sou · GRB334d1 · 2004-01-01 00:00:00 — Försvarets underrättelseverksamhet och säkerhetstjänst SOU och Ds kan köpas från kundtjänst. För remissutsändningar av SOU och Ds svarar på uppdrag av förvaltningsav- delning. Beställningsadress: kundtjänst 106 47 Orderfax: Ordertel: E-post: Internet: Svara på remiss. Hur och varför. Statsrådsberedningen, 1993. – En liten broschyr som underlättar arbetet för den som skall svara på remiss. Broschyren kan beställas hos: Fax: 08–405 42 95 Telefon: 08–405 47 29 /propositioner/sou/pdf/remiss.pdf Omslaget pryds av Försvarsmaktens och Försvarets radioanstalts vapen. Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild utredare för att göra en översyn av regleringen av behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksam- het och den militära säkerhetstjänsten samt i Försvarets radio- anstalts underrättelseverksamhet. Utredaren skulle kartlägga behandlingen av personuppgifter och analysera behovet av särskilda bestämmelser. Utgångspunkten var att myndigheternas verksamhet skall kunna bedrivas effektivt med rationellt datorstöd som nödvändig respekt visas för enskildas personliga integritet. Utredaren fick i uppdrag att lämna förslag till reglering i lag. förordnade dåvarande statsrådet, numera talman kammarrättslagmannen att från vara särskild utredare. Som experter har från medverkat rättssakkunnige , rättssakkunnige , kammarrättsassessorn , verksjuristen , avdelningsdirektören och förste arkivarien . Försvarsjuristen förordnades som expert från . Sekreterare åt utredningen har varit kammarrättsassessorn . Utredningen har antagit namnet (Fö 2002:01) Härmed överlämnar utredningen sitt betänkande FÖRSVARETS UNDERRÄTTELSEVERKSAMHET OCH SÄKERHETSTJÄNST Integritet – Effektivitet (SOU 2003:34). Arbetet har bedrivits i nära samråd med berörda experter. Betänkandet är därför skrivet i vi-form. Utredningens uppdrag är härmed slutfört. 1Förslag till lag om behandling av uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten ................................................. 2Förslag till lag om behandling av uppgifter i Försvarets Förslag till lag om ändring i sekretesslagen (1980:100)......... 4Förslag till förordning om behandling av uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten ................................................. 5Förslag till förordning om behandling av uppgifter i Försvarets radioanstalts underrättelseverksamhet ................. 6Förslag till förordning om ändring i förordningen (1988:552) med instruktion för Försvarets 7Förslag till förordning om upphävande av förordningen (2001:703) om viss behandling av personuppgifter inom BAKGRUNDEN TILL VÅRA FÖRSLAG den militära säkerhetstjänsten...................................... Försvarsmaktens organisation och verksamhet..................... Den militära underrättelse- och säkerhetstjänsten................ 2.2.2 MUST:s uppgifter och verksamhet............................. Lagen om försvarsunderrättelseverksamhet ............... 2.5 Militär säkerhetstjänst............................................................. Den militära säkerhetstjänstens uppgifter .................. 2.6Författningsreglering av säkerhetsskyddet inom Försvarets radioanstalts underrättelseverksamhet ........... Försvarets radioanstalts organisation..................................... Försvarets radioanstalts uppgifter och verksamhet............... Försvarets radioanstalts delgivning av underrättelser ........... 4Övergripande rättslig reglering av behandling av 4.2Europarådets rekommendation om användning av personuppgifter inom polissektorn........................................ 4.3 Riktlinjer från ............................................................. 4.4.2 Bestämmelser om när personuppgifter får 4.4.3 Information och rättelse m.m. ..................................... 4.4.5 Överföring av personuppgifter till tredje land............ 4.6Europeiska unionens stadga om de grundläggande 4.7.1 Allmänt om lagen och dess tillämpningsområde ........ 4.7.2 Förutsättningar för behandling av 4.7.3 Information och rättelse m.m. ................................... Säkerhet vid behandlingen.......................................... 4.7.5 Överföring av personuppgifter till tredje land.......... 5Försvarsmaktens informationshantering i militär underrättelse- och säkerhetstjänst .............................. 5.1Rättslig reglering av behandling av personuppgifter i den militära underrättelse- och säkerhetstjänsten....................... 5.2 Behandling av personuppgifter i den militära underrättelse- och säkerhetstjänsten..................................... 5.3 System för automatiserad behandling av 5.3.1 Informationsdatabasen – Sektionen för öppna 5.3.2 Informationssystem för den militära under- rättelse- och säkerhetstjänsten () ........ 5.3.3 MUST:s internationella sambands- och kryptosystem ()............................................. 5.3.4 Bearbetning Analys Internationella Operationer (BANIO).................................................................... Totalförsvarets signalskyddssamordning (TSA)...... 5.3.6 Övriga system för automatiserad behandling av 6Försvarets radioanstalts informationshantering i 6.1Rättslig reglering av behandling av personuppgifter i Försvarets radioanstalts underrättelseverksamhet .............. 6.2Behandling av personuppgifter i Försvarets radioanstalts 6.3System för automatiserad behandling av 6.3.1 Urvalsdatabasen – planering och inriktning ............. 6.3.2 Källdatabasen – inhämtning genom signalspaning... 6.3.3 Databasen för öppna källor – inhämtning ................ 6.3.4 Analysdatabasen – bearbetning och analys............... 6.3.5 Rapportdatabasen – delgivning.................................. Övergripande frågor och principer ............................... Behovet av datorstöd............................................................. Skyddet för den personliga integriteten............................... Lag, förordning eller myndighetsföreskrifter...................... Grundläggande begrepp – databas eller register .................. 8.1Lagstiftningens systematik och allmänna 8.2 Allmänna bestämmelser ........................................................ Förhållandet till personuppgiftslagen........................ 8.2.4 Tillåtna ändamål för behandling av uppgifter............ 8.2.5 Behandling av känsliga personuppgifter .................... 8.2.6 Överföring av personuppgifter till tredje land.......... 8.3 Behandling av uppgifter i databaser ...................................... Försvarets radioanstalts databaser ............................. 8.3.4 Uppgifter som får behandlas...................................... 8.3.5 Begränsningar vid sökning i databaserna................... 8.4 Enskildas rättigheter .............................................................. Rättelse och skadestånd.............................................. 8.5Särskild granskning till skydd för den personliga 8.5.2 Vårt förslag om särskild granskning .......................... Bevarande och gallring ........................................................... Utlämnande av uppgifter ....................................................... 9.2.1 Sekretess och utlämnande av uppgifter till utländsk myndighet eller internationell 9.2.2 Utlämnande av uppgifter på medium för Sekretess till skydd för enskilds personliga eller Ikraftträdande- och övergångsbestämmelser ................ Konsekvenser av våra förslag 13.1Förslag till lag om behandling av uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten............................................... Förslag till lag om behandling av uppgifter i Försvarets Förslag till lag om ändring i sekretesslagen (1980:100) ...... Bilaga 1: Kommittédirektiv 2002:13 .............................................. Bilaga 2: Försvarets radioanstalts underrättelseproduktion......... Några allmänna utgångspunkter för uppdraget trädde personuppgiftslagen (1998:204) i kraft. Genom lagen genomförde och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Vi har haft i uppdrag att göra en översyn av regleringen av behandling av personuppgifter i Försvarsmaktens försvarsunder- rättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet. Den närmare regleringen av behandlingen av personuppgifter inom dessa verk- samheter finns i förordningen (2001:703) om viss behandling av personuppgifter inom Försvarsmakten och . Syftet med vårt uppdrag har varit att kartlägga behandlingen av personuppgifter och analysera behovet av särskilda bestämmelser samt lämna förslag till reglering i lag. I uppdraget har ingått att granska frågor som rör användning, inhämtande, utlämnande, gallring och arkivering av personuppgifter samt tillsyn över behandlingen. Vår utgångspunkt för uppdraget har varit att myndigheternas verksamhet skall kunna bedrivas effektivt och med ett rationellt datorstöd som nödvändig respekt visas för enskildas personliga integritet. Vi har även haft att beakta det internationella inslaget i myndigheternas verksamheter. Övergripande principer för ny lagstiftning Lag, förordning och myndighetsföreskrifter Utvecklingen inom datorområdet visar att lagstiftning som reglerar användningen av datorstöd måste vara teknikneutral och flexibel, för att inte hindra den effektivisering av verksamheterna som kontinuerligt pågår. är det mycket viktigt att det i lagstiftningen tas hänsyn till de registrerades personliga integritet. I den militära underrättelse- och säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet hanteras stora mängder information som kan vara av känslig natur för de inblandade personerna. Hos båda myndigheterna pågår ständigt en teknisk utveckling av datorsystemen med ökade möjligheter att behandla och söka i stora uppgiftsmängder, vilket kan medföra en ökad risk för att enskilda drabbas av oacceptabla intrång i den personliga sfären. Det är viktigt att inte hamna i en situation där den tekniska utvecklingen styr den rättsliga regleringen, eller där den rättsliga regleringen onödigt hämmar effektiviseringen. Det är därför nödvändigt med en lagstiftning som enbart tar sikte på principiellt viktiga frågor och så långt som möjligt lämnar detaljregleringen därhän. Att beakta i samman- hanget är också att de aktuella verksamheterna är av sådan art att det inte är möjligt att i lagform reglera dem i detalj. Vi föreslår därför att de grundläggande principerna för behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverk- samhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet skall regleras särskilt i lag, medan kompletterande bestämmelser skall meddelas av regeringen eller den myndighet regeringen bestämmer. För behandling av personuppgifter i myndigheternas administra- tiva verksamhet, t.ex. i arbetsgivarfrågor, anser vi det tillräckligt med personuppgiftslagens bestämmelser och föreslår därför ingen särskild reglering inom det området. Utgångspunkten för vårt uppdrag att reglera viss behandling av personuppgifter hos Försvarsmakten och har varit att myndigheternas verksamheter skall kunna bedrivas effektivt som nödvändig respekt visas för enskildas personliga integritet. Vid denna avvägning mellan integritet och effektivitet är det enligt vår uppfattning två omständigheter som framstår som särskilt betydelsefulla. För det första är det de ändamål för vilka behandling av personuppgifter får ske och för det andra den säkerhet och sekretess som gäller i verksamheterna. Försvarsunderrättelseverksamhet bedrivs dels för att kartlägga yttre militära hot mot landet, dels till stöd för svensk utrikes-, försvars- och säkerhetspolitik. Den militära säkerhetstjänsten har till uppgift att upptäcka, identifiera och möta säkerhetshot som riktas mot Försvarsmakten och dess intressen. Verksamheterna utgör grundläggande och viktiga samhällsfunktioner av stor betydelse för yttre säkerhet och för att stärka samhället vid svåra påfrestningar i fred. Vi anser därför att en lagstiftning om behandling av personuppgifter måste ge Försvarsmakten och möjlighet att bedriva de aktuella verksamheterna på ett ändamålsenligt och effektivt sätt, även om det av vissa personer kan uppfattas medföra ett visst intrång i den personliga integriteten. Försvarsunderrättelseverksamhet och militär säkerhetstjänst är verksamheter som av naturliga skäl till stor del måste vara hemliga. Många uppgifter som hanteras är känsliga såväl med hänsyn till förhållande till främmande makt som till skyddet för rikets säkerhet. Det är också viktigt att skydda uppgiftslämnare och arbetsmetoder. Den omfattande sekretess som omgärdar verksam- heterna medför emellertid att det i jämförelse med annan verksamhet är mindre risk för att personuppgifter sprids till utomstående. Härmed är det i motsvarande mån mindre risk för att uppgifterna skall behandlas i strid med gällande ändamål, vilket i sig utgör ett skydd för den personliga integriteten. Grundläggande för våra författningsförslag är att vi i lag anger tydliga och konkreta ändamål för behandling av personuppgifter. Behandling av personuppgifter som sker uteslutande enligt dessa särskilt fastlagda ändamål medför enligt vår uppfattning – med beaktande av den sekretess och säkerhet i övrigt som gäller i verksamheterna – inte någon påtaglig risk för otillbörligt intrång i registrerades personliga integritet. Vissa användningar, såsom t.ex. behandling av känsliga personuppgifter och annans direktåtkomst till elektroniskt lagrad information måste emellertid regleras särskilt. För att motverka den brist på insyn som följer av reglerna om sekretess bör vidare ett oberoende organ få till särskild uppgift att granska behandlingen av personuppgifter, för att ytterligare tillförsäkra att otillbörligt intrång i registrerades personliga integritet inte sker. Lagstiftningens systematik och tillämpningsområde m.m. Vi föreslår att den gällande förordningen (2001:703) om viss behandling av personuppgifter inom Försvarsmakten och Försvarets radioanstalts skall ersättas av två nya lagar med tillhörande förordningar. Den ena lagen reglerar behandling av uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten, medan den andra omfattar behandling av uppgifter i Försvarets radioanstalts underrättelse- verksamhet. De nya lagarna har samma inbördes systematik och delas in i tre kapitel. I ett första kapitel finns allmänna bestämmelser som i princip är tillämpliga på all behandling av uppgifter som omfattas av lagen. Det andra kapitlet innehåller särskilda bestämmelser som endast gäller automatiserad behandling av uppgifter i gemensamma databaser. I det avslutande kapitlet finns bestämmelser om enskildas rättigheter vid behandling av personuppgifter, nämligen om information, rättelse, skadestånd och överklagande samt bestämmelser om särskild granskning till skydd för registrerades personliga integritet. Lagarna tillämpas vid behandling av personuppgifter som är helt eller delvis automatiserad. Även behandling av personuppgifter i vissa register omfattas av lagarnas tillämpningsområde. Grundläggande bestämmelser i lagarna, t.ex. när det gäller ändamålen med och ansvaret för behandlingen, är tillämpliga även vid behandling av uppgifter om juridiska personer. Lagarna gäller i stället för personuppgiftslagen, vars bestäm- melser tillämpas på behandling av personuppgifter hos Försvars- makten och endast när det anges särskilt. De bestämmelser i personuppgiftslagen som är allmänt tillämpliga är de om definitioner, förhållandet till offentlighetsprincipen, grundläggande krav på behandling, säkerheten vid behandling, personuppgiftsombudets uppgifter samt tillsynsmyndighetens befogenheter och straff. Försvarsmakten och är personuppgifts- ansvariga för den behandling som myndigheterna utför eller som det åligger dem att utföra. Tillåtna ändamål för behandling av personuppgifter Försvarsmaktens och Försvarets radioanstalts behandling av personuppgifter skall styras av särskilt angivna och tydliga ändamål, vilka skall framgå av lag. Försvarsmakten får behandla personuppgifter för ändamålen försvarsunderrättelseverksamhet och militär säkerhetstjänst. Med försvarsunderrättelseverksamhet avses att inhämta, bearbeta och analysera samt delge information dels för att kartlägga yttre militära hot mot landet, dels till stöd för svensk utrikes-, försvars- och säkerhetspolitik. Uppgifter får behandlas för säkerhetspolitiska och militärstrategiska bedömningar, analys av pågående och bedömda framtida konflikter samt biografisk försvarsunderrättelse- verksamhet. I den militära säkerhetstjänsten får uppgifter behandlas för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess intressen. I verksamheten ingår att klarlägga verksamhet som innefattar hot mot rikets säkerhet och personer med anknytning till sådan verksamhet, att vidta åtgärder som hindrar eller försvårar säkerhetshotande verksamhet och att förhindra obehörig insyn i och påverkan av totalförsvarets telekommunikations- och informationssystem. I den militära säkerhetstjänsten får uppgifter om en person behandlas endast om personen har samband med säkerhetshotande verksamhet. Sådana uppgifter skall också förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Är personen inte misstänkt för att ha utövat eller komma att utöva säkerhetshotande verksamhet får uppgifter om denne behandlas endast om det klart framgår att sådan misstanke inte föreligger. får behandla uppgifter för att bedriva försvarsunderrättelseverksamhet samt för att i övrigt utföra de uppgifter som enligt instruktionen åligger myndigheten i dess underrättelseverksamhet. Med försvarsunderrättelseverksamhet avses här detsamma som ovan beskrivits för Försvarsmakten. bedriver emellertid inte enbart militärt inriktad underrättelseverksamhet utan har också andra uppgifter som regeringens civila inhämtningsorgan i utrikes- och säkerhetspolitiska frågor. skall även med sin tekniska expertis lämna stöd för annan myndighetsverksamhet än sådan som rör yttre hot mot rikets säkerhet. Behandling av känsliga personuppgifter Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter). Om uppgifter om en person behandlas på annan grund får de emellertid kompletteras med känsliga personuppgifter, när det är nödvändigt för syftet med behandlingen. Vid sökning i Försvarsmaktens och Försvarets radioanstalts databaser får känsliga personuppgifter inte användas som sökbegrepp om det inte är nödvändigt. Sökning får inte ske enbart med en känslig personuppgift som grund utan måste även stödjas av ett för verksamheten annat berättigat skäl, och skall dessutom föregås av ett noggrant övervägande huruvida användningen av personuppgifterna tillför något av värde för verksamheten. Det internationella samarbetet inom underrättelse- och säker- hetstjänsten är av mycket stor betydelse för . Av gällande lagstiftning och regeringens regleringsbrev framgår att för såväl Försvarsmakten som skall samarbete med andra länder och internationella organisationer vara en naturlig del av verksamheten. För att främja internationellt samarbete inom underrättelse- och säkerhetstjänsten anser vi att uppgifter för vilka sekretess gäller bör få lämnas ut till en utländsk myndighet eller en internationell organisation om utlämnandet tjänar den svenska statsledningen och det svenska totalförsvaret samt om lämnade uppgifter inte är till skada för svenska intressen. Enligt vår uppfattning behöver utlämnande av uppgifter på medium för automatiserad behandling inte regleras särskilt. Sådant utlämnande kan förekomma till annan svensk myndighet och till annan stat eller internationell organisation. För svenska myndig- heter finns ofta särskilda registerförfattningar som reglerar behandlingen av personuppgifter. Utlämnande till andra länder och internationella organisationer omfattas av höga krav på säkerhet och sekretess som betingas av ändamålet för verksamheten. Någon särskild integritetsskyddande regel är därför enligt vår mening inte nödvändig i dessa sammanhang. På grund av anslutning till dataskydds- konvention är det emellertid nödvändigt med särskilda bestäm- melser vid utlämnande av personuppgifter till andra länder. Vi föreslår därför att uppgifter som behandlas med stöd av de författningar vi föreslår får lämnas ut till andra länder om sekretess inte hindrar det och det behövs för att myndigheterna skall kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet eller det annars är nödvändigt för verksamheten. Bestämmelsen innebär inte i sig någon begränsning av myndigheternas möjlighet att lämna ut uppgifter, utan detta får i sin helhet avgöras efter försvars- och säkerhetspolitiska överväganden. Behandling av uppgifter i databaser Hos myndigheter behandlas personuppgifter med datorstöd på i huvudsak två principiellt och tekniskt skilda sätt. För det första används persondatorer på så sätt att endast ett fåtal personer kan ta del av informationen, t.ex. enskilda tjänstemän som upprättar promemorior och beslutsunderlag m.m. samt skickar och tar emot e-post. För det andra används i stor utsträckning allmänt åtkomliga dataregister i form av gemensamma system med information som behövs i myndighetens verksamhet. Den senare formen av dator- stöd anser vi bör omgärdas av särskilda skyddsregler, eftersom integritetsriskerna ökar när stora mängder information behandlas gemensamt. Vi föreslår att sådan behandling skall samlas under det rättsliga begreppet databas. Det rättsliga begreppet databas kan omfatta flera mindre register, databaser eller datorsystem. Olika regler skall således gälla för Försvarsmaktens respektive Försvarets radioanstalts behandling av uppgifter beroende på om behandlingen utförs av enskilda tjänstemän och uppgifterna inte görs tillgängliga för gemensam användning i verksamheten, eller om behandlingen är automatiserad och utförs i en särskild samling av uppgifter som används gemensamt i verksamheten (databaser). bedriver underrättelseverksamhet genom att inhämta information dels via signalspaning dels från öppna källor. Försvarets radioanstalts system för behandling av person- uppgifter i dess underrättelseverksamhet är helt anpassat till underrättelseprocessens led med planering och inriktning, inhämtning, bearbetning och analys samt delgivning. I enlighet härmed skall det för uppgifter som används vid planering och inriktning av myndighetens underrättelseverksamhet på kort och på lång sikt finnas en urvalsdatabas. Information som hämtas in genom signalspaning skall lagras i en källdatabas medan övrig information lagras i en databas för öppna källor. Bearbetning och analys av inhämtad underrättelseinformation skall ske i en analysdatabas och de underrättelserapporter som är färdiga för delgivning skall slutligen lagras i en rapportdatabas. Inom den militära underrättelse- och säkerhetstjänsten finns det två typer av register eller databaser, antingen för öppen eller för hemlig information. Enligt den reglering av Försvarsmaktens databaser som vi föreslår skall det finnas en informationsdatabas samt en underrättelse- och säkerhetsdatabas. I informations- databasen får Försvarsmakten behandla information som inte är hemlig och som hämtats in från allmänt tillgängliga öppna källor. Hemliga uppgifter lagras hos Försvarsmakten i flera olika datorbaserade system anpassade till ändamålet med den särskilda behandlingen.