sou · GRB334d2 · 2004-01-01 00:00:00 — Med känsliga personuppgifter avses uppgifter som avslöjar en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Om sådana uppgifter måste behandlas i offentlig verksamhet utan samtycke behövs det särskilda och avvikande bestämmelser för i vilka fall det får göras om inte någon av undantagsbestämmelserna i personuppgiftslagen är tillämpliga. Vi anser att Försvarsmakten och i de aktuella verksamheterna bör ha samma möjligheter att registrera och på annat sätt behandla sådana uppgifter som myndigheterna har . Vi föreslår därför att uppgifter om en person inte får behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Det innebär exempelvis att det inte är tillåtet att i underrättelse- verksamhet föra register över, eller på annat sätt göra anteckningar om, enskilda personer enbart på den grunden att de tillhör en viss etnisk grupp. Om uppgifter om en person däremot behandlas på annan grund måste de få kompletteras med känsliga person- uppgifter när det är nödvändigt för syftet med behandlingen. Att behandla känsliga personuppgifter kan t.ex. bli nödvändigt inom ramen för deltagande i internationella freds- bevarande och humanitära insatser. Här bidrar såväl den militära underrättelse- och säkerhetstjänsten som med underrättelser. I dessa uppdrag ingår ofta att skydda en viss minoritet. För att de svenska enheterna inom en sådan mission skall kunna utföra sina uppgifter kan det därför vara nödvändigt att uppgifter behandlas rörande t.ex. etnisk härkomst eller religiös övertygelse. Även i övrigt finns det dock ett behov av att kunna behandla känsliga uppgifter. Ofta är just det faktum att en person tillhör ett politiskt parti eller annan organisation av grundläggande betydelse från försvarsunderrättelse- eller säkerhetssynpunkt. En sådan omständighet får dock aldrig utgöra ensam grund för behandlingen. Vi anser att en bestämmelse om känsliga personuppgifter skall vara generell, dvs. den bör gälla såväl för behandling i myndigheternas olika databaser som för annan behandling. Det bör inte heller spela någon roll för vilka ändamål uppgifterna behandlas, utan samma regler skall gälla för försvarsunderrättelseverksamhet som för militär säkerhetstjänst. Bestämmelserna innebär naturligtvis också en begränsning av vilka sökord som får användas vid arbete i myndigheternas data- baser. Sökning är som varje annan åtgärd som vidtas i fråga om personuppgifter en behandling. Att uteslutande använda sök- begrepp som beskriver t.ex. sexualliv eller religiös övertygelse, ensamma eller i kombination med varandra, är således inte tillåtet utan annan uttrycklig grund för en sådan behandling (se vidare i avsnitt 8.3.5). I detta sammanhang bör nämnas något om hur bestämmelsen om känsliga personuppgifter förhåller sig till den information som inhämtar genom signalspaning och som lagras i den s.k. Källdatabasen. Vid inhämtning genom signal- spaning sker vanligtvis inget urval, utan databasen tillförs främst obearbetad information. Källdatabasen är på så sätt endast en spegling av förekommande signaler. I dessa signaler kan det dölja sig information om enskilda personer och denna information kan också till viss del bestå av känsliga personuppgifter. Den information som lagras i Källdatabasen inhämtas auto- matiskt och myndigheten har ofta ingen möjlighet att påverka innehållet i den eller att vid själva inhämtningen veta vilken information det insamlade materialet innehåller. Till detta kommer att materialet ofta kan vara såväl krypterat som avfattat på ett främmande språk. Det är i detta sammanhang inte möjligt för myndigheten att censurera innehållet i information som på detta sätt kommer in i elektronisk form genom att ta bort eventuella känsliga personuppgifter. Fråga är då om denna behandling strider mot bestämmelsen i 1 kap. 6 § i författningsförslaget. Enligt vår uppfattning måste bestämmelsen om behandling av känsliga personuppgifter tillämpas på varje enskild behandling för sig. Inhämtning genom signalspaning är en sådan enskild behand- ling. Vid denna inhämtning finns över huvud taget inget syfte att behandla känsliga personuppgifter, eftersom informationen i detta led av processen ännu är helt okänd. Inhämtningen sker endast för att myndigheten skall uppfylla sin grundläggande uppgift att genom signalspaning bedriva underrättelseverksamhet. Informa- tionen måste naturligtvis få lagras i den form den kommer in för att signalspaningen skall uppfylla sitt ändamål, oavsett om den eventuellt innehåller känsliga personuppgifter eller inte. Vi anser således att inhämtning av okänd information genom signalspaning inte strider mot bestämmelsen om behandling av känsliga personuppgifter. Efter att uppgifterna lagrats i källdatabasen och en vidare behandling skall ske gäller däremot bestämmelsen i 1 kap. 6 § om att känsliga personuppgifter endast får behandlas som ett komple- ment till andra för verksamheten nödvändiga uppgifter. Upp- gifterna får då inte bearbetas vidare utan att det finns en annan uttrycklig grund för en sådan behandling. Det är också först i och med att uppgifterna behandlas vidare och analyseras som de eventuella känsliga personuppgifterna blir kända och en risk för intrång i den personliga integriteten föreligger. 8.2.6Överföring av personuppgifter till tredje land Vårt förslag: Personuppgifter som behandlas med stöd av lagen om behandling av uppgifter i Försvarsmaktens försvarsunder- rättelseverksamhet och den militära säkerhetstjänsten eller motsvarande lagstiftning när det gäller Försvarets radioanstalts underrättelseverksamhet får lämnas ut till andra länder om sekretess inte hindrar det och det behövs för att myndigheten skall kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet eller det annars är nödvändigt för verksamheten. I avsnitt 9.2.2 konstaterar vi att det inte behövs någon särskild författningsreglering enbart på den grunden att uppgifter lämnas ut på medium för automatiserad behandling. Huruvida utlämnande av uppgifter skall ske bör avgöras av de förutsättningar som ges av reglerna om sekretess samt ändamålen med verksamheten. I ett avseende fordras emellertid särskild författningsreglering, på grund bestämmelserna i dataskyddskonvention, och det gäller överföring av personuppgifter till andra länder. Enligt 33 § personuppgiftslagen får personuppgifter som är under behandling inte föras över till tredje land om inte det mottagande landet har en adekvat nivå för skyddet av person- uppgifter. Med tredje land avses en stat som inte ingår i Europeiska unionen (EU) eller är ansluten till Europeiska ekonomiska samarbetsområdet. Från förbudet finns vissa undantag i 34 §, bl.a. för överföring till länder som har anslutit sig till dataskyddskonvention. Enligt 35 § andra stycket personuppgifts- lagen har regeringen, och Datainspektionen (jfr. 14 § person- uppgiftsförordningen), möjlighet att föreskriva om undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Som alternativ till att regeringen före- skriver om ett generellt undantag från förbudet mot överföring av personuppgifter till tredje land kan i lag besluta att personuppgiftslagens regler i detta avseende inte skall vara tillämpliga på den militära underrättelse- och säkerhetstjänsten. Våra författningsförslag gäller i stället för personuppgiftslagen och någon hänvisning till personuppgiftslagens regler om överföring av personuppgifter till tredje land görs inte. Härigenom blir person- uppgiftslagens regler om förbud mot utlämnande av person- uppgifter till tredje land inte tillämpliga vare sig i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten eller i Försvarets radioanstalts underrättelseverksamhet. Bestämmelser om överföring av personuppgifter till andra länder finns emellertid numera även i dataskyddskonven- tion, genom ett tilläggsprotokoll som undertecknade . Enligt artikel 2 första punkten i tilläggs- protokollet skall varje part endast möjliggöra överföring av personuppgifter till en mottagare som lyder en stats eller en organisations jurisdiktion som inte är part i konventionen, om staten eller organisationen tryggar en tillräcklig grad av skydd för den avsedda uppgiftsöverföringen. Som undantag från första punkten får en part tillåta överföring om det är tillåtet enligt den nationella lagstiftningen på grund av den registrerades särskilda intressen, eller när legitima intressen överväger, i synnerhet viktiga allmänna intressen. Utlämnande av uppgifter till tredje land kan för Försvarsmaktens och Försvarets radioanstalts del ske såväl inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet som vid deltagandet i internationella fredsfrämjande och humanitära insatser. Utbyte av information med utländska underrättelse- och säkerhetstjänster utgör en av grundprinciperna för försvarsunder- rättelseverksamheten. Även för den militära säkerhetstjänsten skall samarbete med andra länder och internationella organisationer vara en naturlig del av verksamheten. Regeringen har i regleringsbrev uttalat att ett utbyte av information är nödvändigt för att skall kunna få del av sådan information som landet behöver men som kräver resurser som saknas. Detta ställer särskilda krav på den militära underrättelse- och säkerhetstjänsten. allt bredare medverkan i det internationella försvars- underrättelse- och säkerhetssamarbetet kräver att statsmakterna genom underrättelsetjänsten får erforderlig information att lägga till grund för konfliktförebyggande åtgärder, krishantering, planering och beslut om insats. Vidare krävs att information kan lämnas som stöd för insatsstyrkornas säkerhet och operationer i missionsområdet. Underrättelsefunktionen är en förutsättning för styrkornas säkerhet, för deras förmåga att lösa sina uppgifter, för kontroll av bevakningsområdet och för att kunna leda lokala förhandlingar. I krislägen då internationella insatser övervägs krävs också snabba konsultationer mellan alla de stater och orga- nisationer som överväger att delta (jfr. 20001/02:10 s. Dessa omständigheter visar på betydelsen av att uppgifter kan lämnas ut till andra länder och internationella organisationer, även om det medför en överföring av personuppgifter till ett tredje land enligt personuppgiftslagen eller en mottagare som inte lyder under dataskyddskonventionens jurisdiktion. Det framstår som omöjligt att inom ramen för våra författningsförslag förutse när eller på vilket sätt som uppgifter i de aktuella verksamheterna behöver sändas till andra länder. Det bör endast vara försvars- och säkerhetspolitiska skäl som avgör detta. Vid utlämnande av uppgifter till utlandet tillämpar Försvarsmakten och vidare mycket stränga säkerhetskrav för att skydda sin egen verksamhet. Härigenom fungerar myndigheternas egna föreskrifter som skydd för den personliga integriteten. Mot bakgrund härav bör personuppgiftslagens och dataskyddskonven- tionens regler om förbud mot överföring av personuppgifter till tredje land inte vara tillämpliga varken i Försvarsmaktens försvars- underrättelseverksamhet och den militära säkerhetstjänsten eller i Försvarets radioanstalts underrättelseverksamhet. Undantag från dataskyddskonventionens bestämmelser om gränsöverskridande flöden av personuppgifter kräver emellertid att det är tillåtet enligt den nationella lagstiftningen bl.a. på grund av att legitima intressen överväger, i synnerhet viktiga allmänna intressen. Enligt vår uppfattning utgör möjligheten att inom det internationella försvarsunderrättelse- och säkerhetssamarbetet samt i den militära underrättelse- och säkerhetstjänstens och Försvarets radioanstalts verksamhet i övrigt lämna ut uppgifter till andra länder ett sådant viktigt legitimt allmänt intresse. Vi föreslår därför att det i lagarna avseende behandling av uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelse- verksamhet införs en bestämmelse som medger att personuppgifter förs över till annat land. Avsikten är att bestämmelsen inte på något sätt skall vara begränsande när det gäller myndigheternas möjligheter att lämna ut uppgifter inom ramen för det internationella underrättelse- och säkerhetssamarbetet. Det är vår uppfattning att de bestämmelser om sekretess och krav på säkerhet i övrigt som gäller för verksamheterna i detta sammanhang tillgodoser skyddet för den personliga integriteten i tillräcklig mån. Huruvida ett utlämnade skall ske eller inte måste i sin helhet avgöras efter försvars- och säkerhetspolitiska överväganden. Den bestämmelse vi föreslår har inte som syfte att ha en sekretessbrytande verkan (jfr. avsnitt 9.2.1), utan uppfyller endast de krav på nationell lagstiftning som dataskyddskonventionen ställer när det gäller överföring av personuppgifter till andra länder. 8.3Behandling av uppgifter i databaser Vårt förslag: Olika regler skall gälla för Försvarsmaktens respektive Försvarets radioanstalts behandling av uppgifter beroende på om –behandlingen är automatiserad och utförs i en särskild samling av uppgifter som används gemensamt i verksamheten (databaser), eller –behandlingen utförs på annat sätt av enskilda tjänstemän och uppgifterna inte görs tillgängliga för gemensam användning i verksamheten. Som tidigare konstaterats utgör användningen av datorer ett naturligt och omfattande inslag i den militära underrättelse- och säkerhetstjänstens arbete. För Försvarets radioanstalts underrättelseverksamhet är hantering av uppgifter den helt dominerande arbetsmetoden. pågår en utveckling mot allt mer avancerade datorsystem inom de båda myndigheternas verksamheter. Enligt vår mening måste det för Försvarsmaktens försvarsunder- rättelseverksamhet och den militära säkerhetstjänsten samt Försvarets radioanstalts underrättelseverksamhet finnas särskilda regelverk för den i verksamheterna helt dominerande auto- matiserade och gemensamma behandling av personuppgifter som inte utgörs av vanlig ordbehandling och som inte är av helt tillfällig natur. De stora gemensamma uppgiftssamlingar hos statliga myndigheter som dagens personregister utgör innebär, på grund av de tekniska möjligheterna att söka i materialet och göra sammanställningar om registrerade personer, en påtaglig risk för otillbörliga intrång i enskildas personliga integritet. Den risken blir än större ju mer avancerade system som utvecklas. Från integritetssynpunkt finns det därför enligt vår uppfattning starka skäl för att skapa tydliga regler om vad som är tillåtet i fråga om sådan behandling. I och med genomförandet av dataskyddsdirektivet i svensk lagstiftning har den rättsliga begreppsapparaten vid dator- användning ändrats. I personuppgiftslagen talas det inte längre om förande av personregister som i datalagen, utan om behandling av personuppgifter. För att särskilja den rättsliga regleringen av sådan automatiserad behandling som görs i uppgiftssamlingar för gemensamt bruk, t.ex. personregister, från den automatiserade behandlingen av uppgifter i allmänhet, t.ex. ordbehandling och vanlig e-posthantering, har vi valt att införa det rättsliga begreppet databas i lagstiftningen (se avsnitt 7.5). Gränsdragningen mellan gemensam behandling i en databas och annan behandling av uppgifter För att begreppet databas skall vara praktiskt användbart på vissa särreglerade uppgiftssamlingar hos Försvarsmakten och , krävs att det är möjligt att avgöra var gränslinjen går mellan behandling i en databas och annan behandling, t.ex. vanlig ordbehandling. En grundläggande förutsättning för att en elektroniskt lagrad uppgift skall anses ingå i en databas, är enligt vår mening att uppgiften används gemensamt i en viss verksamhet för de ändamål som styr behandlingen av uppgifter inom verksamheten. Det väsentliga är inte på vilket sätt uppgiften tekniskt lagras, utan den faktiskt åsyftade tillgängligheten. Det avgörande för om en uppgift används gemensamt och därmed utgör en beståndsdel i en databas, är således om den behandlas på ett sätt som medför att den utgör "allmän egendom" i verksamheten. Att olika personalkategorier kan ha olika behörighet och att vissa uppgifter därför i praktiken är åtkomliga endast för ett begränsat antal personer inom underrättelseverksamheten eller säkerhetstjänsten, förtar enligt vår uppfattning i sig inte uppgifternas egenskap som gemensamma. En uppgift som lagras elektroniskt på hårddisken i en dator eller i en server hos Försvarsmakten eller i samband med att en tjänsteman arbetar med ordbehandling, och som normalt är åtkomlig endast för tjänstemannen själv och exempelvis systemadministratören vid myndigheten, kan däremot inte anses vara gemensamt tillgänglig. Syftet med sådan tillfällig behandling är inte att uppgifterna som lagras i datorn skall användas av andra än den som utför behandlingen. Det förhållandet att systemadministratören – eller en annan tjänsteman vid myndig- heten – kan få åtkomst till uppgiften genom ett visst tekniskt förfarande, kan inte anses innebära att uppgiften som sådan är lagrad för att användas gemensamt i verksamheten. Inte heller innebär det förhållandet att en uppgift behandlas tillfälligt i en dator med det uttalade syftet att den senare skall "matas in" i systemet och göras gemensam, att den är en del av databasen. Däremot kommer uppgiften att omfattas av det särskilda regel- verket för en databas när den väl är registrerad i det gemensamma systemet. Ett exempel på en sådan situation kan i Försvarsmaktens verksamhet vara uppgifter hämtade från Informationsdatabasen som tillsammans med annan information bearbetas med hjälp av ordbehandling av en enskild tjänsteman och som efter sammanställning registreras i Informationssystem för den militära underrättelse- och säkerhetstjänsten (). Det är inte möjligt att i lagstiftningen dra någon exakt gräns för när en viss behandling skall anses ske i en databas och därmed omfattas av det särskilda regelverket för denna. Inte minst beror detta på att det inte är möjligt att förutse den tekniska utvecklingen inom datorområdet och de möjligheter som kan öppna sig i fråga om informationsöverföring. Enligt vår uppfattning måste det från fall till fall avgöras om uppgifter som behandlas automatiserat är gemensamma eller inte. Svårigheterna med att göra den bedömningen skall dock inte överdrivas. I de flesta fall ser vi inga problem med att bedöma om en uppgift behandlas gemensamt eller inte. En tjänsteman inom Försvarsmak- ten eller kan utan svårigheter avgöra om han eller hon för tillfället arbetar med uppgifter direkt i en särskilt reglerad databas eller med uppgifter i ett ordbehandlingsdokument. Den personuppgiftsansvarige har naturligtvis också ett ansvar för att gränsdragningsproblem inte uppstår på grund av brister i den tekniska utformningen av ett datorsystem. De säkerhetskrav som omgärdar Försvarsmaktens och Försvarets radioanstalts datorsys- tem i detta sammanhang medför även de att några tvivel inte bör uppstå om huruvida en viss uppgift ingår i en databas eller inte. Sammanfattningsvis är det enligt vår mening en grundläggande förutsättning för att elektroniskt lagrade uppgifter skall anses ingå i en databas, att uppgifterna av Försvarsmakten eller används gemensamt i en viss verksamhet för de ända- mål som skall styra behandlingen av uppgifter inom verksamheten. För den resterande behandlingen av uppgifter är enligt vår upp- fattning de grundläggande bestämmelserna i 1 kap. tillräckliga. Det gäller alltså sådan mer tillfällig behandling som sker för den enskilde tjänstemannens bruk eller behandling av uppgifter som i vart fall inte används gemensamt i underrättelseverksamheten. Vårt förslag: I Försvarets radioanstalts underrättelseverksamhet skall det finnas ett antal skilda samlingar uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten (databaser). Det skall finnas en urvalsdatabas för planering och inriktning av inhämtning av information. Det skall finnas en källdatabas för uppgifter som samlats in genom signalspaning och en databas för öppna källor för uppgifter som samlats in på annat sätt. För analys och bearbetning av insamlade uppgifter skall det finnas en analysdatabas. Underrättelserapporter skall för delgivning samlas i en rapportdatabas. Som framgår av avsnitt 8.3.1 föreslår vi att det för de verksamheter vi har att utreda skall finnas en särskild reglering för den behand- ling av personuppgifter som sker i myndigheternas olika databaser. Vår utgångspunkt har härvid varit att det är myndigheternas behov av uppgifter i respektive verksamhet som skall vara styrande, som det naturligtvis måste beaktas att de registrerades personliga integritet inte otillbörligen skall kränkas. För att på ett rationellt sätt kunna hantera den mycket omfattande och komplexa informationsmängd som samlas in i Försvarets radioanstalts underrättelseverksamhet sker bearbetning och analys med hjälp datorer. Verksamheten utmärker sig på så sätt att så gott som all behandling av personuppgifter i Försvarets radioanstalts underrättelseverksamhet sker datoriserat i myndig- hetens databaser. Myndigheten för inga register och behandling sker heller inte i fristående persondatorer. Redan av bestämmelserna i 1 kap. förslaget till lag om behandling av uppgifter i Försvarets radioanstalts underrättelseverksamhet om ändamål m.m. följer att kan lägga upp speciella databaser för behandling av personuppgifter. En sådan omfattande behandling av personuppgifter, som sker i myndig- hetens underrättelseverksamhet och i vilken verksamhet uppgift- erna dessutom är gemensamt tillgängliga för flera personer, bör enligt vår uppfattning av integritetsskäl omgärdas av vissa särskilda bestämmelser. Särskilda bestämmelser för myndighetens databaser fyller också den funktionen att det för enskilda blir tydligt vilka databaser myndigheten har och vilken behandling av uppgifter som förekommer i databaserna. Vi anser därför att det utöver de grundläggande bestämmelserna om ändamål m.m., som är tillämpliga på all behandling av person- uppgifter, skall finnas särskilda bestämmelser för sådan automati- serad behandling av personuppgifter som inte utgörs av vanlig ordbehandling e.d. och som inte är av helt tillfällig natur. Det bör finnas regler om vilka databaser som får finnas i verksamheten och för vilka särskilda ändamål uppgifter får behandlas i respektive databas. Vidare bör det finnas vissa bestämmelser om innehåll i databaserna och om begränsningar av vilka sökord som får användas samt om vilka andra myndigheter som får ha direkt- åtkomst till databaserna. Försvarets radioanstalts system för behandling av person- uppgifter i dess underrättelseverksamhet är helt anpassat till under- rättelseprocessen. I enlighet härmed skall det enligt vår mening för inriktning av myndighetens underrättelseverksamhet finnas en urvalsdatabas. Information som hämtas in skall vidare lagras i en källdatabas eller databas för öppna källor. Bearbetning och analys av inhämtad underrättelseinformation skall ske i en analysdatabas och underrättelserapporterna som är färdiga för delgivning skall slutligen enligt vår uppfattning lagras i en rapportdatabas. Vi anser att följande skall gälla för databaserna. Urvalsdatabasen – planering och inriktning I urvalsdatabasen skall de uppgifter behandlas som används för planering och inriktning av underrättelseverksamheten, på såväl lång som kort sikt. bedriver som tidigare nämnts signalspaning och underrättelseverksamhet i övrigt enligt den inriktning som regeringen, Försvarsmakten och övriga upp- dragsgivare anger.