sou · GRB334d2 · 2004-01-01 00:00:00 — 7Övergripande frågor och principer Inom den militära underrättelse- och säkerhetstjänsten utgör användningen av datorer ett naturligt och omfattande inslag i arbetet. För Försvarets radioanstalts under- rättelseverksamhet är hantering av uppgifter med hjälp av datorer den helt dominerande arbetsmetoden. I båda verksamheterna pågår en ständig teknisk utveckling av datorsystemen och lagstiftning som reglerar användningen av datorstöd måste därför vara teknik- neutral och flexibel, för att inte hindra framtida effektivisering av verksamheterna. Det är näst intill omöjligt för lagstiftaren att hålla jämn takt med den informationstekniska utvecklingen. För att inte hamna i en situation där den tekniska utvecklingen styr den rättsliga regleringen, eller där den rättsliga regleringen onödigt hämmar effektiviseringen, är det enligt vår mening nödvändigt med en lagstiftning som enbart tar sikte på principiellt viktiga frågor. Detaljfrågor måste regleras i annan ordning än i lag. Lagstiftningen skall med andra ord på ett övergripande plan styra hur person- uppgifter får behandlas med hjälp av datorteknik som den rättsliga regleringen inte får tillåtas förhindra eller försvåra en välkommen effektivisering, om det inte är nödvändigt av integritetsskäl. 7.2Skyddet för den personliga integriteten De grundläggande bestämmelserna till skydd för den personliga integriteten finns i regeringsformen. Redan i 1 kap. 2 § slås fast att det allmänna skall värna om den enskildes privatliv. Denna intention kommer till uttryck i stora delar av den lagstiftning som reglerar det allmännas handlande gentemot enskilda och även Övergripande frågor och principer enskildas handlande gentemot varandra. Som exempel på sådan lagstiftning kan nämnas sekretesslagen (1980:100). Av stor betydelse är även rätten för enskilda att enligt 2 kap. tryckfrihets- förordningen ta del av allmänna handlingar (handlingsoffentlighet). Härigenom garanteras enskilda insyn i och kontroll av den offentliga förvaltningen, vilket kan vara positivt från integritets- synpunkt. Offentligheten kan emellertid även innebära nackdelar från integritetssynpunkt, eftersom enskilda tvingas acceptera att uppgifter om dem kan vara åtkomliga för andra personer. I 2 kap. 3 § andra stycket regeringsformen finns en särskild bestämmelse som avser integritetsskyddet vid automatiserad behandling av personuppgifter. Där sägs att varje medborgare, i den utsträckning som närmare anges i lag, skall skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Den författ- ning som har som syfte att i första hand uppfylla regerings- formens intentioner i fråga om integritetsskydd i datoriserad verksamhet är personuppgiftslagen (1998:204). Härutöver finns särskilda registerförfattningar som reglerar en stor del av den offentliga verksamheten. Integritetsskyddande bestämmelser om utlämnande av personuppgifter finns även i sekretesslagen. Det är inte möjligt att definiera exakt vad som avses med personlig integritet. Inte minst är det svårt på grund av att uppfattningen om vad som är en rent personlig sfär varierar mellan olika personer. Dessutom förändras inställningen till integritet över tiden. Det kan också konstateras att varken svensk lagstiftning eller doktrin innehåller någon enhetlig definition av begreppet. När det gäller uppgifter som är personliga kan det också ha betydelse i vilket sammanhang de används om den enskilde uppfattar det som att hans integritet har kränkts eller inte. Av allt att döma finns det emellertid enighet om att vissa faktorer är särskilt viktiga att ta hänsyn till när det gäller att bedöma integritetskänsligheten vid automatiserad behandling av personuppgifter. Det gäller arten av personuppgifter som samlas in och registreras, varför detta görs, hur och av vem uppgifterna används samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. bör beaktas att rätten till personlig integritet inte är absolut utan från tid till annan föremål för inskränkningar. En väl fungerande samhällsorganisation kommer alltid att medföra intrång i enskildas personliga integritet. Avgörande blir i detta sammanhang vad som Övergripande frågor och principer kan tolereras och vad som utgör ett otillbörligt intrång i den personliga integriteten. Enligt vår mening kan stora informationsmängder, som är samlade så att uppgifter är enkelt sökbara på elektronisk väg och som används vid myndighetsverksamhet, medföra en påtaglig risk för att enskilda personer utsätts för icke acceptabla intrång i den personliga sfären. Den militära underrättelse- och säkerhets- tjänstens samt Försvarets radioanstalts användning av datorer kan alltså i och för sig utgöra ett hot mot den personliga integriteten. Detta måste beaktas vid utformningen av lagstiftningen inom området. Vid bedömningen av hur integritetsintressena skall tas till vara måste emellertid hänsyn också tas till de speciella verksamheter som myndigheterna bedriver. Det är av naturliga skäl inte önskvärt att genom begränsande regler för behandlingen av personuppgifter frånta Försvarsmakten och möjligheten att bedriva en till skydd för intressen och säkerhet effektiv underrättelseverksamhet och säkerhetstjänst. Det måste också beaktas att verksamheterna av naturliga skäl i stora delar är hemliga och att de personuppgifter som behandlas därför i mycket stor omfattning omgärdas av sekretess. Dessutom ställs det även utan särskild integritetsskyddande lagstiftning mycket höga krav på bl.a. datasäkerhet och spridning av uppgifter till utomstående. Försvarsunderrättelseverksamhet och säkerhetstjänst utgör grundläggande och viktiga samhällsfunktioner för oberoende och den nationella säkerheten. Dessa verksamheter måste därför bedrivas på ett effektivt och ändamålsenligt sätt vilket bl.a. förutsätter ett rationellt datorstöd för behandling av person- uppgifter. Detta hindrar emellertid inte att nödvändig respekt visas för enskildas personliga integritet vid myndigheternas behandling av personuppgifter. En författningsreglering måste beakta båda dessa, i bland motstående, intressen. Mot bakgrund av de aktuella verksamheternas art är det enligt vår uppfattning två omständigheter som framstår som särskilt avgörande för författningsregleringen av myndigheternas behand- ling av personuppgifter. För det första är det de ändamål för vilka behandling av personuppgifter får ske och för det andra den säkerhet och sekretess som gäller i verksamheterna. Som i all annan offentlig verksamhet, eller i andra sammanhang där en stor mängd personuppgifter behandlas, är det ur integritets- synvinkel av grundläggande betydelse att behandlingen av person- uppgifter endast sker för särskilt fastställda ändamål. Övergripande frågor och principer ändamål för vilka behandling av personuppgifter får ske kan den enskilde på ett enkelt sätt få en tydlig bild av om uppgifter om honom eller henne behandlas eller inte, och om så sker i vilken omfattning detta kan komma att medföra ett otillbörligt intrång i hans eller hennes personliga integritet. Om risk för sådant intrång föreligger kan den registrerade med hjälp av de särskilda rättigheter som tillkommer enskilda enligt personuppgiftslagen eller motsvarande lagstiftning, om information och rättelse m.m., vidta åtgärder för att få detta hot undanröjt. Med hänsyn till Försvarsmaktens och Försvarets radioanstalts arbetsuppgifter i försvarsunderrättelseverksamheten och den mili- tära säkerhetstjänsten ligger det i sakens natur att verksamheten till stor del måste vara hemlig. Många uppgifter är känsliga såväl med hänsyn till förhållande till främmande makt som till skydd för rikets säkerhet. Det är också viktigt att skydda uppgiftslämnare och arbetsmetoder. Det skulle t.ex. bli betydligt svårare för den militära underrättelse- och säkerhetstjänsten att få den information från utländska underrättelse- eller säkerhetstjänster eller andra källor som myndigheten behöver, om inte verksamheten var omgärdad av sekretess. De krav på säkerhet och sekretess som gäller för uppgifter i de aktuella verksamheterna ger särskilda förutsättningar när det gäller skyddet för den personliga integriteten. Med säkerhet avses i första hand en teknisk informationssäkerhet, till skydd för intrång i de datorsystem som används, i syfte att förhindra att obehöriga får tillgång till de uppgifter som behandlas. Med sekretess avses att uppgifterna är hemliga och vid straffansvar inte får lämnas ut med mindre än att reglerna i sekretesslagen medger det. Den säkerhet och sekretess som omgärdar försvarsunderrättelseverksamhet och militär säkerhetstjänst medför således att det i jämförelse med annan verksamhet är mindre risk för att personuppgifter sprids till utomstående. Härmed är det i motsvarande mån en mindre risk för att uppgifterna skall behandlas för andra ändamål än syftet med den ursprungliga behandlingen. Redan de förutsättningar under vilka verksamheterna bedrivs utgör således ett skydd mot otillbörligt intrång i den personliga integriteten. Att verksamheten är sluten och att det till följd härav är svårt för de registrerade att få insyn i den behandling av personuppgifter som sker kan emellertid även medföra risk för otillbörligt intrång i den personliga integriteten. Utan insyn i och kunskap om den verksamhet som bedrivs kan det vidare lätt födas uppfattningar om att det begås någon form av oegentligheter från myndigheternas Övergripande frågor och principer Med hänsyn till verksamheternas art måste emellertid den mycket omfattande sekretessen gälla. Härifrån kan inte göras undantag för att eventuellt stärka skyddet av den personliga integriteten. I den utsträckning enskildas möjlighet till information m.m. inte utgör ett fullgott skydd för den personliga integriteten måste denna värnas på något annat sätt. Enligt vår mening kan detta, med iakttagande av den sekretess och säkerhet i övrigt som måste omgärda verksamheterna, bäst ske genom att ett från de aktuella verksamheterna fristående och oberoende organ ges i uppdrag att särskilt granska behandlingen av personuppgifter. En sådan granskning ger de registrerade en indirekt insyn i behand- lingen av personuppgifter till skydd för den personliga integriteten. Det vi anser är viktigast i samband med en reglering av användningen av datorer och dataregister inom den militära underrättelse- och säkerhetstjänstens samt Försvarets radioanstalts verksamheter är således för vilka ändamål uppgifter från olika källor får behandlas. Även andra faktorer har emellertid betydelse, t.ex. behandling av känsliga personuppgifter och spridningen av information till utomstående. I fråga om vilka som får ta del av uppgifter intar omfattningen av myndigheters och andras direkt- åtkomst till elektroniskt lagrad information en särställning. Vi kommer att behandla de olika integritetsaspekterna efterhand som vi redovisar vår inställning i de olika sakfrågorna, t.ex. gällande direktåtkomst. Redan här bör emellertid slås fast att vi anser det viktigt att en författningsreglering om användning av datorer inom de båda myndigheterna utformas på ett sådant sätt att hänsyn i tillräcklig omfattning tas till integritetsskyddet för enskilda. Sammanfattningsvis är det vår uppfattning att de aktuella verk- samheterna utgör så grundläggande och viktiga samhällsfunktioner att de måste bedrivas på ett ändamålsenligt och effektivt sätt, även om det av vissa kan uppfattas som ett intrång i den personliga integriteten. Behandling av personuppgifter som uteslutande sker enligt de för verksamheten särskilt fastlagda ändamålen utgör – med beaktande av den sekretess och säkerhet i övrigt som gäller i verksamheten – inte i sig någon påtaglig risk för otillbörligt intrång i de registrerades personliga integritet. Detta hindrar emellertid inte att vissa användningar, såsom t.ex. behandling av känsliga personuppgifter och andras direktåtkomst till elektroniskt lagrad information måste regleras särskilt. För att motverka den brist på insyn som följer av reglerna om sekretess bör vidare ett fristående och oberoende organ få till särskild uppgift att granska behand- lingen av personuppgifter. Sådan granskning skall ske för att Övergripande frågor och principer säkerställa att behandlingen av personuppgifter endast sker för de i lag fastställda ändamålen och för att tillförsäkra att otillbörligt intrång i de registrerades personliga integritet inte sker. Vårt förslag: Behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhets- tjänsten samt Försvarets radioanstalts underrättelseverksamhet skall författningsregleras särskilt. Uppgifter i den interna administrationen skall behandlas enligt personuppgiftslagens bestämmelser. Allmänna bestämmelser om integritetsskydd inom datorområdet finns, som nämnts tidigare, i personuppgiftslagen. För olika offentliga verksamheter kan dock integritetsproblemen vara av skiftande art. Det går därför inte generellt att lösa alla problem och fullt ut beakta alla frågeställningar genom att vända sig till personuppgiftslagens bestämmelser, utan det behövs ofta särskild författningsreglering. En förutsättning är att sådan reglering inte strider mot EU:s dataskyddsdirektiv när detta är tillämpligt. När det gäller dataskyddsdirektivets tillämplighet bör emellertid i detta sammanhang framhållas vad som anges i direktivets artikel 3.2 första strecksatsen. Enligt denna bestämmelse gäller direktivet inte för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område. I kommissionens förklaring till bestämmelsen anges säkerhetstjänst som exempel på en aktivitet som faller utanför tillämpningsområdet (se SOU 1997:39 s. 120). Med hänsyn härtill omfattas inte Försvarsmaktens försvarsunderrättelseverksamhet, den militära säkerhetstjänsten eller Försvarets radioanstalts underrättelseverksamhet av dataskyddsdirektivets bestämmelser. Vår utgångspunkt har naturligtvis ändå varit att våra författningsförslag inte skall strida mot de grundläggande och bindande principerna i dataskydds- direktivet, även om det skulle vara EG-rättsligt möjligt. Övergripande frågor och principer Särskild författningsreglering bör enligt vår uppfattning tillämpas endast om det finns beaktansvärda skäl för det. Vi anser att man generellt kan peka ut de situationer då så normalt är fallet, nämligen –när en nödvändig behandling över huvud taget inte är tillåten enligt personuppgiftslagen, t.ex. i fråga om behand- ling av vissa känsliga uppgifter, –när personuppgiftslagen visserligen reglerar ett visst förhållande, men det finns anledning att avvika från eller precisera den regleringen, t.ex. i fråga om hur länge uppgifter får bevaras, –när personuppgiftslagens bestämmelser kan ge upphov till tolkningsproblem och det finns anledning att ha tydliga bestämmelser, t.ex. i fråga om vem som är person- uppgiftsansvarig, –när det finns anledning att begränsa möjligheterna till behandling av uppgifter av integritetsskäl, t.ex. i fråga om myndigheters registrering av och åtkomst till stora eller känsliga uppgiftsmängder, samt –när det finns anledning att vara särskilt tydlig gentemot allmänheten, t.ex. i fråga om vilka uppgifter om enskilda som olika myndigheter registrerar. Enligt vår uppfattning behövs en särskild författningsreglering av behandlingen av personuppgifter inom Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet av såväl effektivitets- som integritetsskäl. Bland annat omfattningen av verksamheterna, deras speciella inriktning samt den stora mängden känsliga uppgifter och behandlingar som förekommer, utesluter att personuppgiftslagen skall vara den enda författning som reglerar informationshanteringen. När det däremot gäller den interna administrativa förvaltningen, exempelvis lokal- och personalfrågor, är situationen en helt annan. Administrationen av sådana frågor påminner mestadels om hanteringen av information hos vilken större arbetsgivare som helst. Internt administrativt arbete vid en myndighet är normalt inte reglerad i registerförfattningar för annan offentlig verksamhet och vi kan inte se annat än att personuppgiftslagens regler är fullt tillräckliga för att hantera behandlingen av personuppgifter i t.ex. löneregister. Övergripande frågor och principer 7.4Lag, förordning eller myndighetsföreskrifter Vårt förslag: De grundläggande principerna för behandling av personuppgifter i Försvarsmaktens försvarsunderrättelse- verksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet skall regleras i lag. Kompletterande bestämmelser meddelas av regeringen eller den myndighet som regeringen bestämmer. Vi konstaterar i föregående avsnitt att behandling av person- uppgifter hos den militära underrättelse- och säkerhetstjänsten och måste författningsregleras särskilt. En viktig fråga är i vilken form en sådan författningsreglering skall ske; genom lag, förordning eller myndighetsföreskrifter. I verksam- heterna behandlas mängder av uppgifter om enskilda personer i olika register eller datorsystem. Uppgifterna kan i många fall vara mycket känsliga och det är därför viktigt att de behandlas på ett sådant sätt att vederbörlig hänsyn tas till de registrerades personliga integritet. Frågor om regleringen av personregister har behandlats av , som bl.a. påpekat att myndighetsregister med ett stort antal registrerade och ett känsligt innehåll skall regleras särskilt i lag (bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48), en uppfattning som även regeringen har gett uttryck för (se bl.a. prop. 1990/91:60 s. 58 och 1997/98:44 s. 41). Enligt vår uppfattning är den automatiserade behandling av personuppgifter som förekommer i den militära underrättelse- och säkerhets- tjänstens samt Försvarets radioanstalts verksamheter utan tvekan av sådan karaktär och omfattning att de grundläggande principerna för behandlingen skall slås fast i lag. Vad vi anser måste framgå av lag är främst sådana grundläggande bestämmelser som anger för vilka ändamål personuppgifter får behandlas, vem som får ha direktåtkomst och under vilka förutsättningar känsliga personuppgifter får behandlas samt vilka rättigheter enskilda har. I vissa fall bör sådana bestämmelser vara ovillkorliga, medan regeringen i andra fall bör kunna medge undantag. Regeringen bör dessutom kunna meddela vissa komplet- terande bestämmelser. Som vi nämner ovan i avsnitt 7.2 måste vid utformningen av lagstiftning om behandling av personuppgifter hänsyn tas till att verksamheterna vid de båda myndigheterna är av Övergripande frågor och principer grundläggande betydelse för yttre säkerhet och för att stärka samhället vid svåra påfrestningar i fred. Sådan lagstiftning måste därför vara övergripande och utformad på ett sådant sätt att verksamheterna kan bedrivas mest effektivt. På motsvarande sätt framhålls även i förarbetena till lagen (2000:130) om försvars- underrättelseverksamhet att underrättelseverksamheten är av sådan art att det av naturliga skäl inte är möjligt att i lagform reglera den i detalj, utan att endast får ge utgångspunkterna för den närmare reglering av verksamheten som sedan kan regleras i detalj med stöd av regeringens förordningsmakt (jfr. 1999/2000:25 s. 12). Viktigt att ta i beaktande är också att syftet med en lagstiftning – att skydda den personliga integriteten – även tillgodoses genom att verksamheterna i stora delar är hemliga och att de personuppgifter som behandlas därför omgärdas av sekretess samt att verksam- heterna till sin natur är sådana att det, även utan särskild lagstift- ning, ställs mycket höga krav på bl.a. datasäkerhet och spridning av uppgifter till utomstående. 7.5Grundläggande begrepp – databas eller register Vårt förslag: Det traditionella registerbegreppet skall inte förekomma i författningarna om behandling av uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts under- rättelseverksamhet. I stället skall begreppet databas användas som en rättslig beteckning på automatiserade uppgiftssamlingar som används gemensamt inom en verksamhet och för vilka särskilda handlingsregler gäller. Databaser i stället för register Med personregister avsågs enligt gamla datalagen register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Den i författningar allmänt använda termen för elektroniska uppgiftssamlingar har sedan datalagens införande 1973 varit register. Övergripande frågor och principer Det traditionella registerbegreppet har dock kritiserats , främst eftersom det för tankarna till på visst sätt organiserade eller systematiserade samlingar av uppgifter. Detta är inte längre ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan t.ex. införas helt ostrukturerat och oorganiserat i olika filer i en dator, utan att detta förhindrar en effektiv hantering av uppgifterna för olika sammanställningar osv. Ytterligare en grund för kritik har varit att begreppet register inte används i personuppgiftslagen, som ersatt datalagen. I och för sig finns det hos flera myndigheter elektroniska samlingar av person- uppgifter som enligt vår bedömning måste ses som register i ordets egentliga bemärkelse, dvs. uppgifter förs in på ett systematiserat sätt efter vissa kriterier och är sökbara endast med särskilda sökord e.d. Enligt den författning som reglerar den aktuella behandlingen av personuppgifter, förordningen (2001:703) om viss behandling av personuppgifter inom Försvarsmakten och , skall Försvarsmakten föra försvarsunder- rättelseregister och säkerhetsregister. skall enligt samma förordning behandla personuppgifter i vissa namngivna databaser. Registerbegreppet är enligt vår uppfattning inte lämpligt när det gäller behandling av uppgifter i de datorsystem som den militära underrättelse- och säkerhetstjänsten samt förfogar över och behöver för sina verksamheter. Det finns därför anledning att inte använda begreppet register i författningar om hantering av personuppgifter i myndigheternas verksamheter. Det skulle enligt vår bedömning vara möjligt att i special- författningar undvika begreppet register utan att ersätta det med något specifikt alternativ, dvs. att på samma sätt som i personuppgiftslagen endast tala om behandling av personuppgifter, men det är inte självklart att det är det bästa alternativet. Att endast tala om behandling av personuppgifter kan i vissa fall föranleda att lagtexter tyngs och blir svårhanterliga, t.ex. när man inte avser behandling i allmänhet utan endast behandling i fastställda samlingar av uppgifter för vilka särskilda handlingsregler gäller. Som exempel kan nämnas att personuppgifter kan behandlas på elektronisk väg såväl med hjälp av ordbehandling vid framställning av dokument som i omfattande gemensamma informations- databaser. Det är inte helt enkelt att i en lag om behandling av personuppgifter klart uttrycka att man i motsvarande situationer avser att vissa bestämmelser endast skall gälla för den senare Övergripande frågor och principer behandlingen och inte för den tidigare, något som vi anser att det finns behov av. Ett alternativ till registerbegreppet är termen databas, som förekommer i olika sammanhang, bl.a. i de författningar som gäller för hanteringen av personuppgifter inom Skatteförvalt- ningen och (se prop. 2000/01:33).