sou · H3B325 · 2015-03-18 00:00:00 — Vi ser inte anledning att enbart knyta en sådan bestämmelse till placering i säkerhetsklass när det gäller i övrigt säkerhetskänslig verksamhet, utan den bör ha giltighet även i fråga om deltagande som innebär att den berörde får del av säkerhetsskyddsklassificerade uppgifter. En annan sak är att bestämmelsen får en mer begränsad räckvidd i den sistnämnda situationen på grund av mer i detalj i lag angivna krav på placering i säkerhetsklass. Detsamma gäller i fråga om sådana anställningar där krav på säkerhetsprövning följer av folk- rättsliga förpliktelser t.ex. i fråga om luftfartsskydd. 18.9Prövningen av frågan om att lämna ut uppgifter som kommit fram vid registerkontroll Bedömning: Den nuvarande ordningen där uppgifter efter registerkontroll får lämnas ut endast efter en relevansprövning av Registerkontrolldelegationen vid Säkerhets- och integritets- skyddsnämnden bör inte ändras. Med registerkontroll avses enligt 12 § säkerhetsskyddslagen att uppgifter hämtas från ett register som omfattats av lagen (1998:620) om belastningsregister, lagen (1998:621) om misstanke- register eller lagen (2010:362) om polisens allmänna spanings- register samt att uppgifter som behandlas med stöd av polisdata- lagen (2010:361) hämtas in. Av 18 § säkerhetsskyddslagen framgår i vilka fall en särskild personutredning ska göras vid registerkontroll. I lagens 21–23 §§ anges vilka uppgifter om den kontrollerade och vissa till den kontrollerade närstående som ett utlämnande får omfatta. Utlämnandet får dock avse endast uppgifter som kan antas ha betydelse för prövningen av den kontrollerades pålitlighet från säkerhetssynpunkt (24 § säkerhetsskyddslagen). Bedömningen av vilka uppgifter som har en sådan relevans för säkerhetsprövningen görs av (31 § säkerhets- skyddsförordningen). Registerkontrolldelegationen vid som utför uppgiften föregicks av som inrättades för att förstärka skyddet för den personliga integriteten vid säkerhetsprövning. Delegationens funktion kan beskrivas som ett slags filter för att se till att uppgifter som förekommer i registren och som inte har relevans i säkerhetsprövningsärendet inte lämnas ut för säkerhets- prövning. Den ordningen är således en garant för att arbetsgivare inte får del av fler uppgifter än vad som är nödvändigt för ända- målet. Förfarandet innehåller vidare krav på att uppgifter före utlämnande kommuniceras med den som prövningen avser. Vid sådan kommunicering kan också ett samtal hållas med den berörde. Den som prövningen avser ges således tillfälle att förklara omständigheter kring t.ex. ett brott som han eller hon har dömts för. Kommuniceringen fyller inte endast en informationsfunktion utan kan också medföra bedömningen att t.ex. en uppgift om brott inte har relevans för säkerhetsprövningen och därför inte ska lämnas ut. Det finns en bestämmelse om att det inte får framgå av svaret till den som har beslutat om registerkontrollen att det finns en uppgift om den kontrollerade som inte lämnas ut (33 § säkerhetsskyddsförordningen). Det är vidare den som har beslutat om registerkontrollen som självständigt avgör betydelsen av uppgifter som kommit fram vid registerkontroll och som lämnats ut för säkerhetsprövning (27 § säkerhetsskyddslagen). En uppgift som lämnas ut vid registerkontroll får inte heller åtföljas av något annat yttrande än en förtydligande kommentar till uppgiften (26 § säkerhetsskyddslagen). Tillämpningen av bestämmelserna om utlämnade av uppgifter visar att endast en mindre del av de uppgifter som förekommer i de register som omfattas av kontrollen lämnas ut för säkerhetspröv- ning. Av Säkerhets- och integritetsskyddsnämndens årsredovisning för 201427 kan utläsas att antalet personer som registerkontrollera- des var 75 537. Av dessa förekom 206 personer i Säkerhetspolisens 27 Säkerhets- och integritetsnämndens årsredovisning , s. 17 (Dnr. register, och uppgifter om 21 av dessa personer lämnades ut. Av de kontrollerade personerna förekom 1 801 i misstankeregistret eller belastningsregistret, och uppgifter om 309 av dessa lämnades ut. Utlämningsfrekvensen är ungefär densamma . I vårt uppdrag ingår att ta ställning till om reglerna om utläm- nande av uppgifter bör ändras när det gäller registerkontroll till skydd mot terrorism. I direktiven redogörs för att Registernämn- den, vars verksamhet övertogs av , i verksamhetsberättelsen för år 200728 har ifrågasatt om bestämmelserna om utlämnande i 24 § säkerhets- skyddslagen fått en alltför restriktiv utformning när det gäller personal som är verksam vid flygplatser eller kärnkraftverk I den nämnda verksamhetsberättelsen redogör av den allmänna debatt som varit kring frågan om säkerheten vid kärnkraftverk för att t.ex. uppgifter om brott som kan tyda på alkoholproblem normalt sett inte lämnas ut vid kontroll till skydd mot terrorism och att det förhåller sig på liknande sätt när det gäller kontroll av medarbetare vid flygplatser. Vidare noteras i våra direktiv att även Säkerhetspolisen har framfört invändningar mot regelverket i denna del. Frågan kommer i en något annan dager mot bakgrund av det förslag vi lämnat om att den nuvarande registerkontrollen till skydd mot terrorism (14 § säkerhetsskyddslagen) ska inordnas i systemet med säkerhetsklasser. En mer övergripande fråga är dock om det finns anledning att i något avseende ändra förfarandet där uppgifter från bl.a. belast- ningsregistret lämnas ut för säkerhetsprövning först efter en rele- vansprövning av Registerkontrolldelegationen vid . Vi anser att den utsållning av uppgifter som görs genom delegationen är en viktig del av skyddet av den personliga integri- teten. kan konstateras att filtret är finmaskigt genom att endast en mindre del av de uppgifter som förekommer lämnas ut. Vid kontakter med verksamheter som utför säkerhetsprövningar har vi fått exempel på situationer där man senare fått kännedom om uppgifter om brottmålsdomar som för den aktuella anställningen 28 verksamhetsberättelse (Dnr 95/07), se även skrivelsen Ju2008/1653/L4. och i ljuset av omständigheterna i övrigt ansetts vara av stor relevans för säkerhetsprövningen. Relevansprövningen i sig förut- sätter en god kunskap om de förutsättningar som gäller för verksamheten och anställningen. Det redovisade problemet kan bero på att Registerkontrolldelegationen inte har fått ett tillräckligt underlag från den som ansökt om registerkontrollen. Att under- lagen som ges in vid registerkontrollen ibland är bristfälliga är också något som har påtalats vid våra kontakter med delegationen. Vi har under vårt arbete sett exempel på att säkerhetskänsliga verksamheter, för att kompensera vad som uppfattats som ett bristfälligt underlag, tycks utnyttja enskildas möjlighet att begära ett s.k. eget uttag från belastningsregistret. Det är självfallet ett högst olämpligt oskick. Utredningen om registerutdrag i arbetslivet har för övrigt i sitt betänkande med samma titel (SOU 2014:48) föreslagit att det ska vara förbjudet för arbetsgivare att utan författ- ningsstöd begära att arbetssökande ska visa upp eller lämna över ett utdrag ur belastningsregistret. Förslaget har skickats ut på remiss och bereds inom . Det som skiljer registerkontrollen enligt säkerhetsskyddslagen från en författningsreglerad rätt att begära utdrag från belastnings- registret är bl.a. att kontrollen avser fler register. Det innebär att uppgifterna inte avser bara domar utan också brottsmisstankar och anteckningar som förts in av Säkerhetspolisen. Uppgifterna kan också under vissa förutsättningar avse inte bara den som prövas utan också närstående. Vidare pågår registerkontrollen kontinuer- ligt under hela den tid som deltagandet pågår genom en bevakning av tillkommande uppgifter. Mot den bakgrunden innebär en registerkontroll enligt säkerhetsskyddslagen ett större integritets- intrång än ett utdrag från belastningsregistret. Det gäller inte minst som konsekvenserna av att uppgifter lämnas ut i regel kan vara särskilt besvärande under ett pågående anställningsförhållande. Sammantaget anser vi att ordningen med att uppgifter lämnas ut efter en relevansprövning av Registerkontrolldelegationen vid är ett viktigt integritets- skyddande moment i säkerhetsprövningen. Det finns emellertid ut- rymme för att något förtydliga vad relevansprövningen innebär, både i sak och i fråga om delegationens roll i förhållande till Säkerhetspolisens, dvs. den myndighet som utför register- kontrollen. Vad först gäller ett förtydligande i sak kan noteras att den aktuella bestämmelsen, dvs. 24 § säkerhetsskyddslagen, anger att uppgifter som har kommit fram vid registerkontroll eller särskild personutredning får lämnas ut för säkerhetsprövning endast om den kan antas ha betydelse för prövningen av den kontrollerades pålitlighet från säkerhetssynpunkt. Som vi tagit upp tidigare inne- bär en bedömning av pålitlighet från säkerhetssynpunkt i detta sammanhang att omständigheter av olika slag behöver utredas och värdereras. Relevansprövningen tar sikte på samma förhållanden som de som nämns i bestämmelsen om säkerhetsprövningens syfte. I det sammanhaget nämns lojalitet som en del i bedömning av pålitlighet och vi har också föreslagit ett förtydligande om omstän- digheter som kan innebära sårbarheter i säkerhetshänseende (se avsnitt 18.4). Sådana omständigheter ska således alltid beaktas vid prövningen av vilka uppgifter som ska lämnas ut för säkerhets- prövning. Säkerhetspolisens och Säkerhets- och integritetsskyddsnämndens upp- gifter vid registerkontroll Vad sedan gäller Registerkontrolldelegationen vid Säkerhets- och integritetsskyddsnämndens roll i förhållande till Säkerhetspolisens i fråga om utlämnade av uppgifter efter registerkontroll kan noteras att nuvarande bestämmelser i säkerhetsskyddsförordningen inne- håller vissa oklarheter i fråga om ärendehanteringen. Regleringen i säkerhetsskyddsförordningen ger bl.a. en bild av att samtliga registerkontrollärenden, oavsett utfallet av kontrollen, lämnas över från Säkerhetspolisen till delegationen. Så går det inte till. Det stora flertalet ärenden är sådana där det inte förekommer några uppgifter i registren eller där uppgifterna är av ringa betydelse. I dessa ären- den fattar särskilt förordnade tjänstemän vid Registerkontrolldele- gationens kansli, som Säkerhetspolisen tillhandahåller, beslut om att det inte finns några uppgifter att redovisa. Den ordningen byg- ger på en delegation i nämndens arbetsordning från nämnden till de särskilt förordnade tjänstemännen. I praktiken är det alltså de sär- skilt förordnade tjänstemännen, som är anställda vid polisen, som beslutar i utlämnandefrågan i sådana fall. Genom det tillvägagångssättet behöver inte delegationen belastas med ärenden där det är uppenbart att de uppgifter som kommit fram vid kontrollen inte ska lämnas ut för säkerhetsprövning. Det innebär också att besked om att inga uppgifter finns att redovisa kan ges snabbare än om ärendet skulle beslutas av delegationen som endast sammanträder . Den redovisade ordningen är ändamålsenlig och bör framgå redan av författningstexten. Sammantaget bör det därför av lag och förordningstext framgå att ansökan görs till Säkerhetspolisen som sedan utför den faktiska registerkontrollen. I den uppgiften ingår också att i vissa fall göra en särskild personutredning. Om det kommer fram uppgifter som kan antas vara av betydelse för säkerhetsprövningen, ska således frågan om utlämnade av uppgifter för säkerhetsprövning under- ställas prövning av . Kommunicering med den som kontrollen avser av uppgifter som kan komma att lämnas ska tas om hand av Säkerhetspolisen. Om nämnden bedömer att uppgifter ska lämnas ut, är det Säkerhets- polisen som ska kommunicera uppgifterna till arbetsgivaren eller den som annars ska göra säkerhetsprövningen (se avsnitt 18.11). 18.10 Vem ska besluta om placering i säkerhetsklass? Förslag: Behörigheten att besluta om placering av anställningar i säkerhetsklass ska bygga på nuvarande beslutsordning där rege- ringen, med undantag för förvaltningsområde, ytterst har beslutanderätten men kan överlåta den till myndig- heter, kommuner och landsting och, om det finns särskilda skäl, vissa företag. Regeringen bör i förordning ange att de myndigheter m.fl. som beslutar om registerkontroll enligt 14 § säkerhets- skyddslagen (skydd mot terrorism) i stället ska i en mot- svarande utsträckning besluta om placering i säkerhetsklass. Vissa ändringar bör därvid göras av ansvarsområdena för de säkerhetsskyddsstödjande myndigheterna. Myndigheten för samhällsskydd och beredskap bör tilldelas den beslutanderätt i fråga om säkerhetsskyddet som länsstyrelserna har och Transportsstyrelsens ansvarsområde bör utvidgas till att även avse hamnskydd och sjöfartsskydd. I förordning bör vidare regleras att Säkerhetspolisen på samma sätt som ska utföra registerkontroll endast efter ansökan från en myndighet, en kommun, ett landsting eller vissa bolag där starka oberoende hänsyn gör sig gällande (och liknande). Därutöver bör, om det finns särskilda skäl, en säkerhetsskyddsstödjande myndighet efter beslut om placering i säkerhetsklass kunna medge att ett bolag, utan myndighetens medverkan, själv vid får initiera sådan registerkontroll som följer av beslutet om placering i säkerhetsklass. Nuvarande ordning i fråga om behörighet att besluta om placering i säkerhetsklass och om registerkontroll är inte helt enkel att utläsa. Vilka som har behörighet att besluta i olika avseenden framgår av 20 § säkerhetsskyddslagen i kombination med 18–22 och 26 a– 27 a §§ säkerhetsskyddsförordningen samt av bilagan till den för- ordningen. Bilagan innehåller en förteckning över de statliga myn- digheter som beslutar om placering i säkerhetsklass och om registerkontroll till följd av en sådan placering. Bestämmelserna innebär i korthet att regeringen, med undantag för för- valtningsområde, ytterst har beslutanderätten men kan överlåta den åt myndigheter, kommuner och landsting och, om det finns sär- skilda skäl, vissa företag. Regeringen har med stöd av bemyndigan- det överlåtit i princip all beslutanderätt, med undantag för framför allt beslut om placering i säkerhetsklass 1, till myndigheter, kommuner och landsting samt till några få bolag där starka oberoendehänsyn gör sig gällande, bl.a. . Även om beslutsordningen är svåröverskådlig har inte annat kommit fram än att den i huvudsak är ändamålsenlig. Förslaget i avsnitt 18.6 om att den nuvarande registerkontrollen till skydd mot terrorism ska inordnas i systemet med placering i säkerhetsklass innebär behov av justeringar i fråga om besluts- ordningen. Det förefaller vara en lämplig ordning att myndigheter som beslutar om placering i säkerhetsklass får göra det i den större utsträckning som blir följden av den föreslagna ordningen med en utvidgande grunder för placering i säkerhetsklass. Det innebär t.ex. att Transportstyrelsen, i stället för att besluta om registerkontroll enligt 14 § säkerhetsskyddslagen (skydd mot terrorism), i fråga om de som ska anställas vid flygplatser i mot- svarande utsträckning beslutar om placering i säkerhetsklass. I fråga om enskild verksamhet som inte omfattas av bestäm- melserna om registerkontroll till skydd mot terrorism (eller av bestämmelser om placering i säkerhetsklass) är det lämpligt att de säkerhetsskyddsstödjande myndigheterna bemyndigas att också i de fallen besluta om placering i säkerhetsklass. Vi kommer dock, vilket vi behandlar i avsnitt 21.2.4 att föreslå att Myndigheten för samhällsskydd och beredskap tar över de uppgifter i fråga om tillsyn av säkerhetsskyddet som är fördelat på länsstyrelserna (jfr bl.a. 40 § säkerhetsskyddsförordningen). Det medför att Myn- digheten för samhällskydd och beredskap också bör ta över läns- styrelsernas uppgift att för vissa enskilda verksamheter besluta om placering i säkerhetsklass. Vidare bör beslut om säkerhetsklass i fråga om sådan bevakningspersonal som avses i 26 § 1 säkerhets- skyddsförordningen fattas av Transportstyrelsen. beslutar om registerkontroll i de fallen.29 Transport- styrelsen har dock den uppgiften när samma slag av personal- kategori förordnas för att tjänstgöra vid flygplatser. Det skulle även kunna röra sig om samma personer med olika tjänstgöringsställen. Mot den bakgrunden förefaller det rimligt att Transportstyrelsen får ett samlat ansvar. En sådan ordning sammanfaller också med det ansvar Tranportstyrelsen har i andra avseenden i fråga om hamn- skydd och sjöfartsskydd.30 Vi har övervägt om det är lämpligt att i större utsträckning än överlåta till enskilda verksamheter att utan myndighetsmedver- kan få till stånd registerkontroll. Vårt förslag om att inordna den nuvarande registerkontrollen till skydd mot terrorism i systemet med säkerhetsklasser innebär i princip att all registerkontroll kom- mer att ha föregåtts av ett beslut om placering i säkerhetsklass. En sådan ordning där alltså frågan om placering i säkerhetsklass avgörs av en myndighet eller annat allmänt organ skulle kunna kombineras med en ordning där ansökan om sådan registerkontroll, som är en i lag reglerad följd av sådan placering,31 i större utsträckning får skötas av enskilda verksamheter. Det är möjligt att en sådan ordning är en tillräcklig garanti för att registerkontroller inte används i en omfattning som inte är avsedd. Vi är emellertid tvek- 29Se 27 a § säkerhetsskyddsförordningen. 30Se 2 § förordningen (2008:1300) med instruktion för Transportstyrelsen. 31Eftersom registerkontrollen föregås av ett beslut om placering i säkerhetsklass och det av lag följer att sådan placering medför registerkontroll bör det inte behövas ett särskilt beslut om registerkontroll. samma till större förändringar av en ordning som bestämts utifrån integritetshänsyn och som innebär att ett offentligt organ bedömer om förutsättningarna för registerkontroll är uppfyllda. Ett förhållande som behöver beaktas är också att bland de myndigheter som ansöker om registerkontroll för en annan verksamhets räkning finns myndigheter som behöver ta del av resultatet från register- kontrollen. Vi återkommer till den frågan i det följande avsnittet. Vi har dock sett det som ändamålsenligt att ge utrymme för ett mer flexibelt system. Det finns bolag som har stor erfarenhet av och kunnande kring säkerhetsprövning av personal och som bör kunna anförtros uppgiften att även ansvara för registerkontrollen utan att skyddet av enskildas integritet försämras. I sammanhanget kan nämnas att det bland de bolag som , genom särskilt regeringsbeslut eller genom delegation i förordning, har fått möjlighet att själva besluta om registerkontroll förekommer bolag där ordningens förenlighet med förarbetsuttalanden om starka integritets- och oberoendeintressen framstår som tveksam.32 En mer flexibel ordning kan åstadkommas genom att införa en möjlighet för de säkerhetsskyddsstödjande myndigheterna (Affärs- verket etc.) att, om det finns särskilda skäl, efter beslut om placering i säkerhetsklass låta ett bolag ansvara för den efterföljande registerkontrollen. 18.11 Ansvaret för säkerhetsprövningen Förslag: Den som beslutar om anställning eller annat deltagande i säkerhetskänslig verksamhet ansvarar för säkerhetsprövningen och avgör självständigt om personen kan anses vara lämplig från säkerhetssynpunkt. Om en myndighet har ett avgörande bestämmande över den prövades lämplighet att delta i den säkerhetskänsliga verksamheten vid t.ex. en flygplats eller i fråga om säkerhetsskyddad upphandling, gör dock myndigheten den slutliga bedömningen. 1995/96:129 s. 56. En mer flexibel ordning vad gäller myndighetsmedverkan vid säkerhetsprövning i enskild verksamhet Som framgått av det föregående avsnittet anser vi att hänsynen till enskildas integritet motiverar att beslut om placering i säkerhets- klass och att vid initiera registerkontroll på samma sätt som i huvudsak ska vara en uppgift för myndig- heter eller andra offentliga organ. Den ordningen bör kunna säker- ställa att säkerhetsklassplacering och de integritetskränkande moment i säkerhetsprövningen som följer av en sådan placering förbehålls sådana anställningar etc. där sådan kontroll är befogad. En annan fråga är vem eventuella uppgifter bör lämnas ut till och vem som således bör ha ansvaret för att bedöma den kontrolle- rades pålitlighet i säkerhetshänseende. Enligt gällande ordning lämnas uppgifterna till den som bestämmer om registerkontrollen. Det medför när det gäller en person som ska anställas i en enskild verksamhet att uppgifternas betydelse för säkerhetsprövningen avgörs av en myndighet i stället för t.ex. arbetsgivaren (se 27 § säkerhetsskyddslagen). Den ordningen innebär, som också noteras i författningskommentaren till nämnda bestämmelse,33 ett avsteg från grundtanken att säkerhetsprövningen bäst görs av den verk- samhet som deltagandet avser. I kommentaren hänvisas till att behovet av ett mer allsidigt underlag för prövningen ändå kan tillgodoses genom bestämmelser om samråd mellan den myndighet som beslutat om kontrollen och arbetsgivaren. Sådana bestämmel- ser finns i 14 § säkerhetsskyddsförordningen. Ordningen medför dock oklarheter i fråga om vem som ansvarar för att genomföra säkerhetsprövningen och en otydlighet, inte minst i förhållande till den enskilde, om vem som prövar lämpligheten av ett deltagande. De integritetsskyddshänsyn som ligger till grund för att endast en myndighet eller annat allmänt organ bör ha bestämmanderätt över placering i säkerhetsklass och registerkontroll är inte lika framträdande i frågan om vem som bör pröva utlämnade uppgifters betydelse för säkerhetsprövningen. Det gäller särskilt när ord- ningen är sådan att utlämnandet av uppgifter föregås av en relevansprövning av . Den särskilda relevansprövningen, som i praktiken medför att mer- 1995/96:129, s. 87. parten av de uppgifter som utgör underlag vid registerkontrollen inte lämnas vidare till den som gör säkerhetsprövningen, bör i sig vara tillräckligt för att i detta avseende skydda den kontrollerades integritet. Också vid en jämförelse med andra områden där arbets- givare har rätt att få del av motsvarande registeruppgifter framstår integritetsskyddet som rimligt väl tillgodosett. Även uppgifter som i övrigt kommer fram vid en säkerhetsprövning, t.ex. genom referenstagning och intervju, kan vara minst lika känsliga för den enskilde som uppgifter som lämnas ut efter registerkontroll. Sådana moment i säkerhetsprövningen utförs i regel av arbetsgivaren. I sammanhanget bör noteras att den aktuella ordningen med en myndighetsmedverkan motiverats endast av behovet att skydda den enskildes integritet. Principiellt sett bör också enskilda verksam- heter ha ett eget tydligt ansvar för att utreda behovet av säkerhets- skydd och vidta de säkerhetsskyddsåtgärder som behövs för att tillgodose behovet. Det stöd i fråga om personalsäkerheten som i vissa fall kan behövas får hanteras inom ramen för tillsynen. Så långt som möjligt bör därför även i enskild verksamhet den ord- ningen gälla att den som beslutar om anställningen eller deltagandet också har hela ansvaret för säkerhetsprövningen. Det finns dock områden där principen inte kan tillämpas. Det hänger samman med att den ifrågavarande myndigheten också uti- från resultatet av registerkontrollen ska godkänna ett deltagande i den säkerhetskänsliga verksamheten. Den ordningen gäller inom luftfartsskyddsområdet där den är en följd av internationella kon- ventioner som anger villkor för tillträde till olika slag av behörighetsområden på flygplatser. För sådan personal går säkerhetsprövningen till på så sätt att den verksamhet som ska anställa någon för tjänstgöring vid en flygplats, utifrån uppgifter som kommer fram vid det vi valt att benämna grundutredning, gör en första bedömning av personens lämplighet för att delta i den aktuella säkerhetskänsliga verksamheten. Om personen bedöms lämplig, aktualiseras registerkontroll. I annat fall saknas anledning att gå vidare med en registerkontroll. Så långt överensstämmer förfarandet med vad som i allmänhet gäller. Vad som särskiljer är vad som händer efter registerkontrollen.