sou · GRB334d2 · 2004-01-01 00:00:00 — Anmälan behöver dock inte göras för behandlingar som regleras genom särskilda föreskrifter i lag eller förordning. Det torde inte finnas någon anledning att ställa krav på anmäl- ningsskyldighet för behandlingar som utförs med stöd av de lagar som vi föreslår. Hänvisning görs därför inte till 36 § första stycket eller 41 § personuppgiftslagen. Den personuppgiftsansvarige har enligt 36 § andra stycket möjlighet att utse ett personuppgiftsombud. Om ett sådant ombud utses, vilket såväl Försvarsmakten som har gjort, skall bestämmelserna om ombudets skyldigheter i 38–40 §§ personuppgiftslagen tillämpas. Bestämmelserna i 42 § personuppgiftslagen ålägger den person- uppgiftsansvarige en generell skyldighet att till var och en som efterfrågar det lämna information om behandlingar av person- uppgifter som inte har anmälts till tillsynsmyndigheten. Upplys- ningarna skall omfatta det som en anmälan enligt 36 § första stycket personuppgiftslagen annars skulle ha omfattat. Upplysning behöver emellertid inte lämnas om uppgifter som omfattas av sekretess. I Datainspektionens föreskrifter (1998:2) regleras vilka uppgifter en anmälan enligt 36 § första stycket skall innehålla. De flesta av dessa uppgifter är sådana som framgår av den av oss föreslagna författningstexten, t.ex. vem den personuppgifts- ansvarige är och vilket ändamål behandlingen har. Övriga är sådana som i försvarsunderrättelseverksamhet och säkerhetstjänst typiskt sett omfattas av sekretess, t.ex. upplysning om överföring till tredje land och vilka säkerhetsåtgärder som vidtagits. Med hänsyn härtill är det vår uppfattning att en hänvisning till 42 § personuppgifts- lagen inte skulle vara till någon nytta för enskilda. Det skulle dessutom kunna leda till problem för de personuppgiftsansvariga myndigheterna då någon anmälningsskyldighet i övrigt inte gäller. Vi föreslår därför att 42 § personuppgiftslagen inte skall vara tillämplig. befogenheter (43 och 47 §§ personuppgiftslagen) För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot de personuppgiftsansvariga. Den möjlighet som inspektionen har enligt 43 § personuppgiftslagen att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behand- lingen och säkerheten samt tillträde till lokaler bör gälla för de aktuella verksamheterna inom Försvarsmakten och . Det anses inte möjligt för Datainspektionen (eller annan myndighet) att vid vite förbjuda en personuppgiftsansvarig statlig myndighet att behandla personuppgifter. Vite som sanktionsmedel bör enligt allmänna rättsgrundsatser inte användas mellan statliga myndigheter (jfr. Lavin, Viteslagstiftningen, s. Hänvisning behöver därför inte göras till bestämmelserna om vite i 44–46 §§ personuppgiftslagen. I 45 § personuppgiftslagen anges vidare att tillsynsmyndigheten, förutom genom förbud förenat med vite, skall försöka åstadkomma rättelse genom påpekanden eller liknande förfaranden när myndig- heten konstaterar att personuppgifter behandlas felaktigt. Enligt vår uppfattning är det självklart att Datainspektionen vidtar de åtgärder som är rimliga för att få till stånd rättelse när brister i myndigheternas hantering av personuppgifter upptäcks. Det är därför inte nödvändigt att hänvisa till denna bestämmelse. I 47 § personuppgiftslagen föreskrivs att tillsynsmyndigheten hos länsrätten får ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. Denna bestämmelse bör enligt vår uppfattning gälla även i Försvarsmaktens försvars- underrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet. Straff (49 §) Personuppgiftslagens bestämmelser om straffansvar bör omfatta även verksamhet inom Försvarsmaktens försvarsunderrättelse- verksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet. Bestämmelserna bör därför vara tillämpliga även när personuppgifter behandlas med stöd av de av oss föreslagna författningarna. I praktiken blir emellertid endast ett begränsat antal förfaranden straffbara, eftersom många av de bestämmelser i personuppgiftslagen som 49 § hänvisar till har undantagits från de av oss föreslagna lagarnas tillämpningsområde. Vårt förslag: Försvarsmakten respektive skall vara personuppgiftsansvarig för den behandling som myndigheten utför eller som det åligger den att utföra. Försvarsmakten och skall vid sidan av personuppgiftsansvaret även ha ansvar för att uppgifter om juridiska personer behandlas i enlighet med de grundläggande bestämmelserna i lagstiftningen. Personuppgiftsansvarig är enligt 3 § personuppgiftslagen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av personuppgifter. I registerförfattningar är det vanligt, och enligt vår uppfattning lämpligt, att på ett tydligt sätt peka ut vem som är ansvarig för den behandling som regleras i de särskilda författningarna. För att undvika oklarheter vid den författningsreglerade behandlingen av personuppgifter i Försvars- maktens försvarsunderrättelseverksamhet och den militära säker- hetstjänsten samt i Försvarets radioanstalts underrättelseverk- samhet bör personuppgiftsansvaret regleras uttryckligt i de särskilda författningarna. Vi anser att personuppgiftsansvaret bör utformas så att Försvars- makten eller är personuppgiftsansvarig för den behandling av personuppgifter som utförs inom respektive myndighets verksamhet. Personuppgiftsansvaret innebär att den myndighet som registrerar en uppgift i t.ex. ett datorsystem har ansvaret för att uppgiften är korrekt och att den inte behandlas på ett sätt som strider mot lagstiftningen. Dessutom bör enligt vår uppfattning personuppgiftsansvaret täcka även behandling som det åligger Försvarsmakten eller att utföra. På det sättet markeras att det finns ett ansvar inte endast för att utförd behandling är korrekt, utan även för att behandling faktiskt utförs när den skall ske. Som exempel på när underlåtenhet att utföra en behandling kan leda till konsekvenser för enskilda kan nämnas att en uppgift t.ex. inte gallras i föreskriven tid eller på rätt sätt. Ansvaret för uppgifter om juridiska personer Personuppgiftsansvaret täcker endast behandling av uppgifter om levande fysiska personer. De författningar vi föreslår är emellertid i stora delar tillämpliga även på behandling av uppgifter om juridiska personer. Det gäller de allmänna bestämmelserna om ändamål och de särskilda bestämmelserna om behandling i databaser. Av tydlig- hetsskäl anser vi att det därför bör framgå av lagstiftningen att myndigheternas ansvar även omfattar behandling av annat än personuppgifter. Det innebär t.ex. att Försvarsmakten och Försvar- ets radioanstalt har ansvaret för att uppgifter om juridiska personer inte behandlas i strid med de i författningarna angivna ändamålen och att de t.ex. gallras i rätt tid. Däremot har inte juridiska personer den rätt att få information och att få uppgifter rättade som enligt personuppgiftslagen tillkommer fysiska personer. Naturligtvis bör felaktiga uppgifter om juridiska personer ändå rättas om felaktig- heterna kommer till den personuppgiftsansvariges kännedom. 8.2.4Tillåtna ändamål för behandling av uppgifter Vårt förslag: Tydliga och konkreta ändamål för behandling av personuppgifter och andra uppgifter skall anges i lag. Uppgifter skall få behandlas automatiserat eller i register endast för de angivna ändamålen. I Försvarsmaktens försvarsunderrättelseverksamhet skall uppgifter få behandlas dels för att kartlägga yttre militära hot mot landet dels till stöd för svensk utrikes-, försvars- och säkerhetspolitik, om det behövs för 1.säkerhetspolitiska och militärstrategiska bedömningar, 2.analyser av pågående och bedömda framtida konflikter, I Försvarsmaktens militära säkerhetstjänst skall uppgifter få behandlas för att upptäcka, förebygga och avvärja säkerhets- hotande verksamhet som riktas mot Försvarsmakten och dess intressen, om det behövs för 1.att klarlägga verksamhet som innefattar hot mot rikets säkerhet och personer med anknytning till sådan verksamhet (säkerhetsunderrättelsetjänst), 2.åtgärder som hindrar eller försvårar säkerhetshotande verksamhet (säkerhetsskyddstjänst), eller 3.att förhindra obehörig insyn i och påverkan av total- försvarets telekommunikations- och informationssystem (signalskyddstjänst). I Försvarets radioanstalts underrättelseverksamhet skall uppgifter få behandlas dels för att kartlägga yttre militära hot mot landet dels till stöd för svensk utrikes-, försvars- och säkerhetspolitik, om det behövs för 1.säkerhetspolitiska och militärstrategiska bedömningar, 2.analyser av pågående och bedömda framtida konflikter, Uppgifter får också behandlas om det behövs för myndighetens verksamhet med att 1.bedriva signalspaning enligt den inriktning som regeringen, Försvarsmakten och övriga uppdragsgivare anger, 2.följa förändringen av signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, 3.fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten, 4.utföra matematiska bedömningar av kryptosystem för totalförsvaret, samt 5.biträda andra myndigheter vid värdering, utveckling, anskaffning och drift av signalspaningssystem. Bestämmelser om för vilka ändamål uppgifter i statliga person- register får användas har alltid haft en central roll i register- författningar. Genom att ange ändamålen och reglera vilka upp- gifter som får registreras, har ramen för hanteringen av person- register satts upp. Även om ändamålsbestämmelserna i datalagen och dataskyddskonventionen har haft stor vikt har betydelsen av klara ändamålsbestämmelser ökat än mer i och med dataskydds- direktivet och personuppgiftslagen. Ett av de viktigaste inslagen i direktivet är nämligen att personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål samt att uppgifterna inte får behandlas för något ändamål som är oförenligt med de för vilka uppgifterna samlades in. Motsvarande bestäm- melser finns i 9 § personuppgiftslagen. I Försvarsmaktens militära underrättelse- och säkerhetstjänst skall uppgifter få behandlas för ändamålet försvarsunderrättelseverk- samhet. Med försvarsunderrättelseverksamhet avses en verksamhet eller process för att hämta in, bearbeta och delge underrättelse- information. Försvarsunderrättelser utgörs av säkerhetspolitiska och militärstrategiska bedömningar, analyser av pågående och framtida konflikter samt biografiska underrättelser, som avser personlig information om militär personal och andra viktiga befattningshavare t.ex. politiker. Ändamålet för behandlingen är att Försvarsmakten skall kunna utföra de uppgifter som åligger myndigheten enligt lagen (2000:130) och förordningen (2000:131) om försvarsunderrättelse- verksamhet. Enligt dessa författningar åligger det Försvarsmakten att bedriva försvarsunderrättelseverksamhet för att kartlägga yttre militära hot mot landet och till stöd för svensk utrikes-, försvars- och säkerhetspolitik. Försvarsunderrättelseverksamhet är ett led i Försvarsmaktens uppgifter att i fred, under beredskap och i krig ge underlag för Försvarsmaktens beredskap, operativa verksamhet och förbandsproduktion samt för krigsorganisationens utveckling och materiella förnyelse (prop. 1999/200:25 s. 14). Utgångspunkten är att den militära underrättelsetjänsten skall fullgöra centrala upp- gifter inom ramen för den grundberedskap som Försvarsmakten skall upprätthålla för försvar mot väpnat angrepp och för att hävda svensk territoriell integritet. Viktiga uppgifter är vidare att medverka i svenskt deltagande i internationellt säkerhetssamarbete och att medverka med underrättelser för att stärka samhället vid svåra påfrestningar på samhället i fred. De ökade satsningarna på internationella fredsfrämjande insatser ställer också krav på under- rättelseinformation. Försvarsmaktens försvarsunderrättelseverksamhet leds och bedrivs huvudsakligen vid Högkvarterets enhet för underrättelse- och säkerhetstjänst (MUST). För att kunna utföra alla åligganden som Försvarsmakten har på detta område bedrivs emellertid underrättelseverksamhet även hos olika lokala och regionala organisationsenheter inom Försvarsmakten, inklusive förband i utlandsstyrkan. försvarsattachéer vid utlandsmyndighet- erna inhämtar och vidarebefordrar även de betydelsefull informa- tion för den militära underrättelse- och säkerhetstjänsten. Som tidigare framhållits är det inte möjligt att lagreglera försvarsunderrättelseverksamhet i detalj. Detta får naturligtvis konsekvenser även för hur noggrant ändamålen för myndighetens behandling av personuppgifter inom verksamheten kan preciseras. De närmare riktlinjerna för den svenska försvarsunderrättelse- verksamheten läggs fast av regeringen som anger riktlinjerna för den svenska försvarsunderrättelseverksamheten i t.ex. reglerings- brev. har också inrättats en samordnande funktion för kontinuerlig inriktning av försvarsunderrättelse- verksamheten genom etablerandet av en styrgrupp för säkerhets- politiska underrättelsefrågor. Styrgruppen stöds av ett sekretariat som har till uppgift att löpande följa underrättelseverksamheten. De uppgifter som behandlas i Försvarsmaktens försvarsunder- rättelseverksamhet kan avse alla typer av uppgifter, såväl person- uppgifter som andra uppgifter vilka inte alls kan hänföras till viss person. De personuppgifter som behandlas i försvarsunderrättelse- verksamheten är bl.a. uppgifter om personer som verkar inom andra staters försvars- och underrättelseväsende, ledande politiska företrädare och andra opinionsbildare samt andra personer som förekommer i underrättelserapporter eller kan komma att få ett underrättelsevärde. Alla kända uppgifter om aktuella personer kan komma att behandlas. Förutom personuppgifter behandlas en mycket stor mängd information som rör t.ex. främmande makts militära stridskrafter. Uppgifter skall få behandlas i Försvarsmaktens militära säkerhets- tjänst för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess intressen. Ändamålet med behandlingen av personuppgifter inom den mili- tära säkerhetstjänsten är att Försvarsmakten skall kunna utföra de uppgifter som åligger myndigheten enligt säkerhetsskyddslagen (1996:627), säkerhetsskyddsförordningen (1996:633) och 4 § 2. förordningen (2000:555) med instruktion för Försvarsmakten. Av bestämmelsen i Försvarsmaktens instruktion framgår att myndig- heten skall leda och bedriva militär säkerhetstjänst. Den militära säkerhetstjänsten kan delas in i säkerhetsunderrättelsetjänst, säker- hetsskyddstjänst och signalskyddstjänst. Säkerhetsunderrättelse- tjänsten syftar till att klarlägga verksamhet som innefattar hot mot rikets säkerhet och personer med anknytning till sådan verksamhet. Inom säkerhetsskyddstjänsten vidtas olika åtgärder för att för- hindra eller försvåra säkerhetshotande verksamhet. Härvid arbetar man med att förebygga att hemliga uppgifter som rör rikets säker- het obehörigen röjs, ändras eller förstörs. Verksamheten syftar också till att skydda Försvarsmaktens personal, materiel och anläggningar. Signalskyddstjänsten syftar till att minska verkan av signalspaning, falsk signalering och störsändning mot totalför- svarets telekommunikations- och informationssystem. Den skall förhindra obehörig insyn i och påverkan av totalförsvarets tele- kommunikationer, samt användning av kryptografiska funktioner i informationssystemen. Signalkontroll avser också kontroll av röjande signaler. De ändamål för vilka personuppgifter får behandlas inom den militära säkerhetstjänsten preciseras med en särskild bestämmelse om vilka uppgiftskategorier som får behandlas i verksamheten. Uppgifter om en person får i huvudsak behandlas endast om per- sonen misstänks för säkerhetshotande verksamhet, har lämnat upp- gift om sådan verksamhet eller om uppgifterna har framkommit genom att någon genomgått en registerkontroll enligt säkerhets- skyddslagen (1996:627). Bestämmelsen motsvarar såtillvida 14 § i den nu gällande förordningen (2001:703) om viss behandling av personuppgifter inom Försvarsmakten och . Den av oss föreslagna paragrafen skall emellertid inte vara tillämp- lig på Försvarsmaktens verksamhet med signalskyddskontroll. Sådan kontroll sker ofta rutinmässigt och måste förekomma utan föregående misstanke om samband med säkerhetshotande verk- samhet. I nämnda bestämmelse har därutöver intagits integritets- skyddande regler som mer tar sikte på uppgifternas innehåll. Det föreskrivs att uppgifter om att en person kan antas ha samband med säkerhetshotande verksamhet skall förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Därutöver skall uppgifter om en person som inte misstänks för att ha utövat eller komma att utöva säkerhetshotande verksamhet få behandlas endast om det genom särskild upplysning eller på annat sätt klart framgår att sådan misstanke inte föreligger. Bestäm- melserna har sin förebild i rekommendation (Recommendation No. R (87) 15) om användning av person- uppgifter inom polissektorn. Rekommendationen innehåller speci- ella dataskyddsregler för personuppgifter som förs av polis- myndighet med hjälp av ADB (se avsnitt 4.2). Enligt vår uppfattning har sådana bestämmelser fog för sig i den militära säkerhetstjänsten, som uppvisar vissa likheter med polisiär verksamhet och då särskilt Säkerhetspolisen. Försvarsmaktens uppgift när det gäller att leda och bedriva den militära säkerhetstjänsten är att tillvarata de säkerhetsintressen som berör Försvarsmakten. Enligt bestämmelserna i säkerhetsskydds- lagen (1996:627) har Försvarsmakten dels en skyldighet att ha det säkerhetsskydd som behövs med hänsyn till verksamhetens art, omfattning m.m., dels ålagts vissa uppgifter, bl.a. att utöva tillsyn av säkerhetsskyddet hos vissa myndigheter. Myndighetens verksamhet med säkerhetstjänst leds och bedrivs i stor omfattning även den vid Högkvarteret. Säkerhetstjänst bedrivs emellertid både centralt hos MUST och regionalt på militärdis- triktsnivå samt på enskilda förband. Således har varje militärdis- triktsområde en egen säkerhetsavdelning. Lokalt sker också bear- betning och uppföljning av lokala händelser på förbands- eller regi- onnivå, ofta i samarbete med polisen, när det gäller personer som är misstänkta för verksamhet som kan hota försvarets säkerhet. Precis som inom försvarsunderrättelseverksamhet är det viktigt med samarbete med andra myndigheter. För den militära säkerhets- tjänsten gäller detta främst Säkerhetspolisen. I den militära säker- hetstjänstens uppgift ingår att biträda polisen i dess arbete med skyddet av rikets säkerhet. I den militära säkerhetstjänsten behandlas uppgifter om t.ex. personer vid andra staters underrättelseväsenden eller annan före- trädare för främmande makt som bedöms kunna utgöra ett säker- hetshot och personer som deltagit eller på annat sätt har anknyt- ning till säkerhetshotande verksamhet. Personuppgifter behandlas även i anledning av att någon varit föremål för registerkontroll enligt säkerhetsskyddslagen om denne är anställd inom Försvars- makten eller har anknytning till säkerhetsskyddad upphandling. Varje känd uppgift om aktuella personer kan komma att behandlas. skall precis som Försvarsmakten bedriva försvarsunderrättelseverksamhet. rättelseverksamhet består således även den i en process för att hämta in, bearbeta och delge underrättelseinformation i syfte att kartlägga yttre militära hot mot landet och till stöd för svensk utrikes-, försvars- och säkerhetspolitik. För dessa ändamål skall få behandla personuppgifter, och härvid gäller vad som ovan anförts om Försvarsmaktens försvars- underrättelseverksamhet. Som tidigare framhållits är Försvarets radioanstalts verksamhet såsom försvarsunderrättelseorgan inte enbart ägnad åt att klarlägga främmande makters rent militära och försvarspolitiska förhållanden eller militära handlingsmöjligheter. bedriver därför inte enbart militär underrättelsetjänst utan har även andra uppgifter, bl.a. som ett regeringens utrikes- och säkerhetspolitiska civila inhämtningsorgan. är en uppdrags- tagande myndighet där framför allt regeringen och Försvarsmakten bestämmer inriktningen för underrättelseverksamheten. kan emellertid också ges särskilda uppdrag att med sin tekniska expertis lämna stöd för annan myndighetsverksamhet än sådan som rör yttre hot. Försvarets radioanstalts underrättelseverksamhet bedrivs i huvudsak genom signalspaning enligt den inriktning som regeringen, Försvarsmakten och övriga uppdragsgivare anger. För detta ändamål skall myndigheten få behandla personuppgifter. Utöver detta grundläggande ändamål för Försvarets radioanstalts underrättelseverksamhet har emellertid myndigheten, enligt 1–3 §§ förordningen (1994:714) med instruktion för Försvarets radio- anstalt, även vissa speciella uppgifter i vilka verksamheter det föreligger ett visst behov av att behandla personuppgifter. -följa förändringen av signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, -fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten, -utföra matematiska bedömningar av kryptosystem för totalförsvaret, samt -biträda andra myndigheter, vid värdering, utveckling, anskaffning och drift av signalspaningssystem. De uppgifter som behandlar i sin underrättelseverksamhet är information av betydelse för bedöm- ningar av den allmänna utrikes och försvarspolitiska utvecklingen samt internationella relationer, krishärdar och de internationella uppdrag i vilka svensk personal deltar. information rörande terrorism, expertkontroll, protokollära ärenden och händelser i närheten av svenskt territorium. Rapporteringen av underrättelser från kan t.ex. röra främmande stridskrafters rörelser, övningar och prov av vapen samt kränkningar av svenskt territorium. I underrättelse- verksamheten ingår också rapportering av biografiska under- rättelser. De personuppgifter som behandlas i underrättelse- verksamheten är bl.a. uppgifter om personer som verkar inom andra staters försvars- och underrättelseväsenden, ledande politiska företrädare och andra opinionsbildare samt andra personer som förekommer i underrättelserapporter eller kan komma att få ett underrättelsevärde. Alla kända uppgifter om aktuella personer kan komma att behandlas. På uppdrag av Försvarsmakten och då främst den militära underrättelse- och säkerhetstjänsten (MUST), den Operativa insatsledningen (OPIL) samt () och () behandlas främst uppgifter rörande den militära situationen i närområde. Vidare förmedlas information om de internationella uppdrag i vilka svensk personal deltar samt om frågor rörande spridning av mass- förstörelsevapen, betydelsefulla vapen eller vapenexportärenden och militär teknologisk utveckling. Övriga uppdragsgivare, exempelvis Säkerhetspolisen, Kriminalpolisens underrättelsetjänst, och delges information rörande bl.a. terrorism, främmande underrättelseverksamhet och organiserad brottslighet. 8.2.5Behandling av känsliga personuppgifter Vårt förslag: Uppgifter om en person skall inte få behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter). Om uppgifter om en person behandlas på annan grund skall de emellertid få kompletteras med känsliga personuppgifter, när det är nödvändigt för syftet med behandlingen. Vid all behandling av personuppgifter intar frågor om behandling av känsliga personuppgifter enligt personuppgiftslagen en särställ- ning, genom att sådana uppgifter i princip får behandlas endast efter samtycke av den enskilde eller med särskilt författningsstöd. Allmänt gäller att stor försiktighet bör iakttas vid hanteringen av känsliga personuppgifter.