prop · H803224 · 2021-09-13 00:00:00 — Regeringen eller den myndighet som regeringen bestämmer får också besluta om sådan behandling i ett enskilt fall. Paragrafen reglerar längsta tid som personuppgifter får behandlas. Övervägandena finns i avsnitt 8.6. Enligt första stycket får personuppgifter inte behandlas än vad som behövs med hänsyn till ändamålen med behandlingen. Att det inte längre finns behov av att behandla personuppgiften enligt ett visst ändamål medför inte att behandlingen av den måste upphöra för alla ändamål . Det förhållandet att personuppgiften fortfarande behövs för ett visst ändamål innebär dock inte att uppgiften får fortsätta att behandlas för alla ändamål . Behovet av att fortsätta att behandla uppgifterna måste därför prövas kontinuerligt. Om det är tillräckligt att behandla avidentifierade uppgifter är det inte längre tillåtet att behandla personuppgifterna. Stycket ger även stöd för fortsatt behandling av personuppgifter i ett avslutat ärende om uppgifterna bedöms ha ett allmänt värde för exempelvis Försvarsmaktens försvarsunderrättelseverksamhet eller militära säkerhetstjänst. En grundläggande förutsättning för fortsatt behandling är att Försvarsmakten bedömer att uppgifterna behöver finnas tillgängliga ytterligare för något av de ändamål för vilka Försvarsmakten får behandla personuppgifter. När det gäller ostrukturerad underrättelseinformation kan det vara särskilt svårt att bedöma det fortsatta behovet av behandling. Bedömningen måste innan bearbetningen är genomförd göras på en mer övergripande nivå och i större utsträckning utgå från sannolikheten av att personuppgifterna kan komma att behövas i verksamheten än en reell bedömning av den enskilda uppgiften. Stycket hindrar inte att Försvarsmakten med stöd i annan författning Prop. 2020/21:224 arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. I andra stycket finns en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att personuppgifter får behandlas under endast eller fortsätta behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål. Enligt tredje stycket får regeringen eller den myndighet som regeringen bestämmer också besluta om sådan behandling i ett enskilt fall. Överföring av personuppgifter till en mottagare utomlands 22 § Personuppgifter som behandlas med stöd av denna lag får föras över till ett annat land eller en internationell organisation endast om sekretess inte hindrar det och det är nödvändigt för att Försvarsmakten ska kunna fullgöra sina uppgifter inom ramen för det internationella försvars- och säkerhetssamarbetet. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att överföring får ske även i andra fall om det är nödvändigt för verksamheten vid Försvarsmakten. Regeringen får också besluta om sådan överföring i ett enskilt fall. Paragrafen reglerar överföring av personuppgifter till en mottagare utomlands. Övervägandena finns i avsnitt 10.5. Rubriken närmast före paragrafen utformas enligt Lagrådets förslag. Enligt första stycket får personuppgifter som behandlas med stöd av lagen föras över till ett annat land eller en internationell organisation endast om sekretess inte hindrar det och det är nödvändigt för att Försvarsmakten ska kunna fullgöra sina uppgifter inom ramen för det internationella försvars- och säkerhetssamarbetet. Huruvida en överföring av personuppgifter ska ske eller inte måste i sin helhet avgöras efter en sekretessprövning och försvars- och säkerhetspolitiska överväganden. I andra stycket finns en upplysningsbestämmelse om att regeringen kan meddela föreskrifter om att överföring får ske även i andra fall om det är nödvändigt för verksamheten vid Försvarsmakten. En tänkbar situation är verksamhet som inte ingår i Försvarsmaktens internationella försvars- och säkerhetssamarbete. Det kan t.ex. vara nödvändigt för Försvarsmakten att överföra personuppgifter inom ramen för myndighetens administrativa verksamhet. Enligt tredje stycket får regeringen också besluta om sådan överföring i ett enskilt fall. 23 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. Paragrafen reglerar utlämnande av personuppgifter. i avsnitt 10.2. 2020/21:224 Enligt första stycket får personuppgifter lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. I princip anses allt elektroniskt utlämnande, som inte görs genom direktåtkomst, utlämnat på medium för automatiserad behandling. Sådant utlämnande kan göras på många olika sätt. Det kan vara fråga om att personuppgifter lämnas t.ex. via e-post eller dvd-skiva eller genom direkt överföring från ett datasystem till ett annat via elektroniska kommunikationsnät. Det har betydelse vem mottagaren är för frågan om det är olämpligt att lämna ut uppgifter elektroniskt. Typiskt sett kan det inte anses vara olämpligt att lämna ut uppgifter elektroniskt till en myndighet. När det gäller utlämnande till andra än svenska myndigheter krävs en mer nyanserad bedömning med hänsyn till bl.a. innehållet i handlingen och vem (t.ex. en organisation) som är mottagare. Bedömer Försvarsmakten att det finns risk för att personuppgifterna kan komma att missbrukas om de lämnas ut elektroniskt kan det var olämpligt att lämna ut dem på det sättet. Vid prövningen av om personuppgifter bör lämnas ut elektroniskt bör även informationssäkerheten, dvs. säkerheten hos mottagaren, vägas in. Regeringen kan enligt andra stycket meddela föreskrifter som begränsar möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. 3 kap. Gemensamt tillgängliga personuppgifter Personuppgifter som får göras gemensamt tillgängliga 1 § Personuppgifter får göras gemensamt tillgängliga om det behövs för något av de ändamål som anges i 2 kap. Med att göra personuppgifter gemensamt tillgängliga avses inte att endast ett fåtal personer får tillgång till uppgifterna. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. Regeringen eller den myndighet som regeringen bestämmer får också besluta om uppgiftssamlingar i ett enskilt fall. Paragrafen reglerar personuppgifter som får göras gemensamt tillgängliga. Övervägandena finns i avsnitt 9. I första stycket anges genom en hänvisning till i lagen angivna ändamål vilka personuppgifter som får göras gemensamt tillgängliga. Vidare anges att med att göra personuppgifter gemensamt tillgängliga avses inte att endast ett fåtal personer får tillgång till uppgifterna. En grundläggande förutsättning för att personuppgifter ska anses vara gemensamt tillgängliga är att de kan användas gemensamt av flera, dvs. att fler än en person har åtkomst till uppgifterna. I andra stycket finns en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. Enligt tredje stycket får regeringen eller den myndighet som regeringen bestämmer också besluta om uppgiftssamlingar i ett enskilt fall. får medges direktåtkomst till personuppgifter som rör Försvarsmaktens personalförsörjning och krigs- organisation och som har gjorts gemensamt tillgängliga inom Försvarsmakten. Totalförsvarets plikt- och prövningsverk har rätt att vid direktåtkomst ta del av de personuppgifter som omfattas av åtkomsten. Paragrafen reglerar Totalförsvarets plikt- och prövningsverks direkt- åtkomst till vissa personuppgifter som Försvarsmakten behandlar. Övervägandena finns i avsnitt 10.3.1. synpunkter från Lagrådet. Enligt första stycket får Totalförsvarets plikt- och prövningsverk medges direktåtkomst till personuppgifter som rör Försvarsmaktens personal- försörjning och krigsorganisation och som har gjorts gemensamt tillgängliga inom Försvarsmakten. informationsutbytet om totalförsvarspliktiga mellan myndigheterna. ankommer på Försvarsmakten att avgöra om direktåtkomst ska medges. I andra stycket finns en sekretessbrytande bestämmelse som anger att Totalförsvarets plikt- och prövningsverk har rätt att vid direktåtkomst ta del av de personuppgifter som omfattas av åtkomsten. 3 § Säkerhetspolisen och får medges direktåtkomst till personuppgifter som utgör bearbetningsunderlag och analysresultat inom försvarsunderrättelseverksamheten och som finns i uppgiftssamlingar. Säkerhetspolisen och har rätt att vid direktåtkomst ta del av de personuppgifter som omfattas av åtkomsten. Paragrafen reglerar Säkerhetspolisens och Försvarets radioanstalts direktåtkomst till vissa personuppgifter som Försvarsmaktens behandlar. Övervägandena finns i avsnitt 10.3.1. I första stycket anges att Säkerhetspolisen och får medges direktåtkomst till uppgifter som utgör bearbetningsunderlag och analysresultat inom försvarsunderrättelseverksamheten och som finns i Bearbetningsunderlag och analysresultat består av information som ännu inte har bearbetats till underrättelserapporter. ankommer på Försvarsmakten att avgöra om direktåtkomst ska medges. Andra stycket innehåller en sekretessbrytande bestämmelse som möjliggör för myndigheterna att vid direktåtkomst få ta del av uppgifter som omfattas av sekretess. 4 § Om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhetssamarbete, får en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 3 § och som finns i uppgiftssamlingar. Första stycket gäller enbart i den utsträckning som sådan direktåtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall. I paragrafen regleras Försvarsmaktens möjlighet att medge en utländsk underrättelse- eller säkerhetstjänst direktåtkomst till vissa personuppgifter. Övervägandena finns i avsnitt 10.3.2. Av första stycket framgår att en utländsk underrättelse- eller 2020/21:224 behandlas med stöd av 2 kap. 3 § och som finns i uppgiftssamlingar, om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhetssamarbete. Möjligheten att dela information genom direktåtkomst begränsas till utländska underrättelse- och säkerhetstjänster. Direktåtkomst får endast medges till personuppgifter som behandlas i Försvarsmaktens försvarsunder- rättelseverksamhet och som finns i uppgiftssamlingar. Innan direktåtkomst medges måste Försvarsmakten avgöra om det finns sakliga skäl att låta en viss utländsk underrättelse- eller säkerhetstjänst få ta del av personuppgifterna, dvs. om det finns behov av att lämna ut uppgifterna för att främja bekämpningen av terrorism eller andra svenska intressen. Innan personuppgifterna lämnas ut genom direktåtkomst ska Försvarsmakten dessutom bedöma om det finns rättsliga förutsättningar att lämna ut dem till en utländsk mottagare, bl.a. med beaktande av sekretess. Enligt andra stycket gäller första stycket endast i den utsträckning som sådan direktåtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall. 5 § Om det behövs för samarbetet mot säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen, får en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 5 § och som finns i uppgiftssamlingar. Första stycket gäller enbart i den utsträckning som sådan direktåtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall. I paragrafen regleras Försvarsmaktens möjlighet att medge en utländsk underrättelse- eller säkerhetstjänst direktåtkomst till vissa personuppgifter i Försvarsmaktens militära säkerhetstjänst. Övervägandena finns i avsnitt 10.3.2. Av första stycket framgår att en utländsk underrättelse- eller säkerhetstjänst får medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 5 § och som finns i uppgiftssamlingar, om det behövs för samarbetet mot säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen. Möjligheten att dela information genom direktåtkomst begränsas till utländska underrättelse- och säkerhetstjänster. Direktåtkomst får endast medges till person- uppgifter som behandlas i Försvarsmaktens militära säkerhetstjänst och som finns i uppgiftssamlingar. Innan direktåtkomst medges måste Försvarsmakten avgöra om det finns sakliga skäl att låta en viss utländsk underrättelse- eller säkerhetstjänst få ta del av personuppgifterna, dvs. om det finns behov av att lämna ut uppgifterna för att stärka skyddet för Försvarsmakten och dess säkerhetsintressen i förhållande till säkerhetshotande verksamhet. Innan personuppgifterna lämnas ut genom direktåtkomst ska Försvarsmakten dessutom bedöma om det finns rättsliga förutsättningar att lämna ut dem till en utländsk mottagare, bl.a. med beaktande av sekretess. Enligt andra stycket gäller första stycket endast i den utsträckning som sådan direktåtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall. Direktåtkomst i andra fall 6 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om direktåtkomst till gemensamt tillgängliga uppgifter eller uppgiftssamlingar i andra fall än de som anges i 2–5 §§. Regeringen får också besluta om detta i ett enskilt fall. Paragrafen reglerar direktåtkomst i andra fall. Övervägandena finns i avsnitten 10.3.1 och 10.3.2. Första stycket innehåller en upplysningsbestämmelse om att regeringen kan meddela föreskrifter om att andra än de som anges i 2–5 §§ får ha direktåtkomst till gemensamt tillgängliga uppgifter eller uppgifts- Enligt andra stycket får regeringen också besluta om detta i ett enskilt Enligt regeringsformen får skyddet gentemot det allmänna mot vissa fall av betydande intrång i den personliga integriteten begränsas enbart genom lag (2 kap. 6 § andra stycket och 20–21 §§ regeringsformen). möjlighet att meddela föreskrifter är således begränsad. 7 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om omfattningen av direkt- åtkomsten och om behörighet och säkerhet vid sådan åtkomst. Regeringen får också besluta om detta i ett enskilt fall. Paragrafen reglerar omfattningen av direktåtkomsten. finns i avsnitten 10.3.1 och 10.3.2. Första stycket innehåller en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om omfattningen av direktåtkomsten, och om behörighet och säkerhet vid Enligt andra stycket får regeringen också får besluta om detta i ett enskilt Åtgärder för att säkerställa författningsenlig behandling 1 § Försvarsmakten ska, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa att behandlingen av personuppgifter är författningsenlig och att de registrerades rättigheter skyddas. Paragrafen reglerar åtgärder för att säkerställa författningsenlig Övervägandena finns i avsnitt 11.3.1. Tekniska och organisatoriska åtgärder för att skydda personuppgifterna regleras i 3 §. Organisatoriska åtgärder som avses i paragrafen är bl.a. att anta interna strategier för dataskydd, att informera och utbilda personalen och att säkerställa en tydlig ansvarsfördelning. Åtgärder som vidtas för att visa att behandlingen är författningsenligt kan t.ex. vara dokumentation av it- system, behandlingar och vidtagna åtgärder samt teknisk spårbarhet genom loggning och logguppföljning. Vilka åtgärder som bör vidtas får 2020/21:224 avgöras efter en bedömning i enskilda fall. Vid den bedömningen har det betydelse bl.a. vilka personuppgifter som ska behandlas, mängden uppgifter och hur integritetskänsliga de är. Även grunden för behandlingen och riskerna med den ska beaktas. Mer långtgående åtgärder kan behövas vid behandling som kan medföra särskilda risker för integritetsintrång eller vid omfattande behandling av en stor mängd personuppgifter. 2 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Paragrafen reglerar den interna tillgången till personuppgifter för dem som arbetar vid Försvarsmakten. Övervägandena finns i avsnitt 11.3.2. Paragrafen innebär att den personuppgiftsansvarige är skyldig att se till att anställda och andra som deltar i arbetet bara ges tillgång till de personuppgifter som krävs för att de ska kunna fullgöra sina arbetsuppgifter. Inom Försvarsmakten behandlas en betydande mängd personuppgifter, ofta av integritetskänsligt slag, vilka inte bör spridas till någon som inte är behörig att ta del av uppgifterna. Kravet på behörighetsbegränsning syftar till att minska den interna exponeringen av personuppgifterna. Hur det bör göras får bedömas med utgångspunkt i förutsättningarna och myndighetens behov. Faktorer som informations- systemens storlek och personuppgifternas natur ska beaktas. Paragrafen reglerar inte bara Försvarsmaktens personals tillgång till personuppgifter. Vid direktåtkomst är det den mottagande myndigheten som ansvarar för att den egna personalen inte ges tillgång till fler personuppgifter i det informationssystem som åtkomsten avser än vad arbetsuppgifterna motiverar. Paragrafen gäller enligt 10 § även för personuppgiftsbiträden som Försvarsmakten anlitar. 3 § Försvarsmakten ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska särskilt avse skydd mot obehörig eller otillåten behandling eller förstöring och mot förlust eller annan oavsiktlig skada. I paragrafen regleras säkerheten för personuppgifter. Övervägandena finns i avsnitt 11.3.2. Enligt paragrafen ska Försvarsmakten vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Personuppgifterna ska särskilt skyddas mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. Uppräkningen, som illustrerar vad skyddsåtgärderna ska åstadkomma, är inte uttömmande. Skydd mot obehörig eller otillåten behandling innebär att obehöriga personer ska vägras åtkomst till utrustning som används vid behandling, att obehörig läsning, kopiering, ändring eller radering av datamedier ska förhindras, att obehörig registrering av personuppgifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter ska förhindras och att obehörig läsning, kopiering, ändring eller radering av personuppgifter i samband med uppgiftslämnande eller transport av Prop. 2020/21:224 databärare ska förhindras. Åtgärder ska också vidtas i syfte att säkerställa att personer som är behöriga att använda ett informationssystem endast har tillgång till personuppgifter som omfattas av deras behörighet. Den personuppgiftsansvarige ska också säkerställa att det kan kontrolleras och fastställas till vilka myndigheter eller andra organ personuppgifter har överförts och för vilka myndigheter eller andra organ uppgifterna har gjorts tillgängliga och att det i efterhand kan kontrolleras och fastställas vilka personuppgifter som förts in i ett informationssystem, när det har gjorts och av vem. Skydd mot förlust, förstöring eller annan oavsiktlig skada innebär bl.a. att de informationssystem som används ska kunna återställas vid störningar, att systemen ska fungera och att funktionsfel rapporteras och att de lagrade personuppgifterna inte kan förvanskas genom funktionsfel i systemen. Tänkbara exempel på organisatoriska skyddsåtgärder kan vara fastställandet av en säkerhetspolicy, kontroller och uppföljning av säkerheten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner. Vilken skyddsnivå som är lämplig får avgöras av Försvarsmakten från fall till fall. Bedömningen är bl.a. beroende av vilka personuppgifter som behandlas och hur integritetskänsliga de är. Paragrafen gäller enligt 10 § även för personuppgiftsbiträden som Försvarsmakten anlitar. 4 § Försvarsmakten ska inom myndigheten utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. Paragrafen reglerar skyldighet att utse dataskyddsombud. Övervägandena finns i avsnitt 11.4. Enligt paragrafen ska ett eller flera dataskyddsombud utses. Dataskydds- ombudet ska vara anställt hos Försvarsmakten. Försvarsmakten ska anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. 5 § Ett dataskyddsombud ska 1.självständigt kontrollera att Försvarsmakten behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2.informera och ge råd till Försvarsmakten och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, 3.vara kontaktpunkt för enskilda i frågor som rör Försvarsmaktens behandling av personuppgifter, och 4.vid behov söka vägledning av tillsynsmyndigheten. I paragrafen anges vilka uppgifter ett dataskyddsombud ska utföra. Övervägandena finns i avsnitt 11.4. Enligt punkten 1 ska ett dataskyddsombud självständigt kontrollera att den personuppgiftsansvarige behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter. 2020/21:224 att ombudet måste förvissa sig om att den personuppgiftsansvarige följer de bestämmelser som reglerar behandlingen av personuppgifter. Hur omfattande kontrollen bör vara får avgöras efter omständigheterna. Dataskyddsombudet bör framför allt granska den praktiska hanteringen av personuppgifter. Därutöver bör ombudet exempelvis granska rutinerna för behandling av personuppgifter, hur tillgången till personuppgifter hanteras och vilka krav på utbildning och andra kvalifikationer som den personuppgiftsansvarige ställer på personal som behandlar person- uppgifter. Ombudet bör påpeka eventuella brister för den personuppgifts- ansvarige så att denne blir medveten om dem och har möjlighet att vidta lämpliga åtgärder. Kravet på självständighet innebär att ett dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombudet bör framför allt ha sådan ställning i organisationen att dess synpunkter och råd tas på allvar. Ombudet förutsätts också ha goda kunskaper om regelverket om personuppgiftsbehandling. I punkten 2 anges att ett dataskyddsombud ska informera och ge råd till Försvarsmakten och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid sådan behandling. Det handlar främst om att göra Försvarsmakten och medarbetarna medvetna om vad de i olika situationer är skyldiga att göra, t.ex. att ha säkerhetsrutiner och att dokumentera personuppgiftsbehandlingen. Det innebär inte att dataskyddsombudet ska tala om för Försvarsmakten och medarbetarna hur de ska behandla personuppgifter i enskilda fall. Ett dataskyddsombud ska vara kontaktpunkt för enskilda i frågor som rör behandling av personuppgifter, vilket anges i punkten 3. Enligt punkten 4 ska ett dataskyddsombud vid behov söka vägledning av tillsynsmyndigheten. Det innebär att ombudet vid tveksamheter av olika slag bör fråga tillsynsmyndigheten om råd. Ett dataskyddsombud behöver inte uteslutande utföra enbart de arbetsuppgifter som anges i paragrafen. Arbetet som dataskyddsombud kan kombineras med andra arbetsuppgifter, så länge de inte kommer i konflikt med uppdraget som dataskyddsombud. 6 § Försvarsmakten får, om det är lämpligt, anlita personuppgiftsbiträden för behandling av personuppgifter på Försvarsmaktens vägnar.