sou · GRB334d2 · 2004-01-01 00:00:00 — Underrättelse- och säkerhetsdatabasen är ett samlingsnamn för flera av de olika tekniska system som används i verksamheten för att behandla hemliga uppgifter för ändamålen försvarsunderrättelseverksamhet och militär säkerhetstjänst, t.ex. , BANIO och . I databasen får också behandlas uppgifter som överförts från informationsdatabasen av den anledningen att uppgifterna ansetts vara av intresse i den militära underrättelse- och säkerhetstjänsten. Information som lagras i underrättelse- och säkerhetsdatabasen får behandlas för att underlätta sökning efter uppgifter som samlats in från såväl öppna som hemliga källor. I databasen får vidare analys och bearbetning av inhämtat underrättelsematerial ske och färdiga underrättelserapporter lagras och delges inom systemet. (Se avsnitt 8.3.3) Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten är av sådan art att det inte är möjligt att i detalj reglera vilka uppgifter som får behandlas i verksamheterna. En noggrann reglering av vilka uppgifter som får behandlas måste också av naturliga skäl vara hemlig. I paragrafen bemyndigas regeringen, eller den myndighet som regeringen bestämmer, att meddela närmare föreskrifter eller beslut om vilka uppgifter som får behandlas i databaserna. I den till lagen föreslagna förordningen finns bestämmelser om vilka uppgifter som får behandlas. I 1 kap. 7 § finns vissa bestämmelser om innehåll som gäller för uppgifter som behandlas i den militära säkerhetstjänsten, vilka även gäller för den behandling som sker i Försvarsmaktens databaser. (Se avsnitt 8.3.4) I paragrafen förtydligas bestämmelsen i 1 kap. 8 § som reglerar användningen av känsliga personuppgifter och som redan den innebär en begränsning av möjligheten att använda känsliga person- uppgifter som sökord. Bestämmelserna i förevarande paragraf innebär att sökning i databaserna inte får ske uteslutande med känsliga personuppgifter som grund för sökningen. Känsliga personuppgifter får endast användas som komplement när det finns ett annat för verksamheten berättigat skäl att sökningen sker. Bestämmelserna utesluter inte att känsliga personuppgifter kan användas ensamma vid sökning. De känsliga personuppgifterna får dock inte utgöra det enda ändamålet med sökningen. (Se avsnitt 8.3.5) Vilka som får ha direktåtkomst till Försvarsmaktens databaser bestäms av regeringen i förordning eller beslut. Regeringen, eller den myndighet regeringen bestämmer, meddelar närmare före- skrifter eller beslut om omfattningen av direktåtkomsten. (Se avsnitt 8.3.6) 3 kap. Enskildas rättigheter Paragrafen innehåller bestämmelser om Försvarsmaktens skyldig- het att informera den registrerade om att dennes personuppgifter är föremål för behandling. Av 23 § personuppgiftslagen framgår att den personuppgiftsansvarige självmant skall informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som skall lämnas är enligt 25 § samma lag uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Information skall också enligt 26 § personuppgiftslagen lämnas på begäran av den registrerade. Om uppgifter behandlas skall information lämnas om vilka uppgifter det rör sig om, varifrån uppgifterna hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Information behöver dock inte lämnas om personuppgifter i löpande text som inte har fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande, under förutsättning att uppgifterna inte har lämnats ut till tredje man. Rätten till information gäller enligt 27 § personuppgiftslagen inte om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade. (Se avsnitt 8.4.1) Bestämmelser om rättelse och skadestånd finns i 28 § respektive 48 § personuppgiftslagen och gäller vid behandling av person- uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten. Rätten till skadestånd avser de särskilda regler som gäller enligt personuppgiftslagen och omfattar därför endast levande fysiska personer, men det utesluter självfallet inte att även juridiska personer kan ha rätt till ersättning enligt de allmänna skadeståndsrättsliga principer som gäller vid skada som enskilda lider till följd av offentlig verksamhet. (Se avsnitt 8.4.2) De flesta beslut som fattas i Försvarsmaktens verksamhet och som gäller behandling av personuppgifter enligt denna lag är interna eller administrativa och berör inte direkt enskildas intressen. Administrativa beslut fattas t.ex. om Försvarsmakten beslutar att inom en viss databas inrätta särskilda register. Enskilda berörs dock direkt av myndighetens beslut om information och rättelse efter begäran. Sådana beslut är därför överklagbara. Talan mot beslut om information och rättelse förs i den normalt gällande ordningen i fråga om förvaltningsbeslut, nämligen till allmän förvaltnings- domstol. Vid överklagande till kammarrätten krävs prövnings- tillstånd. (Se avsnitt 8.4.3) Bestämmelserna om enskildas rätt till information gäller inte om sekretess är föreskriven för uppgifterna. underrättelse- och säkerhetstjänsten gäller en omfattande sekretess vilket innebär att sådan information till den registrerade som avses i personuppgiftslagen i stort sett aldrig kommer att lämnas. Häri- genom förtas enskilda i praktiken även sin möjlighet att begära rättelse. Mot bakgrund härav skall en särskild myndighet ges i upp- drag att granska att behandlingen av personuppgifter i Försvars- maktens försvarsunderrättelseverksamhet och den militära säker- hetstjänsten sker i enlighet med bestämmelserna i denna lag. Granskningen skall således utgöra en kompensation för att enskilda, på grund av den sekretess som gäller i verksamheten, inte kan utnyttja den möjlighet till skydd för den personliga integri- teten som lagens regler om information och rättelse m.m. ger. Uppgiften att granska Försvarsmaktens behandling av person- uppgifter motsvarar vad som gäller för inom polisens område. Detta innebär bl.a. att uppgiften inte förtar det övergripande tillsynsansvar som åligger Datainspektionen enligt personuppgiftslagen. Den granskning som skall utföras enligt 4 § är en extra integritetsskyddskontroll som, utöver Datainspektionens tillsyn, skall skydda de registrerade mot otill- börligt intrång i den personliga integriteten. Försvarets under- rättelsenämnd skall emellertid inte vara involverad i någon löpande ärendehantering hos Försvarsmakten, och enskild skall inte kunna vända sig till nämnden med begäran om utlämnande av handlingar. (Se avsnitt 8.5) 13.2Förslag till lag om behandling av uppgifter i Försvarets radioanstalts underrättelseverksamhet 1 kap. Allmänna bestämmelser Enligt första stycket skall lagen, liksom personuppgiftslagen, tillämpas på all behandling av personuppgifter som är helt eller delvis automatiserad samt viss strukturerad behandling. Med personuppgifter avses detsamma som i personuppgiftslagen, nämligen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Begränsningen till underrättelseverksamhet innebär en avgräns- ning mot Försvarets radioanstalts övriga verksamheter. Vad som är underrättelseverksamhet legaldefinieras inte, men ledning kan hämtas i 5 § om för vilka ändamål uppgifter får behandlas. Utanför lagens tillämpningsområde faller även behandling av person- uppgifter i samband med de interna och administrativa åtgärder som kan förekomma i Försvarets radioanstalts verksamhet. För behandling av uppgifter som rör sådana frågor, t.ex. i personal- och löneregister, gäller i stället personuppgiftslagen. Enligt andra stycket skall bestämmelserna om personupp- giftsansvar, ändamål samt de bestämmelser som gäller myndig- hetens databaser, tillämpas också på juridiska personer. Bestämmelserna i 1 kap. är generella och gäller, om inte annat sägs, för all behandling av uppgifter i Försvarets radioanstalts underrättelseverksamhet, oavsett om det gäller e-post, enskilda tjänstemäns promemorior som upprättas i ordbehandlingsprogram, mindre register som används tillfälligt i underrättelseprojekt eller större register och datorsystem som används gemensamt i verksamheterna. I tredje stycket upplyses om att det i 2 kap. finns särskilda bestämmelser för behandling av personuppgifter i Försvarets radioanstalts databaser. (Se avsnitt 8.2.1) Lagen gäller i stället för personuppgiftslagen (1998:204). I de fall bestämmelser i personuppgiftslagen är tillämpliga även på behand- ling i Försvarets radioanstalts underrättelseverksamhet anges det särskilt. (Se avsnitt 8.2.2) I paragrafen anges vilka bestämmelser i personuppgiftslagen som skall vara tillämpliga även vid behandling av personuppgifter i Försvarets radioanstalts underrättelseverksamhet. De angivna bestämmelserna är alltså inte tillämpliga på behandling av uppgifter om juridiska personer. (Se avsnitt 8.2.2) är personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför. Personuppgifts- ansvaret gäller även vid underlåtenhet att utföra en behandling som åligger . Med personuppgiftsansvaret följer en rad skyldigheter. Den personuppgiftsansvarige skall bl.a. se till att behandlingen av uppgifter sker på ett korrekt och säkert sätt samt att information lämnas till den registrerade. har även ansvar för uppgifter om juridi- ska personer, dvs. sådant som inte utgör personuppgifter. Ansvaret innebär motsvarande skyldigheter som personuppgiftsansvaret i fråga om de krav som lagen ställer på behandling av uppgifter om juridiska personer, t.ex. att uppgifterna endast får behandlas för tillåtna ändamål. Även ansvaret för att de krav som ställs upp i lagens 2 kap. för behandling av uppgifter i myndighetens databaser uppfylls, gäller för uppgifter om juridiska personer. Däremot är bestämmelserna i 3 kap. om enskildas rättigheter inte tillämpliga, vilket t.ex. innebär att Försvarets radioanstalts ansvar gentemot juridiska personer inte omfattar skyldighet att lämna information eller rätta uppgifter enligt personuppgiftslagen. (Se avsnitt 8.2.3) Paragrafen anger de ändamål för vilka uppgifter får användas – dvs. samlas in, registreras, lämnas ut och i övrigt behandlas – i Försvarets radioanstalts underrättelseverksamhet. Bestämmelsen tillämpas på uppgifter om såväl fysiska som juridiska personer. Försvarets radioanstalts underrättelseverksamhet bedrivs i huvudsak genom signalspaning. Enligt lagen (2000:130) om försvarsunderrättelseverksamhet och den anslutande förordningen (2000:131) åligger det att bedriva försvarsunderrättelseverksamhet för att kartlägga yttre militära hot mot landet och till stöd för svensk utrikes-, försvars- och säkerhetspolitik. Försvarsunderrättelse- verksamhet består av inhämtning, bearbetning och analys samt delgivning av information. Härigenom utarbetas hotbildsanalyser och underrättelsebedömningar som delges främst och Försvarsmakten. Det är regeringen som bestämmer den närmare inriktningen av försvarsunderrättelseverksamheten. Enligt första stycket punkten 1 får uppgifter behandlas för säkerhetspolitiska och militärstrategiska bedömningar. Försvars- underrättelseverksamheten skall identifiera och redovisa eller ge förvarning om sådana förändringar i omvärldsläget att detta kan ligga till grund för politiska beslut om totalförsvarets anpassning . Totalförsvar är den verksamhet som behövs för att förbereda för krig och består av militär verksamhet (militärt försvar) och civil verksamhet (civilt försvar), se 1 § lagen (1992:1403) om totalförsvar och höjd beredskap. Enligt första stycket punkten 2 får uppgifter behandlas vid deltagande vid internationella fredsbevarande och humanitära insatser, samt för att stärka samhällets förmåga att förebygga och hantera svåra påfrestningar på samhället. Det gäller att kunna förutse konflikter samt bearbeta inhämtat material och delge bedömningar om säkerhetspolitiska och militära förhåll- anden. Det kan också röra sig om att medverka med information och analys i fråga om sådant som t.ex. internationell terrorism och gränsöverskridande miljöhot. Med första stycket punkten 3 avses personlig information om t.ex. militär personal, politiker eller andra viktiga befattningshavare. Sådana uppgifter är nödvändiga att behandla för att informations- underlaget till stöd för svensk utrikes-, försvars- och säkerhets- politik skall bli komplett. I andra stycket anges Försvarets radioanstalts uppgifter enligt 1– 3 §§ förordningen (1994:714) med instruktion för . Härav framgår att inte enbart bedriver militärt inriktad underrättelseverksamhet utan även har andra uppgifter, bl.a. att med sin tekniska expertis lämna stöd för annan myndighetsverksamhet än sådan som rör yttre hot. (Se avsnitt 8.2.4) Enligt 13 § personuppgiftslagen är det som huvudregel förbjudet att behandla känsliga personuppgifter utan den enskildes samtycke. Om sådana uppgifter måste behandlas i offentlig verksamhet utan samtycke, och utan att något av undantagen från förbudet är tillämpligt, behövs det särskilda och avvikande bestämmelser för i vilka fall det får göras. Bestämmelserna i 6 § första och andra styckena överensstämmer med de gällande bestämmelserna för Försvarets radioanstalts underrättelseverksamhet, se 4 § förordningen (2001:703) om viss behandling av personuppgifter inom Försvarsmakten och . I första stycket anges att känsliga personuppgifter inte får behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Det innebär t.ex. att det inte är tillåtet att i underrättelseverksamhet föra register över, eller på annat sätt göra anteckningar om, enskilda personer enbart på den grunden att de tillhör en viss etnisk grupp. Av andra stycket framgår att om uppgifter om en person behandlas på annan grund får de kompletteras med känsliga personuppgifter när det är nödvändigt för syftet med behandlingen. Om det är nödvändigt för handläggningen av ärendet får de övriga uppgifterna i ärendet kompletteras med känsliga personuppgifter. Det är i Försvarets radioanstalts underrättelseverksamhet tillåtet att anteckna känsliga personuppgifter om personer som på saklig grund är av intresse för verksamheten, under förutsättning att de känsliga uppgifterna är nödvändiga för att få fram den fullständiga underrättelseinformation som behövs. Bestämmelserna om känsliga personuppgifter gäller även vid behandling av uppgifter i Försvarets radioanstalts databaser enligt 2 kap. (Se avsnitt 8.2.5) Enligt bestämmelsen får personuppgifter lämnas ut till andra länder om sekretess inte hindrar det och det behövs för att skall kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet. Uppgifter får också överföras till tredje land om det av annan anledning är nödvändigt med hänsyn till de ändamål för vilka uppgifter behandlas enligt lagen. Paragrafen är ägnad att uppfylla de krav på nationell lagstiftning som dataskyddskonventionen ställer när det gäller överföring av personuppgifter till andra länder. Huruvida ett utlämnade skall ske eller inte måste i sin helhet avgöras efter en sekretessprövning och försvars- och säkerhets- politiska överväganden. (Se avsnitt 8.2.6) 2 kap. Försvarets radioanstalts databaser I paragrafen anges att det skall finnas ett antal databaser i Försvar- ets radioanstalts underrättelseverksamhet. Begreppet databas är juridiskt och inte tekniskt. I korthet kan en databas beskrivas som uppgiftssamlingar som med hjälp av automatiserad behandling används gemensamt i verksamheten. Uppgifterna har hämtats in i Försvarets radioanstalts underrättelseverksamhet och har i data- baserna gjorts gemensamt tillgängliga för olika handläggare inom organisationen med den begränsning som följer av befattnings- havarens behörighet. Utanför databaserna faller däremot uppgifter i t.ex. e-post, ordbehandlingsdokument och tillfälliga register, som lagras på en hårddisk eller i en server på sådant sätt att de inte är allmänt tillgängliga inom , utan åtkomliga endast för den person – eller ett fåtal personer – i en begränsad grupp – som tar emot e-postmeddelandet, upprättar dokumentet eller använder sig av det tillfälliga registret m.m. (Se avsnitt 8.3.1) I urvalsdatabasen skall de uppgifter behandlas som används för planering och inriktning av underrättelseverksamheten, på såväl lång som kort sikt. I databasen får behandlas de sökord i form av olika personuppgifter, t.ex. personnummer och namn, som används i underrättelseverksamheten vid sökning genom signalspaning och i öppna källor. Spaning sker även efter vissa tekniska parametrar, vilka även de kan återfinnas i urvalsdatabasen. Med parametrar avses såväl som automatiska frekvenser, e-postadresser och telefonnummer. (Se avsnitt 8.3.2) I källdatabasen skall all information som hämtar in genom signalspaning samlas. I databasen samlas obear- betad information som endast är en spegling av förekommande signaler samt den signalspaningsinformation som inhämtats med hjälp av särskilt utvalda sökkriterier. Det inhämtade materialet kan vara såväl krypterat som avfattat på ett främmande språk. Uppgifter som lagras i databasen får behandlas i den för att underlätta sökning efter information. I övrigt får uppgifterna endast behandlas genom att de förs över till analysdatabasen. (Se avsnitt 8.3.2) I databasen för öppna källor får samla information som hämtats in på annat sätt än genom signalspaning. sker t.ex. genom prenumeration på utländska tidningar, sökning efter information på Internet eller helt enkelt genom riktad inhämtning av uppgifter från olika webbsidor. Uppgifter som lagras i databasen får behandlas för att underlätta sökning efter information. I övrigt får uppgifterna endast behandlas genom att de förs över till analysdatabasen. (Se avsnitt 8.3.2) I analysdatabasen får de uppgifter behandlas som överförts från källdatabasen och databasen för öppna källor. Även annan för underrättelseverksamheten nödvändig information får behandlas i databasen. I databasen sker analys och annan bearbetning, såsom dekryptering och översättning, av den information som hämtat in genom signalspaning och från öppna källor. I analysdatabasen får den information som undergår analys och bearbetning lagras fram till dess den färdigställs till underrättelse- rapporter och lagras i rapportdatabasen. (Se avsnitt 8.3.2) Rapportdatabasen får endast innehålla Försvarets radioanstalts färdiga underrättelserapporter som skall delges uppdragsgivarna. I rapporterna finns de underrättelser som framtagits genom analys och bearbetning i analysdatabasen. (Se avsnitt 8.3.2) Försvarets radioanstalts underrättelseverksamhet är av sådan art att det inte är möjligt att i detalj reglera vilka uppgifter som får behandlas i verksamheten. En noggrann reglering av vilka uppgifter som får behandlas måste också av naturliga skäl vara hemlig. I para- grafen bemyndigas regeringen, eller den myndighet som regeringen bestämmer, att meddela närmare föreskrifter eller beslut om vilka uppgifter som får behandlas i databaserna. I den till lagen före- slagna förordningen finns bestämmelser om vilka uppgifter som får behandlas. (Se avsnitt 8.3.4) I paragrafen förtydligas bestämmelsen i 1 kap. 6 § som reglerar användningen av känsliga personuppgifter och som redan den innebär en begränsning av möjligheten att använda känsliga person- uppgifter som sökord. Bestämmelserna i förevarande paragraf innebär att sökning i databaserna inte får ske uteslutande med känsliga personuppgifter som grund för sökningen. Känsliga personuppgifter får endast användas som komplement när det finns ett annat för verksamheten berättigat skäl att sökningen sker. Bestämmelserna utesluter inte att känsliga personuppgifter kan användas ensamma vid sökning. De känsliga personuppgifterna får dock inte utgöra det enda ändamålet med sökningen. (Se avsnitt 8.3.5) Direktåtkomst får förekomma endast till rapportdatabasen. Regeringen meddelar närmare föreskrifter eller beslut om vilka som får ha direktåtkomst till rapportdatabasen. Regeringen, eller den myndighet regeringen bestämmer, meddelar närmare föreskrifter eller beslut om omfattningen av direktåtkomsten. (Se avsnitt 8.3.6) 3 kap. Enskildas rättigheter m.m. Paragrafen innehåller bestämmelser om Försvarets radioanstalts skyldighet att informera den registrerade om att dennes person- uppgifter är föremål för behandling. Av 23 § personuppgiftslagen framgår att den personuppgiftsansvarige självmant skall informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som skall lämnas är enligt 25 § samma lag uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Information skall också enligt 26 § personuppgiftslagen lämnas på begäran av den registrerade. Om uppgifter behandlas skall information lämnas om vilka uppgifter det rör sig om, varifrån uppgifterna hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Information behöver dock inte lämnas om personuppgifter i löpande text som inte har fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande, under förutsättning att uppgifterna inte har lämnats ut till tredje man. Rätten till information gäller enligt 27 § personuppgiftslagen inte om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade. (Se avsnitt 8.4.1) Bestämmelser om rättelse och skadestånd finns i 28 § respektive 48 § personuppgiftslagen och gäller vid behandling av person- uppgifter i Försvarets radioanstalts underrättelseverksamhet. Rätten till skadestånd avser de särskilda regler som gäller enligt personuppgiftslagen och omfattar därför endast levande fysiska personer, men det utesluter självfallet inte att även juridiska personer kan ha rätt till ersättning enligt de allmänna skadeståndsrättsliga principer som gäller vid skada som enskilda lider till följd av offentlig verksamhet. (Se avsnitt 8.4.2) De flesta beslut som fattas i Försvarets radioanstalts verksamhet och som gäller behandling av personuppgifter enligt denna lag är interna eller administrativa och berör inte direkt enskildas intressen. Administrativa beslut fattas t.ex. om beslutar att inom en viss databas inrätta särskilda register. Enskilda berörs dock direkt av myndighetens beslut om information och rättelse efter begäran. Sådana beslut är därför överklagbara. Talan mot beslut om information och rättelse förs i den normalt gällande ordningen i fråga om förvaltningsbeslut, nämligen till allmän förvaltningsdomstol. Vid överklagande till kammarrätten krävs prövningstillstånd. (Se avsnitt 8.4.3) Bestämmelserna om enskildas rätt till information gäller inte om sekretess är föreskriven för uppgifterna. Inom Försvarets radio- anstalts underrättelseverksamhet gäller en omfattande sekretess vilket innebär att sådan information som avses i person- uppgiftslagen i stort sett aldrig kommer att lämnas. Härigenom förtas enskilda i praktiken även sin möjlighet att begära rättelse. Mot bakgrund härav skall en särskild myndighet ges i uppdrag att granska att behandlingen av personuppgifter i Försvarets radio- anstalts underrättelseverksamhet sker i enlighet med bestämmel- serna i denna lag.