds- ombudet, t.ex. hans eller hennes e-postadress, utan det är tillräckligt att ombudet går att nå med hjälp av uppgifterna. Kategorier av ändamål för behandlingen av personuppgifter ska framgå, vilket anges i punkten 3. Det är inte ändamålen med behandlingen av personuppgifter i enskilda fall som avses utan för vilka kategorier av ändamål som myndigheten behandlar personuppgifter. Kategorier av ändamål kan t.ex. vara underrättelsearbete, säkerhetsskyddsarbete och personaladministrativa åtgärder. Enligt punkterna 4 och 5 ska Försvarsmakten upplysa om de rättigheter Prop. 2020/21:224 som enskilda har enligt 3 och 6 §§. Det gäller rätten att få information om behandlingen av personuppgifter och att få del av dem, samt rätten att begära rättelse, radering eller begränsning av behandlingen. Information som ska lämnas om personuppgifterna samlas in från den som uppgifterna avser 2 § Om personuppgifter samlas in från den som uppgifterna avser ska Försvarsmakten, när myndigheten får personuppgifterna, på eget initiativ lämna följande information till den registrerade: 1.uppgift om att det är Försvarsmakten som är personuppgiftsansvarig för behandlingen, 2.uppgift om ändamålen med behandlingen, och 3.all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om uppgifternas mottagare, om skyldighet att lämna uppgifter och om rätten att ansöka om information och få rättelse. Paragrafen reglerar den information som Försvarsmakten på eget initiativ ska lämna om personuppgifterna samlas in från den som uppgifterna avser. Övervägandena finns i avsnitt 12.1.2. Enligt paragrafen ska Försvarsmakten informera om att det är Försvars- makten som är ansvarig för personuppgiftsbehandlingen (punkten 1), upplysa om ändamålen med behandlingen (punkten 2) samt lämna all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om uppgifternas mottagare, om skyldighet att lämna uppgifter och om rätten att ansöka om information och få rättelse (punkten 3). Informations- skyldigheten förutsätter att personuppgifter samlas in från den registrerade vid någon form av direktkontakt med denne. Information som ska lämnas efter begäran 3 § Försvarsmakten är skyldig att en gång per kalenderår till den som begär det lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas ska sökanden få del av dem och få följande skriftliga information: 1. vilka personuppgifter om den sökande som behandlas, 2. varifrån personuppgifterna kommer, 3. ändamålen med behandlingen, 4. mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer, 5. hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det, och 6. rätten att begära rättelse, radering eller begränsning av behandlingen enligt Ett utlämnande av personuppgifter enligt första stycket behöver inte omfatta sådana personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. En ansökan om information enligt första stycket ska göras skriftligen hos Försvarsmakten och vara undertecknad av den sökande själv. Informationen ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. 2020/21:224 I paragrafen regleras information som ska lämnas efter begäran. Övervägandena finns i avsnitt 12.1.2. I första stycket 1–6 anges vilken skriftlig information sökanden kan få del av. Enligt första stycket 1 ska i den skriftliga informationen anges vilka personuppgifter om den sökande som behandlas. Enligt första stycket 2 ska anges varifrån personuppgifterna kommer. Enligt första stycket 3 ska ändamålen med behandlingen anges. Enligt första stycket 4 ska mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer, anges. Enligt första stycket 5 ska det anges hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det. Enligt första stycket 6 ska rätten att begära rättelse, radering eller begränsning av behandlingen enligt 6 § anges. Av andra stycket följer att sådana personuppgifter som sökanden har tagit del av som utgångspunkt inte omfattas av skyldigheten att lämna ut uppgifterna. Sökanden ska dock informeras om att personuppgifterna i fråga behandlas. Av tredje stycket framgår kraven på en begäran om information. Begränsning av rätten till information 4 § Informationsskyldigheten enligt 2 och 3 §§ gäller inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut. Om det gäller sekretess är Försvarsmakten inte skyldig att redovisa skälen för ett beslut enligt första stycket eller ett beslut i fråga om rättelse, radering eller begränsning av behandlingen enligt 6 §. I paragrafen regleras begränsningar av rätten till information. Övervägandena finns i avsnitt 12.2. Många uppgifter som behandlas i Försvarsmaktens olika verksamheter omfattas av bl.a. utrikessekretess och försvarssekretess enligt 15 kap. 1 och 2 §§ offentlighets- och sekretesslagen (2009:400). Informations- skyldigheten gäller enligt första stycket inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut till den registrerade. Enligt andra stycket är Försvarsmakten inte heller skyldig att lämna ut skälen för beslut enligt första stycket och beslut i fråga om rättelse, radering eller begränsning av behandlingen om motiveringen skulle riskera att skada något av de intressen som sekretessen avser att skydda. 5 § Informationsskyldigheten enligt 2 och 3 §§ gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör en minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna 1.har lämnats ut till tredje part, med undantag för en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision, 2.behandlas enbart för statistiska ändamål eller arkivändamål av allmänt intresse, eller 3.har behandlats i löpande text som inte har fått sin slutliga utformning. I paragrafen regleras vissa undantag från informationsskyldigheten för Prop. 2020/21:224 personuppgifter i viss typ av text. Övervägandena finns i avsnitt 12.2. Den personuppgiftsansvariges skyldighet att lämna personrelaterad information enligt 2 och 3 §§ gäller enligt första stycket inte för personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller text som utgör en minnesanteckning eller liknande. Med löpande text avses information som inte har strukturerats så att sökning av personuppgifter underlättas. Bild- och ljudupptagningar omfattas inte av undantaget eftersom det bara gäller text. Med text som inte fått sin slutliga utformning avses koncept eller utkast till protokoll, skrivelser, beslut eller liknande. Löpande text som är avsedd att ändras eller kompletteras och därför aldrig får någon slutlig utformning omfattas inte. Det sistnämnda kan t.ex. vara diarier, journaler, register eller förteckningar som förs löpande. Med minnesanteckning avses anteckningar som utgör hjälpmedel för handläggningen, t.ex. promemorior och andra anteckningar eller upptagningar som har skapats bara för att förbereda ett ärende för avgörande och som inte tillför ärendet något i sak. Av andra stycket framgår att undantaget från informationsskyldigheten enligt första stycket inte gäller under vissa förhållanden. Sökanden har då rätt att få del av personuppgifter även i ofärdig löpande text eller som utgör minnesanteckningar och liknande. Enligt andra stycket 1 gäller undantaget inte om personuppgifterna har lämnats ut till tredje part, såvida det inte är fråga om en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Det är den version av uppgifterna i t.ex. utkastet som lämnades till tredje part som informationsskyldigheten omfattar, även om utkastet därefter har ändrats. Undantaget från informationsskyldigheten gäller enligt andra stycket 2 inte heller om personuppgifterna behandlas enbart för statistiska ändamål eller arkivändamål av allmänt intresse. Om ett ärende har avslutats och utkastet eller minnesanteckningen har arkiverats eller om handlingarna endast används vid statistikproduktion ska alltså information om behandlingen av personuppgifterna lämnas ut. Avslutningsvis gäller undantaget inte heller för löpande text som inte har fått sin slutliga utformning, om personuppgifterna har behandlats , vilket framgår av andra stycket 3. Det är tidpunkten för begäran som är avgörande för bedömningen av om något av undantagen gäller. Både ettårsfristen och frågan om uppgifterna har lämnats ut till tredje part eller behandlas för statistiska ändamål eller arkivändamål av allmänt intresse ska bedömas i förhållande till när begäran om information gjordes. Rätten till rättelse, radering och begränsning av behandlingen 6 § Försvarsmakten ska på begäran av den registrerade rätta, radera eller begränsa behandlingen av sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. Om uppgifterna har lämnats ut till tredje part ska denne underrättas om en åtgärd enligt första stycket, om den registrerade begär det eller om en mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. 2020/21:224 Någon underrättelse behöver dock inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. I paragrafen, som utformas delvis enligt Lagrådets förslag, regleras rätten till rättelse, radering eller begränsning av behandlingen av person- uppgifter. Övervägandena finns i avsnitt 12.3. Försvarsmakten ska enligt första stycket på begäran av den registrerade rätta, radera eller begränsa behandlingen av sådana person- uppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. Begäran kan göras formlöst. Kravet på att en åtgärd i form av rättelse, radering eller begränsning ska vidtas innebär att Försvarsmakten skyndsamt ska utreda frågan och, om det finns skäl för det, så fort som möjligt genomföra åtgärden. Begränsning av behandlingen av personuppgifter kan komma i fråga om den registrerade bestrider att personuppgifterna är riktiga, men det inte är möjligt att fastställa om så är fallet. En felaktig personuppgift ska rättas möjligt. Om Försvarsmaktens utredning om den omstridda personuppgiften inte kan slutföras tillräckligt snabbt kan behandlingen behöva begränsas . Har behandlingen av en personuppgift begränsats får uppgiften som utgångspunkt inte längre behandlas av Försvarsmakten, utom för de ändamål för vilka behandlingen begränsades. Uppgiften får dock lämnas ut med stöd av 2 kap. tryckfrihets- förordningen. Försvarsmakten ska vidta åtgärder som visar att behandlingen av en viss personuppgift har begränsats. En sådan åtgärd kan vara att föra över uppgiften från det datasystem där den behandlas, t.ex. myndighetens verksamhetssystem, till ett arkivsystem. Andra åtgärder kan vara att göra personuppgiften oåtkomlig genom en teknisk begränsning eller annan inskränkning av tillgången till uppgiften. När utredningen om personuppgiften är avslutad ska begränsningen av behandlingen upphöra. Då ska personuppgiften antingen rättas eller fortsätta att behandlas som . Försvarsmakten är enligt andra stycket skyldig att underrätta tredje part om en korrigering, om den registrerade begär det eller det kan antas att en underrättelse skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. Gäller det däremot en mera harmlös uppgift bör det som regel krävas någon särskild omständighet för att man ska kunna anta att en underrättelse skulle kunna undvika sådan skada eller olägenhet som avses. Det måste vidare kunna antas att underrättelsen medför att skadan eller olägenheten kan undvikas. Detta är inte fallet när det är känt att aktuella tredje part redan har korrigerat uppgiften. Enligt tredje stycket behöver inte någon underrättelse lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Vad som gäller vid sekretess framgår av 4 §. Vad som är att betrakta som en oproportionerligt stor arbetsinsats får bedömas från fall till fall och vid eventuell granskning eller överprövning. 7 § Information enligt 1 och 2 §§ och information och uppgifter enligt 3 § ska lämnas utan avgift. Paragrafen reglerar avgiftsfri information. Övervägandena finns i avsnitten 12.1.1 och 12.1.2. Enligt paragrafen ska information enligt 1 och 2 §§ och information och uppgifter enligt 3 § lämnas utan avgift. 1 § Den myndighet som regeringen bestämmer utövar tillsyn över Försvarsmaktens behandling av personuppgifter enligt denna lag, enligt föreskrifter som har meddelats i anslutning till lagen och enligt beslut med stöd av lagen. ska, när det är motiverat, ge råd och stöd till Försvarsmakten och personuppgiftsbiträden i frågor som gäller deras skyldigheter enligt lag eller annan författning. I paragrafen, som utformas i linje med Lagrådets förslag, regleras tillsyn över personuppgiftsbehandlingen. Övervägandena finns i avsnitt 13.2. Enligt första stycket ska tillsynsmyndigheten utöva tillsyn över Försvarsmaktens behandling av personuppgifter enligt lagen, enligt föreskrifter som har meddelats i anslutning till lagen och enligt beslut med stöd av lagen. avgör om och i vilken utsträckning tillsyn ska utövas och hur den ska genomföras. Myndigheten ska agera helt oberoende vid denna bedömning. Det innebär att ingen utomstående kan kräva att myndigheten ska utöva tillsyn. Det finns inte heller några formella krav på hur tillsynen ska utövas, med undantag från vissa bestämmelser i denna lag och i föreskrifter som har meddelats i anslutning till lagen. Enligt andra stycket ska tillsynsmyndigheten, när det är motiverat, ge råd och stöd till Försvarsmakten och personuppgiftsbiträden i frågor som gäller deras skyldigheter enligt lag eller annan författning. Med råd avses både muntliga och skriftliga råd. Det kan vara fråga om allmänna råd eller rådgivning i ett enskilt fall. Myndigheten ska ge råd och stöd bara när den anser att det är motiverat. Rådgivningen och stödet ska avse Försvarsmaktens och personuppgiftsbiträdens skyldigheter. Stycket innebär således inte någon rätt för Försvarsmakten eller personuppgifts- biträden att avkräva tillsynsmyndigheten råd i en konkret fråga. 2 § har rätt att av Försvarsmakten eller av ett person- uppgiftsbiträde på begäran få 1.tillgång till personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder, 2020/21:224 3. tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4. den hjälp och annan information som behövs för tillsynen. I paragrafen regleras tillsynsmyndighetens undersökningsbefogenheter. Övervägandena finns i avsnitt 13.3.1. Enligt punkten 1 har tillsynsmyndigheten rätt att för sin tillsyn från Försvarsmakten och ett personuppgiftsbiträde få tillgång till person- uppgifter som behandlas. Det innebär att Försvarsmakten eller person- uppgiftsbiträdet ska lämna de begärda uppgifterna även om det kräver viss efterforskning. Punkten 2 ger tillsynsmyndigheten rätt till upplysningar och dokumentation som rör behandling av personuppgifter och vilka åtgärder som har vidtagits för att säkerställa skyddet för personuppgifterna och registrerades personliga integritet. Dokumentationen kan avse exempelvis de register som Försvarsmakten och personuppgiftsbiträden ska föra. Det kan också vara fråga om upplysningar om och dokumentation av vilka organisatoriska och tekniska åtgärder som vidtogs i samband med att en viss typ av behandling påbörjades. Det kan också röra sig om åtgärder för att garantera säkerheten, begränsa den interna tillgången till uppgifter eller förhindra otillåten behandling och åtgärder för intern kontroll. Informationen kan avse exempelvis ändamålen med behandlingen eller förteckningar över pågående behandlingar. I punkten 3 regleras tillsynsmyndighetens rätt att få tillträde till lokaler som den personuppgiftsansvarige eller personuppgiftsbiträdet disponerar och tillgång till utrustning och andra medel som används för behandlingen. Rätten till tillträde ger inte myndigheten rätt att bereda sig tillträde med tvång. Om Försvarsmakten eller personuppgiftsbiträdet inte samarbetar kan tillsynsmyndigheten utnyttja sina korrigerande befogenheter enligt 4 §. har också rätt att få tillgång till den utrustning som tillsynsobjektet disponerar för att, med hjälp av tillsynsobjektets personal, kunna göra nödvändiga körningar och kontroller. Punkten ger således inte tillsynsmyndigheten någon rätt att fritt använda tillsyns- objektets utrustning och datasystem. Punkten 4 klargör att tillsynsmyndigheten har rätt att få hjälp med de sökningar och andra åtgärder som den begär och annan nödvändig hjälp för att genomföra tillsynen. Punkten ger även tillsynsmyndigheten rätt till information som inte har direkt anknytning till behandlingen av personuppgifter men som myndigheten behöver för tillsynen. Informationen kan avse t.ex. verksamhetsplaner som beskriver den verksamhet där behandlingen utförs. 3 § Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå Försvarsmakten eller personuppgiftsbiträdet att vidta åtgärder för att motverka den risken.