sou · GRB334d1 · 2004-01-01 00:00:00 — Uppgifter om brott och användning av personnummer Vissa uppgifter som inte omfattas av definitionen av känsliga personuppgifter är ändå sådana att behandlingen av dem regleras särskilt i personuppgiftslagen. Det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser, domar och säkerhetsåtgärder i brottmål. Regeringen eller Datainspektionen har dock möjlighet att föreskriva undantag från förbudet, om det är befogat att behandlingen utförs av annan än myndighet och behandlingen står under tillfredsställande kontroll av en myndighet. Uppgifter om personnummer och samordningsnummer får behandlas bara när den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. 4.7.3Information och rättelse m.m. Personuppgiftslagen innehåller bestämmelser som avser att trygga den registrerades rätt att dels kontrollera om behandling av personuppgifter om honom eller henne pågår, dels att begära rättelse av personuppgifter som har behandlats felaktigt. Den personuppgiftsansvarige skall självmant lämna den registrerade information rörande behandling av personuppgifter, när uppgifter samlas in från den registrerade själv eller från en annan källa. I sistnämnda fall skall den registrerade som huvudregel informeras när uppgifterna noteras, men information behöver inte lämnas om det är omöjligt eller skulle innebära en oproportionerligt stor Övergripande rättslig reglering av behandling av personuppgifter arbetsinsats eller om det i lag eller annan författning finns särskilda bestämmelser om registreringen eller utlämnandet av person- uppgifter. Informationen skall omfatta uppgifter om vem den personupp- giftsansvarige är, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. Endast sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Den personuppgiftsansvarige är vidare skyldig att, efter ansökan, en gång per kalenderår gratis informera om huruvida uppgifter som rör sökanden behandlas eller inte, ändamålet med behandlingen, vilka uppgifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Under förutsättning att uppgifterna inte har lämnats ut till tredje man behöver information dock inte lämnas beträffande personuppgifter som behandlas endast i löpande text som ännu inte har fått sin slutliga utformning, om behandlingen inte har pågått , eller som utgör minnesanteckningar. Bestämmelserna om informationsskyldighet gäller över huvud taget inte om sekretess eller tystnadsplikt för uppgifterna är föreskriven i förhållande till den registrerade. Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen eller anknytande föreskrifter skall på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige. Den personuppgiftsansvarige har enligt personuppgiftslagen ett stort ansvar för säkerheten vid behandling av personuppgifter. Bland annat får de personer som arbetar med personuppgifter behandla dessa endast efter den personuppgiftsansvariges instruk- tioner. För det allmännas verksamhet gäller att om det i annan lagstiftning finns bestämmelser om säkerheten vid behandling av personuppgifter, skall i stället de bestämmelserna tillämpas. Det gäller framför allt bestämmelser om tystnadsplikt och sekretess. Övergripande rättslig reglering av behandling av personuppgifter Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtagits för att skydda de behandlade personuppgifterna. Åtgärderna skall åstadkomma en lämplig säkerhetsnivå med beaktande av de tekniska möjligheter som finns, kostnaden för att genomföra åtgärderna, riskerna med behand- lingen och hur känsliga de behandlade uppgifterna är. 4.7.5Överföring av personuppgifter till tredje land Det är enligt personuppgiftslagen förbjudet att utan samtycke från den registrerade föra över personuppgifter till en stat utanför EU eller EES (tredje land) som inte har en adekvat nivå för skyddet av personuppgifter. Vid bedömningen av om ett land har en adekvat skyddsnivå skall hänsyn tas till samtliga omständigheter som har samband med överföringen. I lagen anges att särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga mottagar- landet och de regler som finns för behandlingen i det tredje landet. Från överföringsförbudet görs vissa undantag, bl.a. om behandlingen är nödvändig för att fullgöra ett avtal som är i den registrerades intresse, för att på den registrerades begäran vidta åtgärder innan ett avtal träffas, för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda vitala intressen för den registrerade. Dessutom får regeringen i viss omfattning meddela föreskrifter om undantag från förbudet. Regeringen får meddela föreskrifter om generella undantag från förbudet att föra över personuppgifter till tredje land. Regeringen får också föreskriva undantag när det behövs med hänsyn till viktiga allmänna intressen eller om överföringen sker under sådana omständigheter att det finns tillräckliga garantier till skydd för de registrerades rättigheter. Dessutom får regeringen under vissa förutsättningar besluta om undantag från förbudet i enskilda fall. 4.7.6Datainspektionens befogenheter som tillsynsmyndighet Enligt dataskyddsdirektivet skall en särskild tillsynsmyndighet utses. I har Datainspektionen tilldelats den uppgiften. Övergripande rättslig reglering av behandling av personuppgifter ett led i sin tillsynsverksamhet skall Datainspektionen ha tillgång till behandlade personuppgifter och dessutom tillträde till lokaler med anknytning till behandlingen. Datainspektionen kan också vid vite förbjuda fortsatt behandling samt ansöka hos länsrätt om att personuppgifter skall utplånas. Helt eller delvis automatiserad behandling av personuppgifter omfattas av anmälningsskyldighet, vilket innebär att den person- uppgiftsansvarige skall anmäla sådana behandlingar till Datainspektionen. Syftet med anmälningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. Datainspektionen skall föra register över anmälda behandlingar. I såväl personuppgiftslagen som personuppgiftsförordningen (1998:1191) och föreskrifter från Datainspektionen (1998:2) föreskrivs emellertid om undantag från anmälningsskyldigheten i olika situationer. Anmälan till Datainspektionen behöver t.ex. inte göras när ett personuppgiftsombud har utsetts av den personuppgiftsansvarige. Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett korrekt och lagligt sätt. Personuppgiftsombudet skall ha en förteckning över de behandlingar som den personuppgiftsansvarige utför och han eller hon skall även hjälpa registrerade personer att få rättelse vid misstanke om att personuppgifter är felaktiga eller ofullständiga. Anmälan till Datainspektionen behöver vidare inte ske när behandlingen av personuppgifter regleras genom särskilda föreskrifter i lag eller förordning. Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada för den registrerade har han eller hon rätt till ersättning från den personuppgiftsansvarige för skada och för den kränkning av den personliga integriteten som behandlingen kan ha medfört. Skadeståndsansvaret är i princip strikt, men kan jämkas om den personuppgiftsansvarige visar att felet i behandlingen inte berodde på honom eller henne. Övergripande rättslig reglering av behandling av personuppgifter Den som uppsåtligen eller av oaktsamhet gör sig skyldig till vissa förfaranden kan dessutom dömas till böter eller fängelse. Det gäller när osanna uppgifter lämnas i information till den registrerade eller i anmälan eller information till Datainspektionen. Vidare tillämpas straffbestämmelsen om någon i strid med lagen behandlar känsliga personuppgifter, för över uppgifter till tredje land eller låter bli att göra föreskriven anmälan om behandling till Datainspektionen. Straffbestämmelsen tillämpas inte i ringa fall. 5Försvarsmaktens informations- hantering i militär underrättelse- och säkerhetstjänst Användningen av automatisk databehandling har sedan den senare delen av stadigt ökat inom all offentlig verksamhet och därmed även behandlingen av personuppgifter. Försvarsmakten och utgör därvid inget undantag. Inom den militära underrättelse- och säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet behandlas en stor mängd information, såväl personuppgifter som andra uppgifter. För att myndigheternas verksamhet skall kunna bedrivas effektivt är det i detta sammanhang av avgörande betydelse att det finns ett rationellt datorstöd. Utifrån de särskilda krav som respektive verksamheter ställer, vad gäller bl.a. informationssäkerhet och sekretess, har det inom de båda myndigheterna utvecklats olika system för att på automatiserad väg behandla den omfattande mängd uppgifter som är nödvändiga för att uppnå syftet med verksamheterna. Enligt direktiven har utredningen till uppgift att göra en översyn av regleringen av behandling av personuppgifter inom Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelse- verksamhet. Utredningen skall härvid kartlägga behandlingen av personuppgifter och analysera behovet av särskilda bestämmelser. Detta och nästföljande kapitel innehåller en beskrivning av den behandling av personuppgifter som för tillfället förekommer inom Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelse- verksamhet. Beskrivningen inleds med en redovisning av den särskilda författning, förordningen (2001:703) om viss behandling av personuppgifter inom Försvarsmakten och Försvarets radio- anstalt, som reglerar den aktuella behandlingen av personuppgifter. I övrigt behandlas frågor som rör hur uppgifter Försvarsmaktens informationshantering i militär underrättelse- och säkerhetstjänst SOU 2003:34 samlas in och lagras samt i övrigt används i verksamheterna. Även säkerhet och behörighet att ta del av behandlade uppgifter tas upp. Inom framför allt den militära säkerhetstjänsten har det fram till behandlats personuppgifter i register. Dessa är nu på väg att avvecklas och meningen är att även dessa uppgifter skall behandlas på automatiserad väg. 5.1Rättslig reglering av behandling av personuppgifter i den militära underrättelse- och säkerhetstjänsten Den behandling av personuppgifter som omfattas av utredningens uppdrag regleras i förordningen (2001:703) om viss behand- ling av personuppgifter inom Försvarsmakten och , som trädde i kraft . I förordningen finns olika allmänna bestämmelser som gäller för all behandling av personuppgifter enligt författningen, således både i Försvarsmaktens och i Försvarets radioanstalts verksamhet. Här finns bestämmelser om tillämpningsområde, personuppgiftsansvar, behandling av känsliga personuppgifter, utlämnande av uppgifter till utländsk myndighet eller internationell organisation, rättelse och skadestånd samt gallring och överklagande. Därutöver finns särskilda bestämmelser som gäller enbart för Försvarsmaktens respektive Försvarets radioanstalts behandling av personuppgifter. Bestämmelserna reglerar vilka register och databaser som får föras i respektive myndighets verksamhet samt under vilka förutsättningar som personuppgifter får behandlas i verksamheten. Tillämpningsområde (1–2 samt 7 och 13 §§) Förordningen gäller utöver personuppgiftslagen (1998:204) i fråga om viss behandling hos myndigheterna som är helt eller delvis automatiserad. Detta innebär att det är personuppgiftslagens regler som bestämmer förutsättningarna för behandling av personupp- gifter, i den mån det inte finns avvikande bestämmelser i den särskilda förordningen. Förordningen gäller för Försvarsmakten när myndigheten full- gör uppgifter enligt lagen (2000:130) om försvarsunderrättelse- verksamhet, förordningen (2000:131) om försvarsunderrättelse- verksamhet och säkerhetsskyddslagen (1996:627). Enligt förord- ningen skall Försvarsmakten bedriva försvarsunderrättelse- SOU 2003:34 Försvarsmaktens informationshantering i militär underrättelse- och säkerhetstjänst verksamhet och säkerhetsskyddsverksamhet. Någon definition av begreppen ges inte i förordningen, på annat sätt än att hänvisning görs till de nämnda författningarna. Definitioner (2 §) De begrepp som används i förordningen har samma betydelse som i personuppgiftslagen. Personuppgiftsansvarig (3 §) I förordningen anges att Försvarsmakten och Försvarets radio- anstalt är personuppgiftsansvariga för den behandling av personuppgifter som myndigheterna har att utföra enligt nämnda författningar. Behandling av känsliga personuppgifter (4 §) Enligt personuppgiftslagen är det förbjudet att behandla person- uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Det är vidare förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Det finns vissa undantag från förbudet, bl.a. om samtycke har lämnats. Övriga undantag från förbudet är inte tillämpliga på försvarsunderrättelseverksamhet och militär säkerhetstjänst. Det krävs därför särskilda bestämmelser i annan författning för att behandling av sådana uppgifter skall vara tillåten utan samtycke. Enligt förordningen får känsliga personuppgifter såsom upp- gifter om ras, politiska åsikter, religiös övertygelse, medlemskap i fackförening, hälsa eller sexualliv inte utgöra ensam grund för behandling. Behandlas uppgifter om en person på annan grund får uppgifterna dock kompletteras med sådana känsliga person- uppgifter, om det är nödvändigt för syftet med behandlingen. Utlämnande av uppgifter (5 §) Uppgifter får lämnas ut till en utländsk myndighet eller en inter- nationell organisation endast om utlämnandet tjänar den svenska Försvarsmaktens informationshantering i militär underrättelse- och säkerhetstjänst SOU 2003:34 statsledningen eller det svenska totalförsvaret och inte är till skada för svenska intressen. Rättelse och skadestånd (6 §) I fråga om rättelse och skadestånd anges att bestämmelserna i personuppgiftslagen gäller. Gallring (16 §) Personuppgifter skall enligt personuppgiftslagen inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Personuppgifter får dock bevaras för historiska, statistiska eller vetenskapliga ändamål. Bestämmelserna i person- uppgiftslagen hindrar inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Genom arkivlagen (1990:782) är myndigheterna som huvudregel ålagda att bevara allmänna handlingar. Personuppgifter som behandlats enligt förordningen skall gallras senast efter den senaste införda uppgiften om den registrerade. Om det finns särskilda skäl får dock uppgifterna stå kvar . får, efter samråd med Försvars- makten eller , meddela föreskrifter om att uppgifter som skall gallras får bevaras för historiska, statistiska eller vetenskapliga ändamål. Överklagande (17 §) Andra beslut än beslut om rättelse enligt 6 § i förordningen och om avslag på ansökan om information enligt 26 § personuppgiftslagen får inte överklagas. Försvarsunderrättelseregister (7–9 §§) Utöver de allmänna bestämmelserna gäller att Försvarsmakten skall föra försvarsunderrättelseregister och säkerhetsregister. Ett försvarsunderrättelseregister har till särskilt ändamål att underlätta tillgången till allmänna uppgifter med anknytning till försvars- underrättelseverksamhet samt att ge underlag för säkerhetspolitiska SOU 2003:34 Försvarsmaktens informationshantering i militär underrättelse- och säkerhetstjänst och militärstrategiska bedömningar, analys av pågående och bedömda framtida konflikter samt biografisk försvarsunderrättelse- tjänst. Försvarsunderrättelseregister får endast innehålla personupp- gifter om det är nödvändigt för att Försvarsmakten skall kunna fullgöra sina uppgifter enligt lagen och förordningen om försvars- underrättelseverksamhet. I övrigt får försvarsunderrättelseregister endast innehålla identifieringsuppgifter, uppgifter om de omständigheter och händelser som ger anledning att anta att den registrerade har betydelse för försvarsunderrättelseverksamheten, och upplysningar om varifrån den registrerade uppgiften kommer och om uppgiftslämnarens trovärdighet. Säkerhetsregister (13–15 §§) Försvarsmakten skall föra säkerhetsregister, i den omfattning som är nödvändigt, för att kunna bedriva säkerhetsskyddsverksamhet. Ändamålet med sådan behandling är att ge underlag för beslut eller bedömningar i frågor som syftar till att förhindra säkerhetshotande verksamhet som riktas mot Försvarsmakten, andra myndigheter eller någon annan som Försvarsmakten enligt säkerhetsskydds- förordningen (1996:633) har tillsyn över. Ett säkerhetsregister får endast innehålla personuppgifter om personen kan misstänkas för att ha utövat eller komma att utöva verksamhet som innefattar hot mot rikets säkerhet eller terrorism, om uppgifter förekommer i samband med att en person har genomgått registerkontroll enligt säkerhetsskyddslagen, om det kan antas att personen bedriver annan säkerhetshotande verk- samhet och det finns särskilda skäl till att registret skall innehålla uppgiften eller om personen har lämnat uppgifter om säkerhets- hotande verksamhet. I övrigt får ett säkerhetsregister endast innehålla identifierings- uppgifter, uppgifter om de omständigheter och händelser som ger anledning att anta att den registrerade har betydelse för myndig- hetens verksamhet att förhindra säkerhetshotande verksamhet, upplysningar om varifrån den registrerade uppgiften kommer och om uppgiftslämnarens trovärdighet, och hänvisning till de ärenden där uppgifter om den registrerade behandlas. Försvarsmaktens informationshantering i militär underrättelse- och säkerhetstjänst SOU 2003:34 5.2Behandling av personuppgifter i den militära underrättelse- och säkerhetstjänsten I den militära underrättelse- och säkerhetstjänsten förekommer alla former av behandling av personuppgifter. Personuppgifter behand- las helt manuellt i särskilda register och i löpande text i olika pappersdokument. Behandling av personuppgifter sker också automatiserat i enskildas handläggares fristående persondatorer samt i elektroniska uppgiftssamlingar där personuppgifterna är gemensamt tillgängliga för flera personer i verksamheten. De register som förs, i framför allt den militära säkerhets- tjänsten, är på väg att datoriseras. För att kunna behandla personuppgifter på ett effektivt och ändamålsenligt sätt, anpassat till den stora informationsmängd som är nödvändig för verksam- heten, har det inom den militära underrättelse- och säkerhets- tjänsten utarbetats flera olika datorbaserade system. I den militära underrättelse- och säkerhetstjänsten hämtas upp- gifter in med hjälp av flera olika metoder. Huvudsakligen samlas uppgifter in från olika former av öppna källor såsom tidskrifter och litteratur samt via Internet. Inom den militära underrättelse- och säkerhetstjänsten (MUST) finns en särskild sektion, Sektionen för öppna källor, som enbart arbetar med att söka information i sådana allmänt tillgängliga källor. Försvarsattachéerna vid olika ambassader är under- ställda chefen för och även de har till uppgift att på öppen väg hämta in information om bl.a. militärpolitiska förhållanden och om den militärtekniska utvecklingen i värdlandet. Försvarsatta- chéerna rapporterar också om de säkerhetspolitiska förhållanden i värdlandet som kan få konsekvenser för . Den under- rättelseinformation som attachéerna förmedlar hämtas i första hand in genom egna observationer vid möte med utländska kollegor och företrädare för värdlandet samt via öppna källor såsom radio, TV, tidningar och tidskrifter. Försvarsattachéerna rapporterar till Högkvarteret/MUST via ett särskilt datasystem som beskrivs nedan. Inom ramen för deltagande i internationella freds- bevarande och humanitära insatser hämtar svenska förbandsenheter in information, som kan vara av betydelse främst för underrättelse- SOU 2003:34 Försvarsmaktens informationshantering i militär underrättelse- och säkerhetstjänst verksamheten och säkerhetsskyddet vid den enskilda operationen. Kommunikation av sådana uppgifter med Högkvarteret/MUST sker även den i ett särskilt datasystem som beskrivs närmare nedan. Försvarsmakten bestämmer som uppdragsgivare till viss del inriktningen av Försvarets radioanstalts signalspaning. Den militära underrättelse- och säkerhetstjänsten är också en av de viktigaste mottagarna av de underrättelserapporter som Försvarets radio- anstalt förmedlar. Den militära underrättelse- och säkerhetstjänsten har vidare en dold verksamhet som utförs av Kontoret för särskild inhämtning (KSI). KSI arbetar uteslutande med insamling av underrättelser och använder sig härvid av särskilda metoder. Med särskilda metoder avses förfaringssätt som det inte ankommer på andra under- rättelseorgan att använda. Det underrättelsematerial som KSI hämtar in överlämnas i form av rapporter till MUST för vidare bearbetning. KSI utför även inhämtningsuppdrag för andra underrättelsemyndigheter såsom () och (). Till en liten del får MUST uppgifter även från enskilda, t.ex. officerare på utlandsbesök eller privatpersoner med utlands- kontakter, som på eget initiativ vänder sig till myndigheten med information som kan vara av underrättelsekaraktär. Information som på dessa sätt kommer in till den militära underrättelse- och säkerhetstjänsten kan hänföras till både försvarsunderrättelseverksamhet och säkerhetstjänst beroende på arten av den information som erhålls. När det gäller information som uteslutande rör säkerhetstjänst är det vanligast att uppgifterna kommer in i form av en anmälan eller en rapport om en faktisk säkerhetshändelse, t.ex. ett inbrott eller att en hemlig handling har förkommit. Säkerhetstjänsten har också ett samarbete med Säkerhetspolisen () som överlämnar information som är av intresse för Försvarsmakten. De uppgifter som hämtas in i den militära underrättelse- och säkerhetstjänsten kan naturligtvis avse alla typer av uppgifter, såväl personuppgifter som andra uppgifter vilka inte alls kan hänföras till viss person, t.ex. uppgifter om främmande makts militära strids- krafter. När det gäller personuppgifter förekommer i försvars- underrättelseverksamhet bl.a. uppgifter om personer som verkar inom andra staters försvars- och underrättelseväsenden och personer som förekommer i underrättelserapporter eller kan komma att få ett underrättelsevärde. I säkerhetstjänsten före- kommer uppgifter om t.ex. personer vid andra staters under- Försvarsmaktens informationshantering i militär underrättelse- och säkerhetstjänst SOU 2003:34 rättelseväsenden eller annan företrädare för främmande makt som bedöms kunna utgöra ett säkerhetshot, personer som varit föremål för registerkontroll enligt säkerhetsskyddslagen och personer som av annan anledning är av betydelse för säkerhetsfunktionen inom Försvarsmakten och dess tillsynsområde. Det är för ändamålet med den militära underrättelse- och säkerhetstjänsten betydelsefullt att myndigheten har möjlighet att på ett effektivt sätt behandla alla kända uppgifter om sådana personer. 5.3System för automatiserad behandling av personuppgifter m.m. Inom den militära underrättelse- och säkerhetstjänsten finns flera olika datoriserade system som används för automatiserad behandling av personuppgifter. Systemen är individuellt utformade och anpassade till de olika ändamål inom verksamheten som de skall tjäna.