sou · GRB334d2 · 2004-01-01 00:00:00 — Vi anser att det även för Försvarsmaktens och Försvarets radioanstalts verksamheter finns behov av ett särskilt begrepp för att beskriva vissa uppgifts- samlingar som är föremål för automatiserad behandling. Begreppet databas, som språkligt har mer naturlig anknytning till automati- serade sammanställningar av uppgifter, är i det här sammanhanget att föredra framför register. Begreppet databas används också, som påpekats, redan i nuvarande författning när det gäller Försvarets radioanstalts behandling av personuppgifter. Databasbegreppet underlättar en teknikneutral lagstiftning I våra lagförslag avser vi med begreppet databas något annat än egentliga register. En databas består av en uppgiftssamling av varierande slag, ofta rörande såväl juridiska som fysiska personer. Den kan innehålla ett antal egentliga register, men också uppgifter som inte alls kan inordnas i ett traditionellt register, såsom elektroniska färdiga handlingar i form av text eller bilder m.m. och omfattande mängder krypterade tekniska signaler. En av våra målsättningar är att skapa ett regelverk som är mer teknikneutralt än många av de registerförfattningar som finns . Detta kan göras genom att begreppet databas ges en rättslig innebörd utan direkt teknisk anknytning. Vi anser att en databas skall definieras som en samling uppgifter som med hjälp av automatiserad behand- ling används gemensamt inom en verksamhet. En definition av begreppet databas som den angivna utesluter register och gör det möjligt att särskilja tillfälliga behandlingar av personuppgifter i en persondator från behandlingar i datorsystem som är särskilt reglerade till sitt innehåll och användningsområde. Definitionen har även den fördelen att den inte tekniskt avgränsar hur en samling uppgifter är uppbyggd eller organiserad. Det innebär att om flera register – i egentlig bemärkelse – är sammanlänkade och samtliga uppgifter i de olika registren på ett gemensamt sätt är tillgängliga för sökning med automatiserad behandling inom en avgränsad verksamhet, så utgör dessa register en databas. Med andra ord skulle automatisera- Övergripande frågor och principer de register kunna sägas vara en specialform av databaser, nämligen databaser vars innehåll är systematiserade på ett visst sätt enligt sär- skilda kriterier. En juridiskt bestämd databas kan således innehålla flera mindre databaser eller datorsystem i teknisk mening, varav en del kan vara regelrätta register. Om samtliga uppgifter i en databas finns samlade i ett enda tekniskt datorsystem eller om uppgifterna delas upp så att de rent tekniskt förvaras i olika datorsystem saknar alltså betydelse. Det väsentliga är att uppgifterna är gemensamt tillgängliga inom hela eller delar av myndigheternas verksamheter och för vilket eller vilka ändamål behandlingen sker. Dessa tankegångar har som utgångspunkt att en lag om behandling av personuppgifter inte skall reglera hur uppgifterna tekniskt organiseras, utan endast utgöra en rättslig ram för vilka uppgifter som får behandlas och på vilket sätt de får användas, för att bl.a. säkerställa ett gott integritetsskydd. Detta innebär att regleringen av databaser i Försvarsmaktens försvarsunderrättelse- verksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet kan innehålla bestämmelser om behandling av samtliga de uppgifter som finns i olika register och datorsystem, utan att det för den sakens skull anges hur uppgifterna skall organiseras eller delas in i grupper. Om det i en lag anges att en sådan databas får innehålla samtliga uppgifter som behandlas i olika datorsystem eller register, så tar man därigenom inte ställning till den tekniska utformningen. Det kan alltså i princip bli fråga om ett stort centralt eller flera små lokalt anordnade datorsystem eller register eller en blandning av båda alternativen. Det väsentliga är att de krav lagen ställer på behandlingen för att säkerställa enskildas personliga integritet efterlevs. 8.1Lagstiftningens systematik och allmänna tillämpningsområde Vårt förslag: Den gällande förordningen (2001:703) om viss behandling av personuppgifter inom Försvarsmakten och skall ersättas av två nya lagar med tillhörande förordningar. Den ena lagen skall reglera behand- lingen av uppgifter i Försvarsmaktens försvarsunderrättelse- verksamhet och den militära säkerhetstjänsten. Den andra skall omfatta behandlingen av uppgifter i Försvarets radioanstalts underrättelseverksamhet. De nya lagarna skall ha samma inbördes systematik och delas in i tre kapitel: –allmänna bestämmelser som i huvudsak är tillämpliga på all behandling av uppgifter som omfattas av lagen, –särskilda bestämmelser som endast gäller automatiserad behandling av uppgifter i gemensamma databaser, samt –bestämmelser om enskildas rättigheter vid behandlingen av personuppgifter, och om särskild granskning till skydd för de registrerades personliga integritet. I vårt uppdrag ingår att kartlägga behandlingen av personuppgifter och analysera behovet av nya bestämmelser samt lämna förslag till sådana bestämmelser i lag. Som tidigare framhållits är det stats- makternas uppfattning att omfattande behandling av personupp- gifter som dessutom kan vara av särskilt känslig natur bör regleras särskilt i lag i stället för förordning. Vi föreslår därför att den nu gällande förordningen (2001:703) om viss behandling av person- uppgifter inom Försvarsmakten och skall ersättas av en reglering i lagform. Enligt vår uppfattning skall respektive myndighets behandling av personuppgifter regleras för sig i en särskild lag. Vi föreslår således en lag om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksam- het och den militära säkerhetstjänsten samt en lag om behandling av personuppgifter i Försvarets radioanstalts underrättelseverksam- het. Det finns ingen enhetlig systematik bland de registerförfatt- ningar som gäller inom skilda myndighetsområden. Vilken systematik som väljs kan vara beroende av olika faktorer, exempelvis hur omfattande regleringen är, vilken verksamhet den avser och om författningen gäller utöver eller i stället för person- uppgiftslagen. I både Försvarsmaktens och Försvarets radioanstalts verksamhet behandlas en stor mängd uppgifter som ofta kan vara av känslig natur och ändamålen med verksamheterna är i stort sett desamma. Verksamheterna påminner mycket om varandra också när det gäller den säkerhet och sekretess som omgärdar behand- lingen av personuppgifter. Vi anser att de båda lagarna skall vara uppbyggda enligt samma struktur. Det innebär att det i ett första kapitel finns bestämmelser som skall tillämpas generellt på all behandling av uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten respektive Försvarets radioanstalts underrättelse- verksamhet. Härigenom kommer behandling av personuppgifter att omfattas av kapitlet oavsett om det gäller e-posthantering, enkel ordbehandling eller förandet av omfattande och för myndigheten gemensamma databaser. I ett andra kapitel återfinns regler som gäller endast för den särskilda form av automatiserad behandling av uppgifter som utförs i en databas för gemensam användning i verksamheten. I ett avslut- ande kapitel samlas de bestämmelser som gäller vilka rättigheter enskilda har gentemot den personuppgiftsansvariga myndigheten, dvs. I tredje kapitlet finns också bestämmelser om att en särskild myndighet skall ha till uppgift att granska den behandling av personuppgifter som utförs inom Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet. Vårt förslag: Den lag som reglerar behandling av uppgifter i Försvarsmakten skall tillämpas på sådan behandling som sker i myndighetens försvarsunderrättelseverksamhet och i den militära säkerhetstjänsten. När det gäller tillämpas lagen på den behandling som sker i myndighetens underrättelseverksamhet. Lagarna skall tillämpas vid behandling av personuppgifter som är helt eller delvis automatiserad. Även behandling av personuppgifter i vissa register skall omfattas av lagarnas tillämpningsområde. De bestämmelser i lagarna som reglerar ändamålen med och ansvaret för behandlingen av uppgifter samt behandling av uppgifter i särskilda gemensamma automatiserade uppgifts- samlingar (databaser), skall vara tillämpliga även vid behandling av uppgifter om juridiska personer. Den lag som reglerar behandlingen av personuppgifter inom Försvarsmakten skall omfatta sådan behandling som sker inom myndighetens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten. Lagen som reglerar viss behandling av person- uppgifter inom skall omfatta den behand- ling som sker inom myndighetens underrättelseverksamhet. Vad försvarsunderrättelseverksamhet och säkerhetstjänst samt Försvar- ets radioanstalts underrättelseverksamhet inbegriper för verksam- het och behandling av personuppgifter har beskrivits i kapitel 2–3 och 5–6. Begreppen försvarsunderrättelseverksamhet och militär säkerhetstjänst definieras inte särskilt i lagen, inte heller vad som inbegrips i Försvarets radioanstalts underrättelseverksamhet preci- seras närmare i författningstexten. När det gäller att avgöra om en behandling omfattas av någon av de aktuella verksamheterna kan emellertid ledning hämtas från de bestämmelser i respektive författning som beskriver för vilka ändamål uppgifter får behand- las. Vad som avses med försvarsunderrättelseverksamhet och vilka myndigheter som skall bedriva denna verksamhet framgår av lagen (2000:130) om försvarsunderrättelseverksamhet och förordningen (2000:131) om sådan verksamhet. Grundläggande författningar vad gäller militär säkerhetstjänst är säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633). Utanför lagarnas tillämpningsområde faller behandling av personuppgifter i samband med de interna och administrativa åtgärder som kan förekomma i Försvarsmaktens och Försvarets radioanstalts verksamheter. För behandling av uppgifter som rör sådana frågor, t.ex. i personal- och löneregister, gäller i stället personuppgiftslagen. När det gäller behandling av personuppgifter om egen personal kan denna emellertid komma att omfattas av lagarnas bestämmelser om behandlingen sker för något av de ändamål som anges i lagarna. Sådan behandling kan särskilt före- komma i den militära säkerhetstjänsten som även omfattar uppgifter som rör den egna personalen. Enligt vår uppfattning bör författningarna för Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt för Försvarets radioanstalts underrättelseverksamhet omfatta sådan grundläggande behandling som omfattas av personupp- giftslagen. Härmed avses helt eller delvis automatiserad behandling av personuppgifter och behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personupp- gifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. behandling i t.ex. register omfattas alltså av lagstiftningen om uppgifterna är tillgängliga för sökning eller sammanställning enligt mer än ett kriterium. Personuppgiftslagen gäller endast vid behandling av personupp- gifter, dvs. all slags information som direkt eller indirekt kan hän- föras till en fysisk person som är i livet. Det innebär att behandling av uppgifter om juridiska personer och avlidna inte alls omfattas av lagen. Försvarsmakten och behandlar i de aktuella verksamheterna stora mängder uppgifter som rör andra än levande fysiska personer, t.ex. företag, myndigheter och organisa- tioner som är av intresse för svensk utrikes-, försvars- och säker- hetspolitik eller från säkerhetsskyddssynpunkt. Dessa kategorier har av naturliga skäl inte samma behov av integritetsskydd som levande fysiska personer, men det kan enligt vår uppfattning ändå finnas anledning att låta dem omfattas av regleringen när det gäller vad myndigheterna får och inte får registrera i sina datorsystem och hur uppgifterna sedan får användas. Vi föreslår därför att även juridiska personer skall omfattas av de bestämmelser i författningarna som anger ändamålet med och ansvaret för behandlingen. Med juridiska personer avses även myndigheter och handelsbolag. Även bestämmelser om när uppgifter behandlas i gemensamma datorsystem (se avsnitt 8.3 om databaser) skall omfatta juridiska personer. Vårt förslag: Bestämmelser i personuppgiftslagen skall tillämpas på behandling av personuppgifter inom Försvarsmaktens för- svarsunderrättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet endast när det anges särskilt. De bestämmelser i personuppgiftslagen som skall vara allmänt tillämpliga är de om definitioner, förhållandet till offentlighets- principen, grundläggande krav på behandling, säkerheten vid behandling, personuppgiftsombudets uppgifter samt tillsyns- myndighetens befogenheter och straff. En viktig fråga är i vilken omfattning personuppgiftslagens bestäm- melser skall vara tillämpliga inom Försvarsmaktens försvarsunder- rättelseverksamhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet. Personuppgifts- lagen är generellt tillämplig på behandling av personuppgifter och den kommer därför att gälla i myndigheternas underrättelse- verksamhet och säkerhetstjänst, om det inte finns avvikande bestämmelser i lag eller förordning. Som vi nämner i avsnitt 7.3 behövs det från personuppgiftslagen avvikande bestämmelser för Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt Försvarets radioanstalts underrättelseverk- samhet. Det innebär att det i båda lagarna som vi föreslår finns vissa uttryckliga bestämmelser som avviker från personuppgifts- lagens regler. uppstår frågan hur man skall hantera de bestämmelser som inte skall avvika från personuppgiftslagens I tidigare lagstiftningsärenden har olika varianter före- kommit. En modell är att i en särskild författning över huvud taget inte nämna personuppgiftslagen eller klart ange att den särskilda författningen gäller utöver personuppgiftslagen. I båda fallen gäller avvikande bestämmelser i den särskilda författningen före person- uppgiftslagen. När reglering i den särskilda författningen saknas kommer däremot personuppgiftslagens bestämmelser att vara tillämpliga. Nackdelen med att låta den särskilda författningen gälla utöver personuppgiftslagen är att det kan vara svårt för lag- tillämparen att överblicka vilka bestämmelser i personuppgiftslagen som är tillämpliga och i vilken omfattning bestämmelserna i den särskilda författningen avviker från personuppgiftslagens regler. En annan modell är att de bestämmelser i personuppgiftslagen som skall vara tillämpliga skrivs ut i klartext i den särskilda författ- ningen, som alltså gäller i stället för personuppgiftslagen. Fördelen med en sådan lösning är att tillämparen snabbt får klart för sig vilka bestämmelser som gäller utan att ens behöva gå till personuppgifts- lagen. En sådan modell har använts i betänk- ande Behandling av personuppgifter i polisens verksamhet (SOU 2001:92) med förslag till ny polisdatalag. Utformningen av lagen har där motiverats med att det är en fördel för tillämparen att ha alla tillämpliga bestämmelser samlade i en enda lag. En nackdel med att skriva in bestämmelser som finns i personuppgiftslagen är att man därigenom inför en onödig dubbelreglering, eftersom person- uppgiftslagens bestämmelser ändå gäller om inget annat anges. Dessutom innebär även mindre ändringar i personuppgiftslagen att motsvarande justeringar måste göras i den särskilda författningen. Den särskilda lagen kan även komma att bli onödigt omfattande till formatet. Ett tredje sätt att utforma lagstiftningen på är att de bestäm- melser som avviker från personuppgiftslagen regleras särskilt i specialförfattningen och att det uttryckligen hänvisas till de lagrum i personuppgiftslagen som skall vara tillämpliga. Även denna modell bygger på att det är av stort värde att inte lämna lagtillämparen utan vägledning när det gäller frågan om vilka bestämmelser i personuppgiftslagen som är tillämpliga. Denna metod har i och för sig fått kritik från Lagrådet som bl.a. ansåg lagstiftningstekniken riskfylld med hänsyn till såväl svårigheterna att överblicka om dataskyddsdirektivet blir tillfullo genomfört i registerlagstiftningen som till möjligheten att vid kommande lagändringar hänvisningarna till personuppgiftslagen blir felaktiga eller missvisande (prop. 2000/01:33 s. Det är enligt vår uppfattning av väsentlig betydelse att inte lämna lagtillämparen utan vägledning när det gäller tolkningen av vilka bestämmelser i personuppgiftslagen som är tillämpliga. Det visar inte minst förslag, som till stor del är en följd av de problem inom polisväsendet som orsakats av att man varit tvungen att arbeta med två lagar (se SOU 2001:92 s. 152). Vi förordar en lagstiftningsteknik där specialförfattningen gäller i stället för personuppgiftslagen och hänvisning görs till tillämpliga bestämmelser i personuppgiftslagen. Denna lagstiftningsteknik tillämpas också , trots Lagrådets kritik, i den lagstiftning om behandling av personuppgifter som gäller inom skatteförvaltningen (SFS 2001:181–183), exekutionsväsendet (SFS 2001:184) och (SFS 2001:185). I betänkandet Informationshantering och behandling av uppgifter vid domstolar – En rättslig översyn (SOU 2001:100) föreslår att de särskilda lagreglerna för domstolarnas behandling av personuppgifter skall gälla i stället för personuppgiftslagen, med undantag för vissa bestämmelser i personuppgiftslagen som pekas ut i de särskilda lagarna. Motsvarande lagstiftningsteknik används också i Tull- brottsdatautredningens betänkande brottsbekämpning, Integritet – Effektivitet (SOU 2002:113). Datainspektionen har i remissyttranden förordat denna lagstiftningsteknik och framhållit att det finns ett stort värde i att lämna lagtillämparen vägledning genom att ange i speciallagen vilka bestämmelser i person- uppgiftslagen som skall tillämpas. Lagstiftningstekniken har vidare den fördelen att registerlagen blir mindre omfattande och inte medför en dubbelreglering i förhållande till personuppgiftslagen. Ett antal remissinstanser som yttrat sig över lagstiftningsteknik har också förordat en hänvisning till tillämpliga bestämmelser i personuppgiftslagen i stället för att upprepa dem i speciallagen. Vi anser att man inte skall överdriva den av Lagrådet påtalade risken att hänvisningar kan bli felaktiga vid lagändringar, inte minst mot bakgrund av att regleringen avser ett rättsområde som har sin grund i ett EG-direktiv och därför inte kan antas komma att genomgå några större förändringar inom i vart fall . Vi har då beaktat den pågående Utredningen om översyn av personuppgiftslagen (Dir 2002:31). Dessutom bör man, som tidigare påtalats, beakta den omständigheten att den militära underrättelse- och säkerhetstjänsten samt Försvarets radioanstalts underrättelseverksamhet faller inom ett rättsområde som över huvud taget inte omfattas av dataskyddsdirektivets tillämpnings- område (se avsnitt 4.4.1). Vår bedömning är att de ovan nämnda fördelarna med en metod som innebär att våra föreslagna lagar gäller utöver personuppgifts- lagen och att det ges uttryckliga hänvisningar till de bestämmelser i personuppgiftslagen som är tillämpliga mycket klart överväger nackdelarna. Vi föreslår därför att en sådan modell används i författningarna om behandling av personuppgifter inom Försvars- maktens försvarsunderrättelseverksamhet och den militära säker- hetstjänsten samt i Försvarets radioanstalts underrättelseverksam- het. Tillämpliga bestämmelser i personuppgiftslagen Redovisningen nedan av vilka bestämmelser i personuppgiftslagen som vi föreslår skall vara tillämpliga vid behandling av personupp- gifter i verksamhet vid Försvarsmakten och omfattar inte de bestämmelser som direkt rör enskildas rättigheter; information, rättelse och skadestånd. Vi föreslår att dessa bestäm- melser skall återfinnas i författningarnas tredje kapitel och åter- kommer därför till de bestämmelserna i avsnitt 8.4. Definitioner (3 § personuppgiftslagen) Vi har inte funnit någon anledning att definiera de begrepp som förekommer i de av oss föreslagna författningarna på något annat sätt än vad som sker i 3 § personuppgiftslagen. Det framstår i stället tvärtom som viktigt att de begrepp som används i de olika författningarna har samma innebörd för att undvika missförstånd. Det bör dock anmärkas att personuppgiftsansvaret regleras särskilt i de föreslagna författningarna. Förhållandet till offentlighetsprincipen (8 § personuppgiftslagen) Bestämmelsen i 8 § första stycket personuppgiftslagen är en ren upplysning och markering av offentlighetsprincipens företräde. I andra stycket finns dock en materiell regel som anger att 9 § fjärde stycket personuppgiftslagen inte skall tillämpas i fråga om myndig- heters användning av personuppgifter i allmänna handlingar. I bestämmelsen ställs det upp begränsningar i rätten att använda sig av personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål för att vidta åtgärder i fråga om den registrerade. Personuppgiftslagens bestämmelser hindrar inte heller att allmänna handlingar bevaras eller att arkivmaterial tas om hand för arkivering. Dessa undantag bör gälla även inom den militära underrättelse- och säkerhetstjänsten och i Försvarets radioanstalts underrättelseverksamhet. Grundläggande krav på behandlingen av personuppgifter (9 § personuppgiftslagen) En av de viktigaste bestämmelserna i fråga om behandling av personuppgifter finns i 9 § personuppgiftslagen och avser vilka grundläggande krav som ställs på en personuppgiftsansvarig (se avsnitt 4.7.2). Dessa krav bör tillämpas även vid behandling av personuppgifter inom Försvarsmaktens försvarsunderrättelseverk- samhet och den militära säkerhetstjänsten samt i Försvarets radioanstalts underrättelseverksamhet. Frågor om bevarande och gallring behandlas särskilt i avsnitt 9.1. Säkerheten vid behandling (30 och 31 §§ personuppgiftslagen) I 30–32 §§ personuppgiftslagen finns regler om hur den person- uppgiftsansvarige skall organisera arbetet med behandlingen av personuppgifter för att garantera säkerheten. Det rör sig om instruktioner till personalen samt tekniska och organisatoriska åtgärder. I fråga om behandling av uppgifter i databaser kan det finnas behov av såväl tekniska lösningar för datorsystemen som olika behörighetsnivåer för personalkategorier, för att garantera att lagstiftningen efterlevs. Det kan diskuteras vilken funktion det fyller att för Försvarsmaktens försvarsunderrättelseverksamhet och den militära säkerhetstjänsten samt Försvarets radioanstalts underrättelseverksamhet hänvisa till någon av dessa bestämmelser. Den tekniska säkerheten vad gäller intrångsskydd, behörighets- nivåer för tillgång till behandlade uppgifter samt spridnings- begränsningar m.m. är av naturen av största betydelse för den militära underrättelse- och säkerhetstjänsten och Försvarets radio- anstalt, redan av andra skäl än personuppgiftslagens bestämmelser. Enligt vår uppfattning kan det emellertid finnas anledning att hänvisa till bestämmelserna om personer som behandlar person- uppgifter och säkerhetsåtgärder i 31 och 32 §§ personuppgiftslagen. Härigenom understryks att säkerhet är viktigt inte bara med hänsyn till verksamheten som sådan utan också för skyddet av den personliga integriteten. Enligt vår uppfattning är det däremot inte lämpligt att Data- inspektionen skall ha befogenhet att tala om för Försvarsmakten och vilka säkerhetsåtgärder myndigheten skall vidta i detta sammanhang. Bestämmelserna i 32 § person- uppgiftslagen bör därför inte vara tillämpliga. Personuppgiftsombudets uppgifter m.m. (36 § andra stycket och 38– 40 §§ personuppgiftslagen) Automatiserade behandlingar av personuppgifter skall enligt 36 § personuppgiftslagen anmälas till tillsynsmyndigheten (Datainspek- tionen).