sou · GRB334d2 · 2004-01-01 00:00:00 — verksamhet styrs av regeringen även genom mer informella kontakter och den fortlöpande uppföljningen av verksamheten sker av för säkerhetspolitiska underrättelse- frågor i (), jfr. Vidare gäller att det med mycket kort varsel kan behöva ske förändringar av vem som bör få ha direktåtkomst till databaserna. Det är då olämpligt om sådan anpassning inte kan ske inom rimlig tid därför att en ändring kräver lagform. Mot bakgrund härav talar enligt vår uppfattning övervägande skäl för att det är regeringen som, genom förordning eller särskilt beslut, bör bestämma vilka myndigheter som får ha direktåtkomst till aktuella databaser hos Försvars- makten och . Vi föreslår därför att det i lag anges att regeringen får bestämma vem som får ha direktåtkomst till databaser i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet. När det gäller omfattningen av direktåtkomsten bör detta beslutas av regeringen eller av den myndighet regeringen bestämmer. I våra förslag till förordning för respektive myndighet har vi angivit vilka myndigheter som får ha direktåtkomst och till vilka databaser. Där anges också att det är Försvarsmakten respektive som bestämmer omfattningen av den direktåtkomst som får förekomma. förekommer ingen direktåtkomst till någon av Försvarets radioanstalts databaser. Enligt vår uppfattning är det av integritetsskäl främst myndighetens rapportdatabas som kan komma i fråga när det gäller direktåtkomst. I rapportdatabasen finns de färdiga underrättelserapporter som skall delges myndighetens uppdragsgivare. I andra databaser hos kan det finnas obearbetat signalspaningsmaterial som kan innehålla känsliga personuppgifter. Direktåtkomst bör därför enligt vår mening få förekomma endast till rapportdatabasen. Naturligtvis kan det finnas skäl att lämna ut information även från andra databaser än rapportdatabasen på automatiserad väg på annat sätt än genom direktåtkomst. Det kan då t.ex. ske genom att en fil avskiljs och görs tillgänglig för en myndighet eller genom att en cd-romskiva översänds till en uppdragsgivare. Ett utlämnande av information från andra databaser än rapportdatabasen bör emellertid ske först efter vederbörlig sekretessprövning och inte genom att mottagande myndighet genom direktåtkomst ges möjlighet att själv gå in och välja information (jfr. Däremot kan det som nämnts inte anses föreligga hinder mot att en uppdragsgivare ges möjlighet att genom direktåtkomst på egen hand gå in i rapportdatabasen och läsa sina beställda rapporter, vilka annars skulle tillställas denne i annan form. Dataskyddsdirektivets regler om enskildas rättigheter i samband med behandling av personuppgifter är av central betydelse för skyddet av de registrerades personliga integritet. För att otillbörligt intrång i den personliga integriteten i största möjliga mån skall undvikas har det ansetts nödvändigt att enskilda tillskrivs särskilda rättigheter. Mot bakgrund härav finns i personuppgiftslagen bestämmelser om bl.a. information, rättelse och skadestånd. Att enskilda ges möjlighet till insyn i vad som finns registrerat om dem i olika databaser och register är av betydelse för att de skall kunna kräva rättelse av felaktiga uppgifter. När personuppgiftsansvariga behandlar uppgifter i strid med gällande regler, har det ansetts att de enskilda skall kunna få ersättning för skada och kränkning av den personliga integriteten. Inom de särskilda registerförfattningarnas områden har det av rättssäkerhetsskäl vidare ansetts viktigt att myndigheternas beslut i frågor som rör rätten till information och krav på att behandlade uppgifter är korrekta, kan överklagas av enskilda i den för förvalt- ningsbeslut gällande ordningen. Till skillnad från de bestämmelser som avser databaser, är de särskilda bestämmelser om enskildas rättigheter som redovisas i detta kapitel endast tillämpliga på behandling av personuppgifter. Det är med andra ord endast fysiska personer som är i livet (jfr. 3 § personuppgiftslagen) som över huvud taget kan kräva information om utförd behandling eller rättelse av felaktiga uppgifter. Det är vidare bara fysiska personer som kan överklaga myndigheternas beslut i sådana frågor och som med stöd av den lagstiftning vi föreslår kan kräva skadestånd av den personuppgiftsansvariga myndigheten. Vårt förslag: Personuppgiftslagens bestämmelser om informa- tion som skall lämnas självmant till den registrerade när uppgifter har samlats in från honom själv och om information som skall lämnas efter ansökan av den registrerade, skall i huvudsak tillämpas vid behandling av personuppgifter inom Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet. Innehållet i personuppgiftslagens bestämmelser om information till den registrerade redogör vi kortfattat för i avsnitt 4.7.4. Av 23 § personuppgiftslagen framgår att den personuppgifts- ansvarige självmant skall informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som skall lämnas är uppgifter om den personuppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade skall kunna ta tillvara sina rättigheter. Bestämmelsen har sin grund i artikel 10 i dataskydds- direktivet. Vi anser att bestämmelsen bör vara tillämplig på behandling av personuppgifter inom Försvarsmaktens försvars- underrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet. Annorlunda är det med 24 § personuppgiftslagen. Där anges det i enlighet med artikel 11 i dataskyddsdirektivet att den registrerade skall informeras även när uppgifter har samlats in från någon annan källa än honom själv. Sådan information behöver nämligen inte lämnas om det finns bestämmelser om registreringen i lag eller annan författning. När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning på det sätt som vi föreslår för Försvarsmakten och , med bestämmelser om vad som får registreras och hur uppgifter i övrigt får hanteras, krävs det enligt personuppgiftslagen således inte att sådan information ges. Vi har inte funnit några skäl för att Försvarsmakten och trots detta skall lämna sådan information. Bestämmelsen i 24 § personuppgiftslagen bör således inte tillämpas på behandling enligt den av oss föreslagna lagstiftningen. Den från integritetssynpunkt kanske viktigaste bestämmelsen i dataskyddsdirektivet återfinns i artikel 12 a). enskilda rätt att få information av den personuppgiftsansvarige om personuppgifter som rör den registrerade behandlas eller inte. Om uppgifter behandlas skall information lämnas om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna har lämnats ut. Bestämmelsen har sin motsvarig- het i 26 § personuppgiftslagen, där enskilda garanteras denna rätt till information efter ansökan. Information behöver emellertid inte lämnas beträffande personuppgifter som behandlas endast i löpande text som ännu inte fått sin slutliga utformning eller som utgör minnesanteckningar, under förutsättning att uppgifterna inte har lämnats ut till tredje man. Bestämmelsen i personuppgiftslagen bör vara tillämplig vid behandling av personuppgifter enligt den av oss föreslagna lagstiftningen. Även 27 § personuppgiftslagen anser vi skall vara tillämplig på behandling av personuppgifter i Försvarsmaktens försvarsunder- rättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet. Det innebär att om det i lag eller annan författning, eller i beslut som har meddelats med stöd av författning, särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade, så gäller inte de ovan redovisade bestämmelserna i personuppgiftslagen om information. Enligt vår uppfattning medför detta speciella konsekvenser när det gäller skyddet för den personliga integriteten vid behandling av person- uppgifter inom de verksamheter som våra författningsförslag omfattar. Våra överväganden i detta sammanhang redovisas i avsnitt 8.5 om särskild granskning till skydd för den personliga integriteten. Vårt förslag: Personuppgiftslagens bestämmelser om rättelse av personuppgifter och om skadestånd skall tillämpas vid behand- ling av personuppgifter inom Försvarsmaktens försvarsunder- rättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet. Personuppgiftslagens bestämmelser om rättelse I korthet innebär bestämmelsen om rättelse i 28 § personuppgifts- lagen att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personupp- gifter som inte behandlats i enlighet med lagstiftningen. Den personuppgiftsansvarige har även, med vissa undantag, en skyldighet att underrätta tredje man till vilken uppgifterna lämnats ut om korrigeringsåtgärden. Redan av de grundläggande kraven i 9 § personuppgiftslagen framgår emellertid att den personuppgiftsansvarige på egen hand måste vara aktiv för att se till att de behandlade uppgifterna är korrekta. Bestämmelsen i 28 § personuppgiftslagen innehåller således regler om en rätt för den registrerade att påkalla den personuppgiftsansvariges aktivitet för att korrigera uppgifter, som gäller utöver de grundläggande kraven på den personuppgifts- ansvarige enligt 9 § (jfr. m.fl., Personuppgiftslagen En kommentar, 2:uppl. s. 217). Att en personuppgift rättas innebär att den ersätts eller komplet- teras med korrekta uppgifter. Med blockering avses en åtgärd som vidtas för att personuppgifter skall vara förknippade med informa- tion om att de är spärrade och om anledningen till spärren. Att en uppgift utplånas innebär att den förstörs så att den inte kan åter- skapas. Skyldigheten att vidta rättelse åligger den personuppgifts- ansvarige. Det är enligt vår uppfattning av väsentlig betydelse att person- uppgifter som behandlas felaktigt hos en myndighet rättas för att intrång i den personliga integriteten skall undvikas. Bedömningen av om en uppgift har behandlats felaktigt måste göras mot bak- grund av de bestämmelser som gäller för behandlingen, oavsett om det är grundläggande regler i personuppgiftslagen eller special- bestämmelser som gäller för Försvarsmakten och Försvarets radio- anstalt. Vi föreslår därför att bestämmelsen om rättelse i 28 § personuppgiftslagen skall tillämpas vid behandling av person- uppgifter enligt de av oss föreslagna författningarna. När skall rättelse vidtas? En personuppgift skall rättas när den har behandlats felaktigt. I princip är all behandling av personuppgifter felaktig som strider mot den lagstiftning som reglerar behandlingen. Att i detalj ange vad som är felaktig behandling är därför inte möjligt, men något förenklat anser vi att en indelning av olika fel kan göras i två grupper. Felaktig behandling kan för det första bestå i att person- uppgifter är oriktiga till sitt innehåll, dvs. felet finns inbyggt i uppgifterna (oriktiga uppgifter). Felaktig behandling kan även bestå i att personuppgifter, oavsett om de är korrekta eller inte, används på ett felaktigt sätt i verksamheten, dvs. felet ligger i hur uppgifterna används (oriktig användning). Bedömningen av om en uppgift används på ett oriktigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelse- verksamhet. Oriktig användning kan t.ex. innebära att en uppgift används på ett sätt som är oförenligt med de ändamål som gäller för verksamheten. Det är emellertid inte alltid självklart om en uppgift är oriktig. Det viktiga i det här sammanhanget är enligt vår uppfattning att bedömningen av om en uppgift skall anses vara oriktig eller inte, dvs. om den skall rättas, görs mot bakgrund av vilka krav verksam- heten ställer på uppgiftsbehandlingen. Även om det inte är möjligt att ge en exakt definition på vad som är en oriktig uppgift, anser vi att man bör ha följande utgångspunkt. En uppgift är, trots att den inte återger en korrekt bild av ett sakförhållande, inte oriktig i den bemärkelsen att den måste rättas, om den korrekt återger ett händelseförlopp i verksamheten och dessutom behövs i densamma. Enskildas rätt till skadestånd Enligt 48 § personuppgiftslagen skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. Skadestånd kan komma i fråga vid varje brott mot lagen och utgår trots att ingen har skadats fysiskt eller ekono- miskt och trots att den personuppgiftsansvarige inte haft uppsåt att göra fel eller varit försumlig vid behandlingen. Bakgrunden till denna stränga reglering är att bestämmelsen om skadestånd, precis som enskildas rättigheter i övrigt enligt lagen, rätt till information och rättelse m.m., har till syfte att skydda människor mot kränkning av den personliga integriteten genom behandling av personuppgifter (jfr. 1997/98:44 s. 106, SOU 1997:39 s. 432). Rätt till skadestånd bör finnas även för skada och kränkning som uppstår när uppgifter behandlas i strid med de särskilda bestämmelserna i våra lagförslag. Vi föreslår därför att bestäm- melserna om skadestånd i 48 § personuppgiftslagen skall tillämpas när personuppgifter behandlas i strid med den av oss föreslagna lagstiftningen. I likhet med vad som gäller de rättsliga möjligheterna att få information eller att få uppgifter rättade, gäller rätten till skadestånd endast levande fysiska personer. En juridisk person får i stället i den ordning som gäller för statlig verksamhet i allmänhet vända sig till justitiekanslern om den juridiska personen anser att behandling av uppgifter inom Försvarsmakten eller har vållat skada. Vårt förslag: Försvarsmaktens och Försvarets radioanstalts beslut om rättelse och om information som skall lämnas efter ansökan av en registrerad skall kunna överklagas. Överklagande skall ske till allmän förvaltningsdomstol, dvs. Prövningstillstånd skall krävas vid överklagande till kammarrätt. Beslut av en myndighet som direkt berör en enskild och som inte är av rent intern administrativ karaktär, bör enligt vår uppfattning i allmänhet kunna överklagas. I fråga om behandling av person- uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet gäller det framför allt beslut att avslå en ansökan om information om pågående behandlingar samt beslut att avslå en begäran om rättelse. Överklagande bör enligt vår uppfattning vara möjligt i båda fallen. Den normala ordningen när en myndighet fattar beslut av förvaltningskaraktär är enligt 22 a § förvaltningslagen (1986:223) att beslutet kan överklagas hos allmän förvaltningsdomstol (länsrätt) och att det krävs prövningstillstånd för vidare överklagande till kammarrätten. Detta är också vad som generellt gäller för nyare författningar om behandling av personuppgifter i offentlig verksamhet (jfr. SFS 2001:85, 181–185, 454 och 935). 8.5Särskild granskning till skydd för den personliga integriteten Vårt förslag: Till skydd för den personliga integriteten bör få i uppdrag att särskilt granska den behandling av personuppgifter som sker inom Försvars- maktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelse- verksamhet. Som en följd härav föreslår vi att Försvarets underrättelse- nämnds ansvarsområde utökas till att omfatta även den militära säkerhetstjänsten. Av artikel 13 i dataskyddsdirektivet framgår att undantag från informationsbestämmelserna och bestämmelserna om rättelse m.m. får göras då det är nödvändigt med hänsyn till t.ex. statens säkerhet och försvaret samt skydd av den registrerades eller andras fri- och rättigheter. har med stöd härav i 27 § personuppgiftslagen gjort undantag från informationsskyldigheten enligt 23-26 §§ samma lag vid sekretess och tystnadsplikt. Undantaget innebär att sekretess och tystnadsplikt alltid går före den i personuppgiftslagen föreskrivna informationsskyldigheten. För uppgifter som behandlas i Försvarsmaktens försvarsunder- rättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet gäller sekretess av olika skäl och av olika grad. Enligt 2 kap. 1 § sekretesslagen gäller sekretess för uppgift som angår förbindelser med annan stat eller i övrigt rör annan stat, mellanfolklig organisation, myndighet, medborgare eller juridisk person i annan stat eller statslös, om det kan antas att det stör mellanfolkliga förbindelser eller på annat sätt skadar landet om uppgiften röjs. Enligt 2 § samma kapitel gäller sekretess för uppgift som angår verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör total- försvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. Som angivits tidigare är det vår uppfattning att undantaget från informationsskyldighet vid sekretess och tystnadsplikt enligt 27 § personuppgiftslagen skall gälla för Försvarsmaktens försvars- underrättelseverksamhet och den militära säkerhetstjänsten samt Försvarets radioanstalts underrättelseverksamhet. som helt självklart. Med hänsyn till arten av den verksamhet som bedrivs är det helt nödvändigt att den är förenad med sekretess och det skulle vara synnerligen olämpligt om enskilda skulle kunna få en sådan insyn i den hemliga verksamheten som en informations- skyldighet enligt personuppgiftslagen innebär. Till skillnad från andra myndigheters behandling av person- uppgifter, där samma undantag från informationsskyldigheten gäller, får emellertid i detta sammanhang undantaget alldeles särskilda konsekvenser när det gäller de enskildas rättigheter och deras funktion som skydd för den personliga integriteten. Personuppgiftslagens regler om enskildas rätt till information hör till de viktigaste medlen enligt den lagstiftningen för att personuppgifter inte skall behandlas på ett sätt som kan medföra att enskildas personliga integritet kränks. Den sekretess som gäller för uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet innebär emellertid att någon information i den mening som avses i personuppgiftslagen i praktiken aldrig kommer att lämnas av den personuppgiftsansvariga myndigheten. Till skydd för verksamheten gäller i underrättelseverksamheten och säkerhetstjänsten sekretess för i stort sett varje uppgift. Många uppgifter är hemliga såväl med hänsyn till förhållande till främmande makt som till skydd för rikets säkerhet. Det är också viktigt att skydda uppgiftslämnare och arbetsmetoder. Detta får till följd att en begäran om information enligt personuppgiftslagens regler i det närmaste undantagslöst kommer att avslås med hänvisning till att sekretess gäller för uppgifterna. Utan kunskap om vilka uppgifter som behandlas kommer den enskilde inte att kunna utnyttja möjligheten att begära rättelse eller i övrigt kontrollera att uppgifter om honom eller henne behandlas korrekt och i enlighet med vad som är särskilt föreskrivet. Personuppgiftslagens regler om information och rättelse m.m. kan alltjämt fylla en viktig funktion i de få sammanhang där sekretess inte råder för uppgifterna, och det är enligt vår uppfattning viktigt att dessa regler är tillämpliga. Mot bakgrund av vad som ovan angivits är det emellertid enligt vår uppfattning nödvändigt att de registrerades personliga integritet dessutom värnas på något annat sätt vid Försvarsmaktens och Försvarets radioanstalts behandling av personuppgifter. Som ett komplement till bestämmelserna om information måste därför andra åtgärder vidtas för att åstadkomma ett rimligt skydd för den personliga integriteten. Hänsyn till sekretessen inom försvarsunderrättelseverksamhet och militär säkerhetstjänst framstår i detta sammanhang som helt avgörande. uttalade i betänkandet Den militära underrättelsetjänsten (SOU 1976:129) följande i samband med sitt förslag att inrätta . En djup sekretess är nödvändig kring stora delar av det militära underrättelseväsendet av hänsyn till landets säkerhet och förhål- landet till främmande makter. Enskilda medborgare har därför små möjligheter att själva informera sig om underrättelsetjänsten och bilda sig en uppfattning i frågor som rör denna. Under sådana förhållanden är det betydelsefullt att begränsningarna i den enskilda insynen uppvägs av en effektivt verkande kontroll genom statsmakternas försorg (jfr. SOU 1976:19 s. 129). I detta sammanhang bör nämnas att inom polisens område har fått till särskild uppgift att värna skyddet för den personliga integriteten (jfr. Nämnden skall i första hand pröva frågor om utlämnande av uppgifter från vissa av polisens register i samband med registerkontroll. har emellertid därutöver också till uppgift att granska Säkerhets- polisens behandling av personuppgifter enligt polisdatalagen, särskilt med avseende på behandlingen av känsliga personuppgifter. I anknytning härtill vill vi även peka på vad framhållit i remissyttrande (, Dnr 316/02) över Polisdatautred- ningens förslag till ny polisdatalag (SOU 2001:92). Hovrätten framhåller i yttrandet att krav måste ställas på en kontinuerlig och effektiv tillsyn över registerföringen. Domstolen anser att Polis- datautredningens förslag väcker frågan om inte motsvarande granskning som utövar när det gäller Säkerhets- polisens behandling av uppgifter enligt polisdatalagen borde över- vägas även för den öppna polisen. Enligt vår uppfattning bör även den aktuella behandlingen av personuppgifter hos Försvarsmakten och underkastas en särskild granskning genom statsmakternas försorg. Syftet med en underrättelsenämnd var att denna skulle utgöra regeringens insyns- och kontrollorgan med uppgift att fortlöpande följa verk- samheten hos den militära underrättelsetjänsten och att lämna de förslag som föranleddes av granskningen. Enligt 1 § förordningen (1988:552) med har till uppgift att följa underrättelsetjänsten inom Försvarsmakten och de övriga myndigheter som enligt förordningen (2000:131) om försvarsunderrättelseverksamhet bedriver försvarsunderrättelse- verksamhet, såsom , och . skall enligt 2 § i sin instruktion särskilt N följa hur lagen (2000:130) och förordningen (2000:131) om försvarsunderrättelseverksamhet tillämpas, N granska att försvarsunderrättelseverksamheten bedrivs i enlighet med den inriktning som är bestämd, N ägna uppmärksamhet åt de enheter inom Försvarsmakten och som inhämtar underrättelser med särskilda metoder, N granska de medel och metoder för inhämtning av underrättelser som används, N granska hur de register som behövs för försvarsunderrättelse- verksamheten läggs upp och förs, samt N granska principer för rekrytering och utbildning av personal. skall lämna Försvarsmakten och de övriga myndigheter som bedriver försvarsunderrättelseverksam- het de synpunkter och de förslag till åtgärder som föranleds av granskningsverksamheten. Om det behövs skall nämnden också lämna förslag om åtgärder till regeringen. Försvarets underrättelse- nämnd skall till regeringen lämna en rapport över föregående års granskningsverksamhet. består av sex ledamöter, varav en är ordförande, som utses av regeringen för en bestämd tid. Försvarets underrättelsenämnds kontroll innebär i första hand att följa hur lagen och förordningen om försvarsunderrättelse- verksamhet tillämpas i verksamheten.