sou · H4B341 · 2016-06-07 00:00:00 — I sin rapport underströk Datainspektionen vidare att det vid granskningen inte gjorts några fynd som gav stöd för att det vid FRA pågått en omfattande personuppgiftsbehandling för syften som inte låg inom ramen för försvarsunderrättelseverksamheten såsom den 8 Fö2009/355/. 9 Rapport, Datainspektionens redovisning av regeringsuppdraget Fö2009/355/. Försvarsunderrättelseverksamhet och militär säkerhetstjänst kommit till uttryck i lagstiftningen. Datainspektionen anförde att man således inte funnit att FRA behandlat uppgifter i syfte att förse de brottsbekämpande myndigheterna med information om t.ex. olaglig fildelning av upphovsrättsligt skyddat material eller liknande verksamhet. Datainspektionen gjorde inte heller några iakttagelser som tydde på att FRA behandlade personuppgifter i syfte att i största allmänhet kunna kartlägga internetanvändning, utan fann att den personuppgiftsbehandling som bedrevs gjordes för de syften som riksdag och regering bestämt. När det gäller de särskilda integritetsproblem som kan uppstå i samband med signalspaningen pekade Datainspektionen bl.a. på att FRA borde överväga åtgärder som tekniska sökbegränsningar i data- basen för trafikdata samt logguppföljning, i syfte att skydda person- uppgifter mot otillbörliga intrång. Datainspektionen uppmärksam- made även att FRA i stor omfattning använde sökbegrepp som var direkt hänförliga till en viss person, trots att sådana sökbegrepp endast får användas om det är av synnerlig vikt för utredningen. Vidare framhölls vikten av fungerande rutiner för att skilja bort upp- gifter om s.k. inhemsk trafik samt att irrelevant information förstörs på ett sådant sätt att den inte kan återskapas, liksom att det måste finnas rutiner som säkerställer att sådana uppgifter behandlas endast när det är nödvändigt. Även fick i uppdrag att följa signal spaningen vid FRA i syfte att utifrån rättsliga och etiska aspekter redovisa och bedöma vad FRA:s inhämtning av signaler har för kon- sekvenser för den enskildes integritet. I sitt betänkande10 framhöll kommittén bl.a. att FRA har skapat rutiner som är avsedda att mini- mera otillbörliga intrång i enskildas personliga integritet samt att FRA tillämpar signalspaningslagen med försiktighet, utan att tänja på gränsen för det tillåtna. Vidare anfördes att en effektiv signalspa- ningsprocess strävar efter att begränsa underlaget till det som ur ett verksamhetsperspektiv utgör relevant information. FRA har därför intresse av att begränsa det inhämtade materialet till en hanterbar mängd information. Kommittén konstaterade att detta ligger inbyggt i verksamheten och gagnar integritetsskyddet. 10 SOU 2011:13. Försvarsunderrättelseverksamhet och militär säkerhetstjänst vidare bedömningen att FRA har rutiner och regelverk som syftar till att förhindra att uppgifter som lämnas ut till andra länder skadar svenska intressen samt att integritetsintresset beaktas. Kommittén anmärkte däremot, liksom Datainspektionen i nämnda rapport, att den underrättelseskyldighet som följer av sig- nalspaningslagen i praktiken är verkningslös som skydd för enskil- das integritet, på grund av den starka sekretess som vanligtvis gäller för uppgifter inom försvarsunderrättelseverksamheten. Kommittén framhöll i stället att den efterhandskontroll som Siun utför på begä- ran av enskild utgör ett viktigare instrument, eftersom denna innebär en granskningsmöjlighet från ett fristående och självständigt organ.11 Siun har genomfört 10–15 granskningar av FRA. Därutöver har genomförts kontroller på enskildas begäran, av- seende om den enskildes meddelanden har inhämtats vid signalspa- ning. genomfördes tio sådana kontroller (2012 och 2013 genomfördes fyra respektive 62 kontroller på enskildas begäran). Dessa granskningar har resulterat i ett fåtal synpunkter till FRA, bl.a. en synpunkt . upp- märksammade Siun inte någon brist som föranledde någon annan åtgärd, exempelvis att avbryta inhämtning eller rapportera frågan till regeringen eller annan myndighet.12 gjorde dock Siun en anmälan till Datainspektionen om att FRA tolkat en bestäm- melse i signalspaningslagen på ett sätt som kan ifrågasättas.13Siuns kontrollverksamhet har i sin tur granskats av . I sin rapport14 redovisar slutsatsen att Siun har fått förut- sättningar att utföra sin granskning på ett effektivt sätt samt att Siun utför de uppgifter som myndigheten har enligt lagar och förord- ningar. Vidare anges att försvarsunderrättelsemyndigheterna tar Si- uns synpunkter på allvar och genomför åtgärder i enlighet med Siuns beslut. 11 SOU 2011:13, s. 12 Siuns årsredovisningar 2009–2014). 13 Siuns dnr 47-2014H:4. 14 Kontrollen av försvarsunderrättelseverksamheten, RIR 2015:2. Försvarsunderrättelseverksamhet och militär säkerhetstjänst Avslutningsvis kan noteras att Venedigkommis- sion, som består av experter i statsrätt, har studerat den de- mokratiska kontrollen av signalspaningen i medlems- stater och i sin rapport lyft fram tillsynen i som ett gott exempel.15 19.3Försvarsmaktens informationshantering i försvarsunderrättelseverksamhet- och militär säkerhetstjänst Must inhämtar information genom bl.a. fysisk spaning, informatörer och utländska samarbetspartners samt med tekniska hjälpmedel, framför allt den signalspaning som bedrivs av FRA. På så sätt får Must tillgång till omfattande information om enskilda personer. Informationen kan i vissa fall vara mycket integritetskänslig. Must behandlar därefter den insamlade informationen på olika sätt, bl.a. i sökbara register. Lagen om behandling av personuppgifter i Försvarsmaktens för- svarsunderrättelseverksamhet och militära säkerhetstjänst innehåller bestämmelser om behandling av personuppgifter i nämnda verksam- heter. I lagen finns vissa grundläggande krav som överensstämmer med regleringen i personuppgiftslagen, t.ex. bestämmelser om att person- uppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål samt att uppgifterna inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. När det gäller försvarsunderrättelseverksamhet får uppgifter om en person behandlas endast om uppgiften har anknytning till en pre- ciserad inriktning för försvarsunderrättelseverksamheten och behandlingen är nödvändig för att fullfölja den inriktningen. 15 Update of the 2007 Report on the Democratic Oversight of the on Democratic Oversight of adopted by the Commission at its 102nd Plenary Session, , 20–21 2015 (CDL-AD[2015]006). Försvarsunderrättelseverksamhet och militär säkerhetstjänst Inom ramen för militär säkerhetstjänst får uppgifter om en per- son behandlas för att upptäcka, förebygga och avvärja säkerhetsho- tande verksamhet som riktas mot Försvarsmakten och dess säker- hetsintressen, om det är nödvändigt för att 1) klarlägga verksamhet som innefattar hot mot rikets säkerhet, eller 2) vidta åtgärder som hindrar eller försvårar säkerhetshotande verksamhet. Därutöver krävs i regel att 1.uppgifterna ger grundad anledning att anta att personen har be- gått eller kan komma att begå viss allvarlig brottslighet, 2.personen har lämnat uppgifter om säkerhetshotande verksamhet och personuppgifterna är nödvändiga för att bedöma personens trovärdighet, eller 3.uppgifterna avser information som har framkommit i samband med att en person har genomgått registerkontroll eller särskild personutredning enligt säkerhetsskyddslagen (1996:627). När det gäller den militära säkerhetstjänsten uppställs vidare krav på att uppgifter om en person ska förses med upplysning om på vilken av de angivna grunderna uppgiften behandlas samt att det i förekom- mande fall ska framgå att personen inte är misstänkt för brottslig eller säkerhetshotande verksamhet. Uppgifter om att någon har be- gått eller kan komma att begå brott ska även förses med en upplys- ning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Vidare gäller särskilda begränsningar bl.a. i fråga om behandling av känsliga personuppgifter, t.ex. uppgifter om etniskt ursprung, po- litiska åsikter, religiös övertygelse eller hälsa. Sådana uppgifter får behandlas endast när det är absolut nödvändigt för syftet med be- handlingen. Därutöver innehåller lagen bestämmelser om bl.a. personupp- giftsombud, säkerhet vid behandlingen, underrättelse om behand- ling (när uppgifterna inte omfattas av sekretess) samt skadestånds- och straffansvar i vissa fall. Slutligen finns bestämmelser om gallring, som bl.a. innebär att personuppgifter som behandlas automatiserat ska gallras så snart uppgifterna inte längre behövs för det ändamål för vilket de behandlas, om inte regeringen eller har medde- lat föreskrifter eller beslutat om annat. Försvarsunderrättelseverksamhet och militär säkerhetstjänst 19.3.3Risker för den personliga integriteten För att Must ska kunna genomföra sitt uppdrag på ett effektivt sätt måste myndigheten samla in och behandla en stor mängd informa- tion. Denna information gäller i viss utsträckning enskilda personer och kan vara integritetskänslig. Det är därför av stor vikt att Must i vart fall inte behandlar fler uppgifter än vad som verkligen behövs och att behandlingen görs i överensstämmelse med gällande regel- verk, exempelvis när det gäller gallring. Datainspektionen genomförde och 2013 en gransk- ning av den personuppgiftsbehandling som Must bedriver. Gransk- ningen avsåg bl.a. personuppgiftsbehandling i it-systemen: , OSINET och . Vidare lämnade Must viss information om bl.a. rutiner och arbetssätt. Datainspektionens bedömning var att Musts generella arbete på personuppgiftsområdet var genomtänkt och följde en klar struktur, men att det fanns vissa brister. En sådan brist var att det fanns en risk att framför allt it-systemet innehöll fler uppgifter än vad Must hade rätt att behandla. Ett skäl till detta var att promemo- rior och liknande lades in i systemet i oförändrat skick, till och med när de hade skrivits av någon utanför Must, utan att det gjordes någon bedömning av om alla uppgifter fick behandlas i systemet. Det saknades även rutiner för gallring och det var inte ens möjligt att utföra någon gallring i systemet. Vidare uppmärksammades att det i såväl som hade registrerats person- uppgifter utan att den rättsliga grunden angavs. Datainspektionen förelade därför Must att vidta åtgärder i dessa avseenden och påpe- kade dessutom att Försvarsmakten bör ta fram skriftliga rutiner eller föreskrifter för personuppgiftsbehandlingen i systemen.16 Efter Datainspektionens beslut har Försvarsmakten vidtagit en rad åtgärder för att möta dessa krav. Bland annat har en ny försvars- maktsintern författning beslutats, nya rutiner för personuppgiftsbe- handling fastställts, utbildning genomförts och en särskild referens- och granskningsgrupp organiserats.17 16 Datainspektionens beslut , dnr 1486-2012. Datainspektionens skrivelse , dnr 1666-2013 samt Musts Årsöversikt 2014, s. 29. Försvarsunderrättelseverksamhet och militär säkerhetstjänst Datainspektionens granskning illustrerar dock de risker för den personliga integriteten som föreligger vid behandling av stora mäng- der personuppgifter. 19.4Kommittén samlade bedömning av området Kommittén har i detta kapitel främst behandlat risker för intrång i den personliga integriteten vid behandling av personuppgifter vid signalspaning och vid behandling av personuppgifter i den militära underrättelsetjänstens it-system. Inhämtningen av uppgifter i försvarsunderrättelseverksamhet och militär säkerhetstjänst syftar till att skydda och svenska intressen mot yttre hot, vilket är ett angeläget intresse. Säkerställan- det av nationella säkerhetsintressen får i sig anses vara ett sådant än- damål som kan motivera inskränkningar av enskildas fri- och rättig- heter. Att landet har en egen säkerhetpolitisk underrättelsesförmåga är också en förutsättning för att vi inte ska vara beroende av andra länders säkerhetsorgan. Underrättelser hämtas in på en rad olika sätt, men signalspa- ningen är en av de grundläggande metoderna. Den tekniska utveck- lingen har inneburit att viktig information som tidigare kunde infångas genom signalspaning i etern, numera i allt högre ut- sträckning infångas via kabel.18 Det finns mot den bakgrunden ett starkt intresse av att signalspaning även kan utföras i kabel, särskilt eftersom det saknas alternativa metoder för att uppnå motsvarande resultat. Försvarsunderrättelsemyndigheterna hanterar dock en mycket stor mängd uppgifter, som är av privat natur. Det görs dessutom i en verksamhet som omgärdas av stark sekretess vilket innebär mycket begränsade möjligheter till insyn för allmänheten. Myndigheterna har också långtgående befogenheter i sin verksam- het. Detta innebär risker ur ett integritetsperspektiv, men kan i läng- den även få betydelse när det gäller medborgarnas tilltro till myndig- 18 I 11:e septemberutredningens betänkande Vår beredskap efter , SOU 2003:32 s. 129, angavs att av trafik till och från då gick genom kabel, enligt vad FRA upplyst. Försvarsunderrättelseverksamhet och militär säkerhetstjänst Mycket av den oro som framförts beträffande signalspaning har också handlat om bristande insyn och risken för missbruk. Den enskilde har av naturliga skäl mycket begränsad insyn i och få möjligheter att påverka om och hur uppgifter behandlas i under- rättelseverksamheten. Det finns visserligen en skyldighet för FRA att lämna underrättelser till enskild när det använts sökbegrepp som är direkt hänförliga till en viss fysisk person. Med hänsyn till den se- kretess som personuppgifter i försvarsunderrättelseverksamheten och den militära säkerhetstjänsten normalt sett omfattas av, måste dock denna skyldighet anses sakna en praktisk funktion som skydd för enskildas integritet. När allmänhetens möjligheter till insyn är begränsade, är det desto viktigare med framför allt externa kontrollfunktioner. En viktig sådan funktion när det gäller signalspaningen är till att börja med den tillståndsprövning som görs av en självständig domstol och där en behovs- och proportionalitetsprövning ska göras. I den bedömningen ligger en prövning ur ett integritetsskyddsperspektiv. Det finns också ett särskilt stort behov av effektiv efterhands- granskning genom extern tillsyn. Utifrån vad som redovisas i nämnda rapporter och redovisningar från Siun och Datainspektionen fram- står det som att de tillämpande myndigheterna tar integritetsfrågan på stort allvar och att följsamheten till gällande regelverk är god, även om vissa brister har uppmärksammats. har också be- dömt att Siuns granskningsverksamhet i sin tur är effektiv och att försvarsunderrättelsemyndigheterna tar nämndens synpunkter på allvar och genomför åtgärder i enlighet med Siuns beslut. Vid signalspaning överförs all gränsöverskridande trafik i kabel till vissa samverkanspunkter, men det lagras inga uppgifter vid dessa punkter och endast en begränsad trafikmängd förs vidare till FRA via s.k. signalbärare. Trots detta innebär den verksamhet som bedrivs vid FRA att det i stor utsträckning inhämtas och bearbetas personupp- gifter som kan vara av mycket privat och känslig natur. Mot bak- grund av att uppgifterna hämtas in och behandlas av myndigheter som omgärdas av stark sekretess och stora befogenheter skulle kunna göras gällande att riskerna för den personliga integriteten i samband med signalspaning ska bedömas som allvarliga. Intrånget i den personliga integriteten är tveklöst mycket omfattande för de en- skilda personer som faktiskt blir föremål för granskning. Försvarsunderrättelseverksamhet och militär säkerhetstjänst grund av att det finns tydliga regler om på vilket sätt denna spaning får bedrivas, att kontrollfunktionerna förefaller att fungera och att endast en ytterst liten del av den totala informationen blir granskad, gör kommittén ändå den sammanvägda bedömningen att riskerna inom det här området ska betraktas som påtagliga. När det gäller behandling av personuppgifter i Must:s it-system handlar det också om behandling av en stor mängd personuppgifter i en verksamhet med liten insyn. Intrånget i den personliga integrite- ten är tveklöst mycket omfattande för de enskilda personer vars per- sonuppgifter behandlas. Kommittén bedömer dock att det är låg san- nolikhet för gemene man att utsättas för denna risk. Kommittén bedömer även att det handlar om en begränsad spridning av de per- sonuppgifter som behandlas. Kommittén bedömer därför att det föreligger en viss risk för intrång i den personliga integriteten i sam- band med denna typ av personuppgiftsbehandling. Ovanstående bedömningar bygger på det underlag som kommit- tén har haft tillgång till. Avslutningsvis ska nämnas att vissa utländska myndigheter sam- lar in och bearbetar information om och om personer som är bosatta i , på samma sätt som svenska myndigheter gör detta beträffande utländska förhållanden. Denna utländska verksamhet kan även ha andra syften, exempelvis att kartlägga egna medborgare som har flytt till (s.k. flyktingspionage). De utländska myn- digheterna samlar in uppgifter bl.a. genom signalspaning, utan hän- syn till de begränsningar som gäller enligt svensk lagstiftning. I vissa fall kan sådan utländsk verksamhet upplevas som mer inte- gritetskränkande än om en svensk myndighet skulle ha agerat på motsvarande sätt, exempelvis om den utländska myndigheten arbetar åt en diktatur. I andra fall kan utländska myndigheters behandling av uppgifter upplevas som mindre integritetskränkande än motsva- rande nationella behandling, t.ex. på grund av att den enskilde typiskt sätt inte behöver konfronteras med uppgifter som finns hos utländ- ska myndigheter. Oavsett vilket är det uppenbart att även sådan utländsk verksamhet utgör en betydande risk för den personliga in- tegriteten i . Det är dock svårt för kommittén att närmare bedöma hur och i vilken omfattning sådana intrång förekommer. 20 Övervakning med kamera Kommitténs bedömning: Kameraövervakning innebär påtagliga risker för den personliga integriteten. Lagring och vidarebearbetning av uppgifter som har samlats in med hjälp av kamerövervakning är förknippade med allvarliga risker för den personliga integriteten. 20.1.1Allmänt om kameraövervakning m.m. I det här kapitlet behandlas personövervakning genom användning av TV-kameror och därmed jämförbar utrustning. De brottsbekäm- pande myndigheternas övervakning av enskilda, inom ramen för spanings - och utredningsarbetet, behandlas i kapitel 18. Vidare behandlas vissa frågor om kameraövervakning i skolor och i arbets livet i kapitel 7 och 8. Myndigheter och näringsidkare använder övervakningskameror för att förebygga, avslöja eller utreda brott. Sådana kameror förekommer bl.a. i bank-, post- och butikslokaler. Det är också förhållandevis vanligt att övervakningskameror används för att förhindra olyckor, exempelvis i tunnelbana eller fabriker. Kameraövervakningen utfördes tidigare genom att video- och ibland även ljudsignaler skickades via tråd i ett slutet system från fasta kameror till ett kontrollrum, där mediaströmmen spelades in på band eller övervakades i realtid av personal som satt vid en eller flera TV-skärmar. Med teknikutvecklingen har förutsättningarna för kameraövervakning förändrats markant. Det är möjligt att ta mycket bra bilder på stora avstånd och färre kameror behövs för att täcka in ett större område. Bild och ljud överförs ofta trådlöst via exempelvis internet. Dessutom kan stora datamängder lagras förhål- landevis billigt på hårddiskar eller andra media. Det har också ut- vecklats små och billiga IP-baserade kameror (dvs. kameror som kan anslutas till internet med hjälp av internetprotokollet) som finns att köpa på konsumentmarknaden, vilket har medfört att även privat- personer övervakar omgivningen med kamera. Digitaliseringen har dessutom skapat förutsättningar för en automatisk bildanalys, där datorer kan ta del av innehållet i en bildström och analysera detta innehåll samt i nästa steg fatta beslut baserat på vad som händer framför kameran. Personuppgiftslagen (1998:204), som gäller vid behandling av per- sonuppgifter som helt eller delvis är automatiserad, innehåller gene- rella bestämmelser om behandling av personuppgifter. Där finns be- stämmelser som reglerar bl.a. när personuppgifter får behandlas samt krav på säkerhet och gallring vid behandling av personuppgifter. Lagen är dock subsidiär i förhållande till annan lagstiftning. Om det i annan lag eller författning finns bestämmelser som avviker från per- sonuppgiftslagen gäller alltså denna andra reglering. När det gäller kameraövervakning finns särskilda bestämmelser i kameraövervakningslagen (2013:460). Inom ramen för sitt tillämp- ningsområde gäller alltså den lagen i stället för personuppgiftslagen. Regleringen i kameraövervakningslagen beskrivs nedan. Det bör dock nämnas att det även finns generella straffbestäm- melser i som är av betydelse i detta sammanhang och som gäller oavsett om personuppgiftslagen eller kameraövervak- ningslagen är tillämplig. Det tydligaste exemplet på detta är att den som olovligen med tekniskt hjälpmedel i hemlighet tar upp bild av någon som befinner sig inomhus i en bostad eller på en toalett, i ett omklädningsrum eller ett annat liknande utrymme, kan dömas för kränkande fotografering till böter eller fängelse i högst (4 kap. 6 a § ). Den som olovligen medelst tekniskt hjälpmedel för återgivning av ljud i hemlighet avlyssnar eller upptager tal i en- rum, samtal mellan andra eller förhandlingar vid sammanträde eller annan sammankomst, vartill allmänheten icke äger tillträde och som han själv icke deltager i eller som han obehörigen berett sig tillträde till, kan även dömas för olovlig avlyssning till böter eller fängelse i högst (4 kap. 10 § ). Under vissa förutsättningar kan även straffansvar för ofredande aktualiseras (4 kap. 7 § brotts balken). Kameraövervakningslagens syfte och tillämpningsområde Kameraövervakningslagens syfte är att tillgodose behovet av kamera övervakning för berättigade ändamål, som enskilda skyd- das mot otillbörliga intrång i den personliga integriteten. I kamera övervakningsförordningen (2013:463) finns kompletterande regler om bl.a. tillsyn. Kameraövervakningslagen gäller endast kameraövervakning med TV-kameror, eller därmed jämförbar utrustning, som är uppsatta så att de, utan att manövreras på platsen, kan användas för personöver- vakning samt behandling av bild- och ljudmaterial som tagits upp vid sådan övervakning. Från lagens tillämpningsområde är kameraöver- vakning av plats dit allmänheten inte har tillträde undantagen, om övervakningen bedrivs av en fysisk person som ett led i verksamhet av rent privat natur. Det innebär att lagen normalt sett inte gäller för sådan övervakning i privatbostäder som utförs av den som bor där, likaså när det gäller t.ex. garage, förråd och på tomtmark. Det är dock inte fråga om privat kameraövervakning om bilder eller ljud från övervakningen är avsedda att spridas till en större krets personer.1 När kameraövervakningslagen inte är tillämplig gäller, som tidigare nämnts, personuppgiftslagen på vanligt sätt. Kameraövervakningslagen gäller inte heller vid s.k. hemlig kameraövervakning som utförs av eller Säker- hetspolisen. Den verksamheten är föremål för annan särreglering (se kapitel 18). 1 Regeringens proposition En ny kameraövervakningslag, prop. 2012/13:115 s. 45. Allmänna krav enligt kameraövervakningslagen Som ett allmänt krav för kameraövervakning av alla typer av platser gäller att övervakningen ska bedrivas lagligt, enligt god sed och med hänsyn till enskildas personliga integritet. För att kameraövervak- ning ska vara tillåten krävs vidare, enligt den s.k. överviktsprincipen, att intresset av sådan övervakning ska väga tyngre än den enskildes intresse av att inte bli övervakad. Vid den bedömningen ska särskilt beaktas om övervakningen behövs för att förebygga, utreda och avslöja brott, förhindra olyckor eller något annat jämförligt ändamål