prop · GZ0348 · 2011-12-29 00:00:00 — Regeringens skrivelse 2011/12:48 Regeringen överlämnar denna skrivelse till . I denna skrivelse redogörs för resultatet av den uppföljning och granskning av signalspaning i försvarsunderrättelseverksamhet som regeringen beslutat om och som genomförts av Datainspektionen och den parlamentariska . Skrivelsen är den kontrollstation och årliga rapport som frågat efter i samband med riksdagsbehandlingen av lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. Ärendet och dess beredning.............................................................. Förutsättningar för regeringens redovisning..................................... Signalspaning i försvarsunderrättelseverksamhet .............. Reglering av signalspaning i 3.3Ändringar i lagstiftningen om signalspaning i Uppföljning av signalspaningslagstiftningen.................................... Uppdraget till Datainspektionen ........................................ 4.2Kommittén för uppföljning av lagen om signalspaning i Utvärdering av signalspaningens konsekvenser för den enskildes Internationellt samarbete och integritet Underrättelseskyldigheten till den enskilde Tillstånds- och kontrollfunktionernas betydelse Slutsatser ......................om signalspaning och personlig integritet Utdrag ur protokoll vid regeringssammanträde .27 Ärendet och dess beredning Vid slutbehandling av regeringens proposition En anpassad försvarsunderrättelseverksamhet tillkännagav som sin mening vad försvarsutskottet anfört om ytterligare rättssäkerhets- och kontrollmekanismer (prop. 2006/07:63, bet. 2007/08:FöU15, rskr. 2007/08:266). anförde bland annat att regeringen en gång ska redovisa en granskning av den signalspaningsverksamhet som bedrivits enligt lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. Vidare anfördes att regeringen ska redovisa en kontrollstation. I regeringens skrivelse Integritetsskydd vid signalspaning i försvarsunderrättelseverksamhet (skr. 2010/11:41) anförde regeringen att då den årliga rapporten och kontrollstationen har samma fokus avser regeringen behandla dessa båda i en samlad redogörelse. I enlighet med tillkännagivande lämnar regeringen denna skrivelse med redovisning av kontrollstation 2011 om integritetsskydd vid signalspaning i försvarsunderrättelseverksamhet. 2 Förutsättningar för regeringens redovisning I regeringens skrivelse Integritetsskydd vid signalspaning i försvarsunderrättelseverksamhet (skr. 2010/11:41), vilken lämnades , konstaterade regeringen att lagstiftningen och de nya myndigheterna hunnit verka . Detta innebar ett begränsat underlag för slutsatser. Myndigheterna och lagstiftningen har verkat och Datainspektionen och den parlamentariska har lämnat sina rapporter. Detta innebär att det nu finns ett bättre underlag för att bedöma lagstiftningens konsekvenser ur ett integritetsperspektiv. har Datainspektionen och konstaterat att inhämtningen av trafik i tråd inte utvecklats tillräckligt för att det ska vara möjligt att dra säkra slutsatser om denna inhämtningsforms konsekvenser för den enskildes integritet. Signalspaning i försvarsunderrättelseverksamhet regleras i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet (fortsättningsvis signalspaningslagen) och i förordningen (2008:923) om signalspaning i försvarsunderrättelseverksamhet. Enligt lagen får den myndighet som regeringen bestämmer Skr. 2011/12:48 (signalspaningsmyndigheten) inhämta signaler i elektronisk form vid Signaler får endast inhämtas för de ändamål som särskilt anges i lagen och endast efter inriktning av regeringen, och Försvarsmakten. Inhämtningen får inte avse signaler mellan en avsändare och mottagare som båda befinner sig i . Regeringen lämnade 2007 propositionen En anpassad försvars- underrättelseverksamhet (prop. 2006/07:63). I propositionen föreslogs bland annat en ny lag om signalspaning i försvarsunderrättelseverksamhet. beslutade att anta de lagförslag i propositionen som avsåg sekretess samt ändringar i lagen om försvarsunderrättelseverksamhet. beslutade att förslagen till lag om signalspaning i försvarsunderrättelseverksamhet och lag om ändring i lagen (2003:389) om elektronisk kommunikation, när det gäller 6 kap. 21 §, skulle återförvisas av kammaren till försvarsutskottet för att där vila . Efter ny behandling i försvarsutskottet biföll regeringens förslag till lag om signalspaning i försvarsunderrättelseverksamhet (prop. 2006/07:63, bet. 2007/08:FöU15, rskr. 2007/08:266). I samband med beslutet tillkännagav som sin mening vad försvarsutskottet anfört om ytterligare rättssäkerhets- och kontrollmekanismer. I denna del anförde försvarsutskottet bl.a. att regeringen skulle återkomma med vissa förslag till ändringar i den antagna lagen. Utskottet anförde att regeringen skulle meddela närmare föreskrifter i förordningsform om ytterligare rättssäkerhets- och kontrollmekanismer när det gällde: -en precisering av för vilka ändamål signalspaning skulle få bedrivas inom ramen för den föreslagna lagstiftningen, -hur tillämpningen av tillståndsgivningen (inriktning, behov, proportionalitetsbedömning, uppdragsgivare och sökord) skulle ske, -hur förstöring av uppgifter skulle genomföras. Utskottet anförde vidare att lagen om signalspaning skulle kompletteras på följande sätt: -att tillstånden enligt signalspaningslagen skulle beslutas av en ny domstolsliknande nämnd, -att den domstolsliknande nämnden skulle fatta beslut om tillstånd för användande av sökbegrepp hänförliga till fysiska personer, -att regeringen och skulle ta integritetshänsyn vid sina beslut om inriktningen. Utskottet anförde också att regeringen senast skulle Skr. 2011/12:48 återkomma med förslag till ändringar i signalspaningslagen i dessa delar. Därutöver skulle regeringen: -lämna årliga rapporter till , -redovisa en kontrollstation 2011. Enligt försvarsutskottet skulle vidare ett särskilt uppdrag lämnas till Datainspektionen om att fram till kontrollstationen 2011 följa personuppgiftsbehandlingen i verksamheten vid () ur ett integritetsskyddsperspektiv. Till Datainspektionen skulle en särskild referensgrupp knytas med personer som nomineras av riksdagspartierna. Utskottet anförde också att regeringen skulle tillsätta en parlamentarisk kommitté med uppgift att följa verksamheten vid ur ett integritetsperspektiv fram till kontrollstationen. 3.3Ändringar i lagstiftningen om signalspaning i försvarsunderrättelseverksamhet träffade regeringspartierna en politisk överenskommelse om åtgärder för att ytterligare stärka integritetsskyddet vid signalspaning i försvarsunderrättelseverksamhet. Som ett resultat av den politiska överenskommelsen utarbetades inom (Försvarsdepartementet) promemorian Förstärkt integritetsskydd vid signalspaning (Ds 2009:1). Förslagen i denna promemoria kom att ligga till grund för propositionen 2008/09:201 Förstärkt integritetsskydd vid signalspaning, som regeringen beslutade om . I propositionen föreslogs ändringar i signalspaningslagen, en ny lag om försvarsunderrättelsedomstol samt ändringar i offentlighets- och sekretesslagen (2009:400) och säkerhetsskyddslagen (1996:627). Dessa ändringar tillgodosåg vad anfört om ytterligare rättssäkerhets- och kontrollmekanismer samt övriga kompletteringar av lagstiftningen med regler som ytterligare stärker skyddet för den enskildes integritet. beslutade att anta regeringens förslag (bet. 2009/10:FöU3, rskr. 2009/10:3) och ändringarna trädde i kraft . Som en följd av ändringarna i lagstiftningen inrättades två nya myndigheter, Försvarsunderrättelsedomstolen och Statens inspektion för försvarsunderrättelseverksamheten (Siun). Försvarsunderrättelsedomstolen har till uppgift att pröva signalspaningsmyndighetens ansökningar om tillstånd för verkställighet av signalspaning. Statens inspektion för försvarsunderrättelseverksamheten har till uppgift att kontrollera försvarsunderrättelseverksamheten hos de myndigheter som enligt förordningen (2000:131) om försvarsunderrättelseverksamhet bedriver sådan verksamhet. Siun är också kontrollmyndighet enligt signalspaningslagen samt ser till att endast får tillgång till den trafik som domstolen Skr. 2011/12:48 lämnat tillstånd till. Vidare inrättades ett integritetsskyddsråd vid för en fortlöpande insyn i de åtgärder som vidtas och för att säkerställa integritetsskyddet i signalspaningsverksamheten. främsta uppgift är att utifrån lagstiftningen granska hur styrs genom myndighetens interna föreskrifter och rutiner. En utförlig beskrivning av lagstiftningen och de nya myndigheternas uppgifter har lämnats av regeringen i skrivelsen Integritetsskydd vid signalspaning i försvarsunderrättelseverksamhet (2010/11:41). 4 Uppföljning av signalspaningslagstiftningen Som nämnts under avsnitt 3.2 anförde i sitt yttrande över propositionen En anpassad försvarsunderrättelseverksamhet (prop. 2006/07:63), att ett uppföljningsuppdrag skulle ges till Datainspektionen och att en parlamentarisk kommitté skulle tillsättas för att följa konsekvenserna av lagstiftningen ur ett integritetsperspektiv. Regeringen gav i uppdrag till Datainspektionen att granska den personuppgiftsbehandling som signalspaningslagen föranleder vid . I uppdraget ingick att analysera vilka särskilda integritetsproblem som kan uppstå i samband med personuppgiftsbehandling i Försvarets radioanstalts signalspaningsverksamhet. Vidare skulle Datainspektionen utreda om de rutiner och riktlinjer som tillämpar är tillräckliga för att hantera sådana problem. I uppdraget ingick även att bistå vid utarbetandet av de eventuella ytterligare rutiner och riktlinjer som kan vara nödvändiga för att tillgodose integritetsskyddsbehovet vid personuppgiftsbehandling i signalspaningsverksamheten. 4.2Kommittén för uppföljning av lagen om signalspaning i försvarsunderrättelseverksamhet beslutade regeringen i direktiv Uppföljning av lagen om signalspaning i försvarsunderrättelseverksamhet (dir. 2009:10) att ge en parlamentarisk kommitté i uppdrag att följa upp signalspaningslagen. Den parlamentariska kommittén, som tog namnet , fick i uppdrag att följa signalspaningen vid för att kunna redovisa och bedöma verksamhetens konsekvenser för den enskildes integritet. Kommittén skulle inte bara bedöma verksamheten vid . 2011/12:48 radioanstalt utifrån rättsliga aspekter utan också med utgångspunkt från om verksamheten bedrevs på ett etiskt riktigt sätt. Kommittén skulle i det sammanhanget analysera vilka etiska problem som aktualiserades i verksamheten samt bedöma om de rutiner som fanns för att hantera sådana frågeställningar var tillräckliga. Kommitténs arbete skulle resultera i en utvärdering av lagstiftningens konsekvenser för integritetsskyddet. I uppdraget ingick också att kommittén skulle fungera som referensgrupp till Datainspektionen. 5Utvärdering av signalspaningens konsekvenser för den enskildes integritet De slutsatser som dras om signalspaningens konsekvenser för den enskildes integritet grundar sig på den utvärdering av verksamheten vid som genomförts av Datainspektionen och . Datainspektionen redovisade sina slutsatser i en rapport till regeringen. Datainspektionen anger att målet har varit att genomföra en så heltäckande genomlysning som möjligt av den personuppgiftsbehandling som signalspaningslagen ger upphov till. Det finns dock delar av verksamheten som Datainspektionen endast har granskat översiktligt. Till denna kategori hör främst den s.k. partnersamverkan, dvs. Försvarets radioanstalts samarbete med andra staters motsvarigheter till myndigheten. Datainspektionen har heller inte närmare granskat sådan personuppgiftsbehandling som avser rent militär kommunikation, eftersom integritetsaspekterna enligt Datainspektionen i detta sammanhang inte kan anses göra sig lika starkt gällande som för annan kommunikation. En annan avgränsning avser granskningen av Försvarets radioanstalts signalspaning i tråd. Denna granskning har utförts i begränsad omfattning till följd av att myndighetens inhämtning i tråd av olika skäl inte påbörjades förrän . Datainspektionens slutsatser om inhämtning i tråd är således inte på samma sätt som när det gäller satellit- och annan eterburen inhämtning baserade på de bedömningar som inspektionen har kunnat göra utifrån egna observationer i den faktiska inhämtningen. Datainspektionen anser dock att de slutsatser som redovisas och som avser signalspaning i tråd kan anses som tillförlitliga, bl.a. mot bakgrund av de likheter som ändå finns jämfört med satellitinhämtning. Datainspektionens sammanfattande bedömning är att frågor som har med personuppgiftsbehandling och personlig integritet att göra tas på allvar vid och att myndigheten har lagt ned mycket tid och resurser på att skapa rutiner och utbilda personalen på ett Skr. 2011/12:48 sådant sätt att risken för otillbörliga intrång i den personliga integriteten Datainspektionen konstaterar att det intryck som de fått under sin granskning således på det hela taget är positivt. Den integritetspåverkan som kan uppstå i samband med den personuppgiftsbehandling som sker i Försvarets radioanstalts signalspaningsverksamhet rör enligt Datainspektionen i huvudsak följande områden. Datainspektionen konstaterar att är en organisation som i takt med teknikutvecklingen och utvecklingen i vår omvärld står inför nya utmaningar. Den verksamhet som Försvarets radioanstalts signalspaning har kommit att inrikta sig på avser delvis helt nya miljöer och förhållanden. Dessa omständigheter får även betydelse för den personuppgiftsbehandling som sker vid myndigheten. En mycket stor förändring är att nu får signalspana i tråd. Datainspektionen gör bedömningen att mängden inhämtade signaler typiskt sett kommer att öka i och med att möjligheten till inhämtning i tråd finns. Ett stort antal signaler leder till en potentiellt mer omfattande personuppgiftsbehandling vid och därmed typiskt sett en större risk för integritetsintrång. I de nya signalmiljöerna är trafiken också mer uppblandad än vad som gällde tidigare, när det främst var den militära eterburna trafiken som var föremål för signalspaning. Datainspektionen framhåller att detta ställer högre krav än tidigare på att med olika metoder kan välja ut just de signaler som är relevanta för myndighetens uppdrag. Det är på motsvarande sätt viktigt att kan välja bort sådana signaler som är irrelevanta, för att minimera intrånget i den personliga integriteten. Detta betonar i sin tur vikten av en effektiv utvecklingsverksamhet vid myndigheten. Med trafikdata menas uppgifter om ett meddelande, t.ex. om avsändare, mottagare, ärendemening samt vissa tekniska parametrar: IP-nummer, protokoll m.m. Trafikdata omfattar dock inte innehållet i ett meddelande. Trafikdata finns inte som begrepp i lagstiftningen, däremot talas det om "råmaterial". Enligt Datainspektionen har detta lett till vissa oklarheter om vilken kategori en viss information ska hänföras till, vilket i sin tur kan få betydelse för tillämpningen av bl.a. gallringsregler. Datainspektionen har funnit att sökbegreppen vid inhämtning av trafikdata är mer generella än vid inhämtning av meddelanden och medför en omfattande behandling av personuppgifter. drar slutsatsen att det innebär att det är relativt hög sannolikhet att de Skr. 2011/12:48 personer som kommunicerar i de signalbärare som Försvarets radioanstalt bedriver inhämtning mot, kommer att få uppgifter om sin kommunikation sparad hos myndigheten i form av trafikdata. Datainspektionen anser därför att bör överväga tekniska sökbegränsningar i syfte att skydda de personuppgifter som finns i trafikdatabasen mot otillbörliga intrång i den personliga integriteten. Med inhemsk trafik menas trafik mellan avsändare och mottagare som båda befinner sig i . När det gäller förbudet mot att inhämta inhemsk trafik bör enligt Datainspektionen sådan trafik i första hand uteslutas från inhämtning genom användandet av automatiska processer som skiljer bort den otillåtna trafiken. Vidare ska den automatiserade processen vara skyddad mot obehörig åtkomst och inblandning så att det inte är möjligt för en ensam befattningshavare att ta sig in i processen och starta en egen inhämtning av inhemska signaler. I de fall inhemsk trafik ändå skulle inhämtas är det viktigt att har rutiner som säkerställer att informationen hanteras på ett sådant sätt att intrånget i den personliga integriteten minimeras. bör även säkerställa att så få personer som möjligt behöver ta del av den aktuella informationen. Vidare behöver myndigheten i förekommande fall inrätta rutiner för dokumentation, återkoppling och uppföljning. Datainspektion konstaterar att i den uppgiftssamling som innehåller inhämtade meddelanden finns det , i fråga om satellitinhämtning, tillräckliga metoder för att urskilja inhemsk trafik. När det gäller inhämtning i tråd bedömer Datainspektionen att det finns behov av att förbättra metoderna för att urskilja sådan trafik med större noggrannhet. I detta sammanhang noterar Datainspektionen att signalspaningen måste ges förutsättningar att lösa sina uppgifter. Datainspektionen anser att det är fråga om en avvägning mellan effektivitet och integritet. Enligt 7 § 1 signalspaningslagen ska upptagning eller uppteckning av uppgifter förstöras om innehållet avser en viss fysisk person och bedöms sakna betydelse för sådan verksamhet som avses i 1 § samma lag. Datainspektionen konstaterar att en stor andel av de meddelanden som inhämtas av tas bort efter inhämtningen då de bedöms vara irrelevanta. Inspektionen ifrågasätter dock om uppgifterna verkligen är att anse som analysmaterial eller om det i själva verket, i ett inledande skede, är fråga om råmaterial för vilket en absolut gallringsfrist gäller. Datainspektionen anser att det finns anledning för att kontrollera, följa upp och dessutom utbilda handläggarna på ett sådant sätt att det säkerställs att samtliga meddelanden som omfattas av förstöringsskyldighet också förstörs på ett sådant sätt att Skr. 2011/12:48 informationen inte kan återskapas. När det gäller förstöringsskyldigheten enligt 7 § 2 och 3 signalspaningslagen, råder det enligt Datainspektionen oklarheter kring den geografiska räckvidden av förstöringsskyldigheten, något som kan få betydelse för den praktiska tillämpningen av bestämmelserna. Dessa oklarheter bör enligt Datainspektionen avhjälpas, t.ex. genom utbildning och handledning av den personal vid som behandlar personuppgifter. Datainspektionen konstaterar att rutiner har införts vid som säkerställer att meddelanden som inhämtats inte blir föremål för vidare behandling, utan att det först har kontrollerats att meddelandena inte innehåller förstöringspliktig information. Detta innebär ett ökat skydd vid behandling av personuppgifter. Enligt 3 § signalspaningslagen får sökbegrepp som är direkt hänförliga till en viss fysisk person användas endast om det är av synnerlig vikt för verksamheten. Datainspektionen som har granskat Försvarets radioanstalts föreskrifter avseende användande av sökbegrepp har inte haft något väsentligt att invända om föreskrifternas innehåll och ändamålsenlighet. Datainspektionen har dock funnit att de sökbegrepp som myndigheten använder vid sin signalspaning i stor omfattning är direkt hänförliga till en viss fysisk person. Enligt Datainspektionen är det faktum att Försvarsunderrättelsedomstolen tillståndsprövar de sökbegrepp som har behov av att använda en väsentlig del i upprätthållandet av ett integritetsskydd. Det är också av väsentlig betydelse att den kontroll som Siun gör enligt 10 § signalspaningslagen bedrivs på ett effektivt sätt avseende Försvarets radioanstalts sökbegreppsanvändning. Vid signalspaning kan s.k. känsliga personuppgifter komma att inhämtas. Med känsliga personuppgifter avses enligt 13 § personuppgiftslagen (1998:204) uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller uppgifter som rör hälsa eller sexualliv. Sådana uppgifter får behandlas av endast om vissa förutsättningar är uppfyllda enligt 1 kap. 11 § lagen (2007:259) om behandling av personuppgifter i utvecklingsverksamhet (FRA-PuL). Datainspektionen har funnit att det inte finns någon teknisk funktion som säkerställer att den nödvändighetsbedömning som krävs, genomförs och dokumenteras i Försvarets radioanstalts it-system. skulle enligt Datainspektionen vara av stort värde för att säkerställa integritetsskyddet vid behandling av känsliga personuppgifter. rutiner för den praktiska hanteringen av känsliga personuppgifter som Skr. säkerställer att de nödvändiga bedömningarna görs. Den i 11 a § signalspaningslagen beskrivna underrättelseskyldigheten vid användning av sökbegrepp som är direkt hänförliga till en fysisk person har på grund av sekretess inte använts av sedan bestämmelsen trädde i kraft. Datainspektionen ifrågasätter värdet av denna underrättelseskyldighet som en integritetsskyddande åtgärd. I stället måste enligt Datainspektionen rättssäkerheten och den personliga integriteten huvudsakligen skyddas på annat sätt, inte minst genom den granskning som kontrollorganen utför. presenterade betänkandet Uppföljning av signalspaningslagen (SOU 2011:13). I betänkandet konstaterar att integritetsskyddsfrågorna har en naturlig plats i Försvarets radioanstalts verksamhet och att personalen tar dessa frågor på allvar. har utifrån gällande lagstiftning och uppdragets särskilda karaktär skapat rutiner som är avsedda att minimera otillbörliga intrång i enskildas personliga integritet. uppfattning är att tillämpar signalspaningslagen och tillhörande förordning med försiktighet, utan att tänja på gränsen för det tillåtna. Detta innebär att myndigheten har skapat restriktiva rutiner som avser att förhindra att signalspaning sker i strid med lagstiftningen och att det pågår ett fortsatt arbete med att förfina arbetsmetoderna. Kommittén konstaterar att utifrån lagändringarna har justerat interna föreskrifter och rutiner samt genomfört förändringar i de tekniska systemen. Utifrån gjorda iakttagelser och presentationer av verksamheten gör kommittén bedömningen att i sitt implementeringsarbete följer signalspaningslagens intentioner. framhåller dock att signalspaning i tråd under uppdragets gång varit under uppbyggnad och påbörjats först under den senare delen av utredningstiden. Det konkreta bedömningsunderlaget hänför sig därför i allt väsentligt till eterburen inhämtning. Kommittén har fått kontinuerlig information från om hur signalspaning i tråd byggs upp och vilka bedömningar som görs av metodens potential. Vad signalspaning i tråd kommer att innebära för enskildas personliga integritet då denna del av verksamheten är mer utbyggd har kommittén inte kunnat uttala sig om. konstaterar att svensk lagstiftning inte innehåller någon definition av begreppet personlig integritet. för olika utredningar har man försökt ge begreppet en entydig och allmänt vedertagen definition. Det har emellertid visat sig att begreppets innebörd är svårfångad. Som en klar gemensam nämnare framstår dock uppfattningen att personlig integritet innebär att alla människor har rätt till en personlig sfär och att rättsordningen ska upprätthålla ett skydd för denna. I svensk rätt kommer skyddet för enskildas integritet till uttryck bland annat genom olika bestämmelser i de svenska grundlagarna och i den Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Kommittén framhåller vikten av att en signalspaningsverksamhet i ett demokratiskt samhälle bedrivs utifrån godtagbara principer om Att värna om integriteten har därför ett värde som sträcker sig längre än till individnivån. Att slå vakt om integritetsskyddsintresset och därmed de fri- och rättigheter som är förknippade med demokratin har ett allmänintresse på ett generellt plan. Man måste dock enligt beakta att skyddet för den personliga integriteten alltid måste balanseras mot andra Den personliga integriteten kan således sättas ur spel om det finns motstående intressen som väger tyngre.