sou · H4B341 · 2016-06-07 00:00:00 — Dessa spaningsmetoder regleras främst av 8 § polislagen. När det gäller dessa företeelser gör kommittén bedömningen att användningen av dessa metoder gene- rellt sett är förknippade med påtaglig risk för intrång i den personliga integriteten. Polisens spaningsverksamhet på internet och utåtriktade verksamhet i sociala medier Denna företeelse hör också till ett område med svag reglering.54 Ris- kerna handlar t.ex. om bristande insyn över vilka uppgifter som sam- las in och behandlas. Kommittén gör bedömningen att dessa förete- elser är förknippade med vissa risker för den personliga integriteten. Behandling av personuppgifter i register Även när det gäller behandling av personupp gifter i register har bl.a. uppmärksammat brister. Nuvarande brister förefaller handla om att gällande bestämmelser inte följs snarare än om utformningen av lag- stiftningen som sådan. I det avseendet konstaterar kommittén att det finns utrymme för förbättringar. Den stora organisation som utgör innebär att en ännu större mängd uppgifter samlas hos en och samma myndighet samt att fler personer kan få tillgång till dessa uppgifter. Det ökar behovet av åtgärder för att säkerställa att uppgifter inte sprids till obehöriga personer i och ut- anför organisationen. När det gäller polisens behandling av person- uppgifter i register bedömer kommittén att företeelsen är förknip- pade med påtagliga risker för intrång i den personliga integriteten. Tillgång till uppgifter i flygbolagens register. Vissa uppgifter från flygbolagen överförs på begäran till de brottsbe- kämpande myndigheterna. Vidare för ett register över passagerare som ankommer direkt från länder som varken ingår 54 Se även kapitel 11 om . De brottsbekämpande myndigheternas verksamhet i EU eller . Polisen hämtar i viss utsträckning in uppgifter även från EU:s gemensamma system för viseringar. Denna behandling av uppgifter om resenärer är förknippade med risk för att fler uppgifter än nödvändigt samlas in och även med en risk för att de används för andra ändamål än det för vilket de samlades in. Denna risk ökar om uppgifterna inte gallras på ett ändamålsenligt sätt. Det rör sig här om uppgifter om en stor mängd människor som reser och som inte ägnar sig åt brottslig verksamhet. Företeelsen är dessutom internationell. Det finns dock ett skyddande regelverk. Kommittén gör bedömningen att denna företeelse är förknippade med en viss risk för intrång i den personliga integriteten. Polisens deltar även i annat internationellt samarbete om utbyte av uppgifter i brottsbekämpande verksamhet. Vid informationsutbyte finns risk för att det leder till en förlorad kontroll över flödet av per- sonuppgifter och att den nationella lagstiftningen inte kan säker- ställa ett skydd för informationen. Informationen kan t.ex. komma att användas för andra syften eller få en större spridning än vad som varit avsett. Det kan vidare vara svårt att åstadkomma rättelse och utplåning m.m. avseende uppgifter som har överförts till andra län- der. Kommittén bedömer att denna företeelse är förknippad med en viss risk för intrång i den personliga integriteten. Utöver vikten av intern uppföljning bör också framhållas betydelsen av en effektiv och ändamålsenlig tillsyn. När det gäller den frågan har regeringen tillsatt en särskild utredning – Utredningen om en myn- dighet med ett samlat ansvar för tillsyn över den personliga integrite- ten – som har i uppdrag att bl.a. överväga hur ett i högre grad samlat integritetsskydd kan fungera inom en och samma myndighetsstruk- tur genom att tillsynen över behandling av personuppgifter samlas hos en myndighet. Uppdraget ska redovisas i september 2016.55 55 Dir. 2014:164 och dir. 2015:139. De brottsbekämpande myndigheternas verksamhet Ett annat problem är att myndigheterna i vissa fall inte uppfyller de krav som följer av ny lagstiftning på grund av att det föreligger tekniska problem på it-området. Som exempel på detta kan nämnas att bl.a. 10–11 §§ i gamla polisdatalagen aldrig fick genomslag på grund av att polisens it-system inte hade de funktioner som krävdes för att kunna uppfylla lagens bestämmelser. Motsvarande reglering finns i 3 kap. 10–13 §§ i nya polisdatalagen. Men dessa bestämmelser behöver inte börja tillämpas förrän . Avslutningsvis kan konstateras att när det gäller det brottsbe- kämpande arbetet har den enskilde, av naturliga skäl, begränsade möjligheter att bestämma vilken information som myndigheterna får behandla. Systemet med underrättelse om användningen av hem- liga tvångsmedel i efterhand kan i viss mån anses väga upp denna brist. På så sätt får den enskilde åtminstone möjlighet att bedöma vilket integritetsintrång som förekommit och möjlighet att reagera mot sådant som han eller hon anser vara rättsstridigt. Det finns dock undantag från skyldigheten att underrätta den enskilde. I dessa fall finns däremot krav på att det i stället är Säkerhets- och integritets- skyddsnämnden som ska underrättas och som också ska underrättas vid inhämtning av uppgifter om elektronisk kommunikation enligt den s.k. inhämtningslagen. Nämnden ska även på begäran av enskild kontrollera om han eller hon har utsatts för hemliga tvångsmedel eller har varit föremål för polisens personuppgiftsbehandling. Nämn- den ska även kontrollera om tvångsmedelsanvändningen och personuppgiftsbehandlingen har genomförts i enlighet med lag eller annan författning. Dessutom finns möjligheten för en registrerad att få ersättning för den skada eller kränkning av den personliga integri- teten som en personuppgiftsbehandling i strid med lagen har orsakat. 19Försvarsunderrättelseverksamhet och militär säkerhetstjänst Kommitténs bedömning: Riskerna för den personliga integri teten i samband med signalspaning bedöms som påtagliga. Det föreligger en viss risk för den personliga integriteten i sam- band med behandling av personuppgifter i den militära under rättelsetjänstens it-system. Båda dessa företeelser innebär dock omfattande intrång i den personliga integriteten för dem som faktiskt blir föremål för dem. Försvarsunderrättelseverksamhet bedrivs för att identifiera, bevaka och bedöma yttre hot mot och svenska intressen i utlandet, till stöd för svensk utrikes-, försvars- och säkerhetspolitik. Verksam- heten går i korthet ut på att hämta in information som avser utländ- ska förhållanden, vilken därefter bearbetas, analyseras och rappor teras som underrättelser till berörda myndigheter. Syftet är att ge en förvarning om utvecklingen i omvärlden, så att uppdragsgivarna inte överraskas. Den militära säkerhetstjänsten syftar till att upptäcka, identifiera och möta säkerhetshot som riktas mot Försvarsmakten och dess intressen i och utomlands. I arbetet ingår bl.a. att kartlägga och motverka främmande underrättelseverksamhet och annan säker- hetshotande verksamhet mot Försvarsmakten och dess säkerhetsin- tressen samt att identifiera och prioritera skyddsvärda tillgångar och Försvarsunderrättelseverksamhet och militär säkerhetstjänst Vidare ingår att med tekniska åtgärder försöka förhindra obehörig insyn i och påverkan av telekommunikations- och it-system. Militära underrättelse- och säkerhetstjänsten (Must), vid För- svarsmakten, ansvarar för den militära säkerhetstjänsten och bedri- ver även försvarsunderrättelseverksamhet. Försvarsunderrättelse- verksamhet bedrivs också av (), () och Försvarets materiel- verk (FMV). Vidare har FRA även i uppdrag att hjälpa samhällsvik- tiga verksamheter att skydda sin it-miljö. Från integritetssynpunkt är det framför allt Must:s och FRA:s in- hämtning och efterföljande behandling av personuppgifter som är av betydelse. Personuppgiftsbehandlingen regleras framför allt i •personuppgiftslagen (1998:204), •lagen (2007:258) om behandling av personuppgifter i Försvars- maktens försvarsunderrättelseverksamhet och militära säkerhets- tjänst, •förordningen (2007:260) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst, •lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet, • förordningen (2007:261) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklings- verksamhet, •lagen (2008:717) om signalspaning i försvarsunderrättelseverk- samhet (signalspaningslagen), samt •förordningen (2008:923) om signalspaning i försvarsunderrätt elseverksamhet. Försvarsunderrättelseverksamhet och militär säkerhetstjänst Statens inspektion för försvarsunderrättelseverksamheten (Siun) är en nämndmyndighet under regeringen, som har till uppgift att kon- trollera försvarsunderrättelseverksamheten så att den bedrivs i enlig- het med lagar och förordningar. Siun är också kontrollmyndighet för den verksamhet som bedrivs signalspaningslagen. I kontrollen av signalspaningen ska Siun särskilt granska sökbegrepp, förstöring och rapportering. Vidare ska Siun på enskilds begäran kontrollera om hans eller hennes meddelanden har inhämtats i samband med signal- spaning och, om så är fallet, ifall inhämtningen och behandlingen av inhämtade uppgifter har gjorts i enlighet med signalspaningslagen. Siun har också mandat att avbryta inhämtning eller besluta om för- störing av upptagning eller uppteckning, om det skulle visa sig att inhämtningen inte varit förenlig med det tillstånd som meddelats av Försvarsunderrättelsedomstolen. Om Siun uppmärksammar förhållanden som kan utgöra brott, ska nämnden anmäla det till eller annan behö- rig myndighet. Om nämnden uppmärksammar felaktigheter som kan medföra skadeståndsansvar för staten gentemot en fysisk eller juridisk person, ska nämnden anmäla det till Justitiekanslern. Om nämnden finner omständigheter som Datainspektionen bör upp- märksammas på, ska nämnden anmäla det till inspektionen. Vidare är Datainspektionen tillsynsmyndighet för personupp- giftsbehandlingen vid bl.a. Försvarsmakten och FRA, enligt person- uppgiftslagen respektive lagen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverk- samhet och lagen om behandling av personuppgifter i Försvarsmak- tens försvarsunderrättelseverksamhet och militära säkerhetstjänst. har ett samlat tillsynsansvar inom området för elektronisk kommunikation. I uppdraget ingår bl.a. att utöva till- syn över operatörernas överföring av signaler till samverkanspunkter från vilka FRA kan ta del av resultatet av signalspaningen. Vid FRA finns även ett integritetsskyddsråd som har i uppgift att fortlöpande utöva insyn i de åtgärder som vidtas, för att säkerställa integritetsskyddet i signalspaningsverksamheten. Rådets ledamöter utses av regeringen. Försvarsunderrättelseverksamhet och militär säkerhetstjänst I de fall uppgifter behandlas hos och Säker- hetspolisen efter att ha inhämtats med hjälp av signalspaning, har även ett tillsynsansvar. Slutligen utövar ombudsmän () och Justitiekanslern viss tillsyn över bl.a. Försvarsmaktens och FRA:s verksamheter. 19.2Försvarets radioanstalts behandling av uppgifter i försvarsunderrättelseverksamhet (signalspaning) FRA bedriver signalspaning mot specifik internationell kommunika- tion, för att ge regeringen, , Försvarsmakten, Säkerhetspolisen och Nationella operativa avdelningen vid Polis- myndigheten unik information om viktiga utländska förhållanden.1 FRA har alltså inte något eget försvarsunderrättelsebehov, utöver den verksamhet som bedrivs i syfte att utveckla de egna metoderna, utan signalspaning utförs på uppdrag av nämnda myndigheter. Verksamheten bedrivs från stationer på olika platser i samt från flygplan och fartyg. Spaningen riktas mot såväl civila som militära radiosignaler som t.ex. telefoni och dataöverföring samt viss kabeltrafik som passerar rikets gräns. Den riktas även mot signaler som inte innehåller personuppgifter, t.ex. signaler från radar-, navi- gerings- och vapenrelaterade system. Information (exempelvis trafikuppgifter eller uppgifter om inne- hållet i vissa telefonsamtal, sms eller e-postmeddelanden) hämtas in genom att sökbegrepp appliceras på signaler. Sökbegreppen är utformade så att de väljer bort respektive väljer ut signaler som är av intresse för försvarsunderrättelseverksamheten. Inhämtade elektroniska signaler bearbetas och analyseras, varefter en rapport lämnas till uppdragsgivaren. Vissa underrättelser delges även andra berörda myndigheter. 1 Säkerhetspolisens och möjlighet att inrikta signalspaning motiveras av deras behov av uppgifter om utländska förhållanden på strategisk nivå avseende bl.a. interna- tionell terrorism och annan grov gränsöverskridande brottslighet som kan hota väsentliga nationella intressen. Försvarsunderrättelseverksamhet och militär säkerhetstjänst Det förekommer även visst internationellt informationsutbyte. Utlämnande av uppgifter till andra länder kan för Försvarsmaktens och FRA:s del behöva göras inom ramen för det internationella för- svarsunderrättelse- och säkerhetssamarbetet. Utlandssamarbete är också en del av verksamheten för den militära säkerhetstjänsten. FRA bedrev tidigare signalspaning i etern med stöd av principen att etern är fri. Denna princip, som bl.a. framgår av lagen (2003:389) om elektronisk kommunikation, har ansetts innebära att avlyssning i etern är fri, oavsett om den bedrivs av enskilda eller myndigheter. Principen om eterns frihet har dock blivit allt mer ifrågasatt, bl.a. med hänvisning till praxis.2 regleras FRA:s möjlighet till signalspa- ning i signalspaningslagen. Lagen ger FRA möjlighet att även bedriva signalspaning i kabel. kompletterades lagen med vissa bestämmelser som stärkte skyddet för den personliga inte- griteten.3 Ändringarna gällde bl.a. för vilka syften som inhämtning får göras samt att den ska vara föremål för domstolsprövning och utökad tillsyn. Signalspaning i försvarsunderrättelseverksamhet får endast avse utländska förhållanden och utföras i syfte att kartlägga vissa angivna företeelser, bl.a. yttre militära hot mot landet, strategiska förhållan- den avseende internationell terrorism och annan grov gränsöverskri- dande brottslighet som kan hota väsentliga nationella intressen samt främmande underrättelseverksamhet mot svenska intressen. Den närmare inriktningen av signalspaningen bestäms av uppdragsgiva- ren, dvs. regeringen, , Försvarsmakten, Säkerhets- polisen eller Nationella operativa avdelningen vid . Tillstånd för signalspaning lämnas av Försvarsunderrättelse- domstolen efter ansökan av FRA. Ett tillstånd får ges i taget. I tillståndet ska anges bl.a. vilka sökbegrepp eller kategorier av sökbegrepp som får användas vid inhämtningen samt de villkor i övrigt som behövs för att begränsa intrånget i enskildas personliga integritet. 2 betänkande Särskilda spaningsmetoder, SOU 2010:103 s. 74. 3 Regeringens proposition Förstärkt integritetsskydd vid signalspaning, prop. 2008/09:201. Försvarsunderrättelseverksamhet och militär säkerhetstjänst Inhämtning av signaler ska ske automatiserat med hjälp av sökbe- grepp. En inriktning av signalspaningen får inte avse endast en viss fysisk person. Däremot får sökbegrepp som är direkt hänförliga till en viss fysisk person användas om det är av synnerlig vikt för verk- samheten. När sådana sökbegrepp har använts ska personen under- rättas om detta, om det inte hindras av sekretess eller inhämtningen uteslutande avser främmande makts förhållanden eller förhållanden mellan främmande makter. Inhämtning får, som tidigare nämnts, göras i såväl etern som i kabel. Inhämtning av uppgifter i kabel får endast avse signaler som förs över gräns i kabel som ägs av en operatör. Den får inte avse signaler mellan en avsändare och en mottagare som båda befin- ner sig i . Om sådana signaler inte kan avskiljas redan vid inhämtningen, ska upptagningen eller uppteckningen förstöras så snart det står klart att sådana signaler har inhämtats. Detsamma gäller bl.a. om innehållet berör en fysisk person och detta har be- dömts sakna betydelse för försvarsunderrättelseverksamheten samt vissa uppgifter som omfattas av tystnadsplikt enligt tryckfrihetsför- ordningen eller yttrandefrihetsgrundlagen. Vidare innehåller lagen om behandling av personuppgifter i FRA:s försvarsunderrättelse- och utvecklingsverksamhet generella bestäm- melser om behandling av personuppgifter hos FRA. Där framgår bl.a. att personuppgifter endast får samlas in för särskilda, uttryck- ligt angivna och berättigade ändamål samt att uppgifterna inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Vidare framgår att i försvarsunderrättelse- verksamheten får uppgifter om en person behandlas endast om personen har anknytning till en preciserad inriktning för försvarsun- derrättelseverksamheten och behandlingen är nödvändig för att full- följa den inriktningen. I lagen finns dessutom särskilda begränsningar när det gäller bl.a. behandling av känsliga personuppgifter, t.ex. uppgifter om etniskt ursprung, politiska åsikter, religiös övertygelse eller hälsa. Sådana uppgifter får behandlas endast när det är absolut nödvändigt för syf- tet med behandlingen. Därutöver innehåller lagen bestämmelser om bl.a. personuppgiftsombud, säkerhet vid behandlingen, information till enskilda om ifall deras personuppgifter behandlas (när uppgif- terna inte omfattas av sekretess) samt skadestånds- och straffansvar i vissa fall. Slutligen finns bestämmelser om gallring, som innebär att Försvarsunderrättelseverksamhet och militär säkerhetstjänst personuppgifter som behandlas automatiserat ska gallras så snart uppgifterna inte längre behövs för det ändamål för vilket de behand- las, om inte regeringen eller har meddelat föreskrifter eller beslutat om annat. Uppgifter hos FRA omfattas i stor utsträckning av sekretess (15 och 38 kap. offentlighets- och sekretesslagen [2009:400]). Samarbete med andra länder får förekomma om syftet med sam- arbetet är att tjäna den svenska statsledningen och det svenska total- försvaret. Vidare får uppgifter – även sekretessbelagda uppgifter – lämnas ut till en utländsk myndighet eller en internationell organisation, om utlämnandet tjänar den svenska statsledningen el- ler det svenska totalförsvaret. Ett utlämnande får inte göras om det är till skada för svenska intressen. 19.2.3Risker för den personliga integriteten Signalspaning anses vara av stor betydelse för försvarsunderrättelse- verksamheten och den militära säkerhetstjänsten. Metoden har un- der använts för att inhämta signaler i etern, men har först reglerats i lag. Regleringen har inneburit bl.a. ökad kon- troll av verksamheten, som möjligheten att bedriva signal- spaning även i kabel har medfört att FRA och dess uppdragsgivare fått tillgång till en betydligt större mängd uppgifter. Personer som är involverade i de utländska företeelser som är av intresse för försvarsunderrättelseverksamhet, är i regel beroende av att kunna kommunicera via etern eller i kabel. Signalspaning anses vara en effektiv försvarsunderrättelsemetod för att snabbt få infor- mation om olika utländska företeelser. Tillsammans med annan un- derrättelseverksamhet kan signalspaning ge en samlad bild av en händelseutveckling som berör svensk utrikes-, säkerhets- och för svarspolitik. FRA följer delar av den utländska och internationella signaltrafiken och skapar sig därigenom en bild av normalläget. En avvikelse från normalbilden kan utgöra en varning om ett hot som föranleder någon form av åtgärd från uppdragsgivaren.4 4 betänkande Uppföljning av signalspaningslagen, SOU 2011:13 s. 31. Försvarsunderrättelseverksamhet och militär säkerhetstjänst Vid signalspaning överförs all gränsöverskridande trafik i kabel till vissa samverkanspunkter, men det lagras inte uppgifter vid dessa punkter. Endast en mycket begränsad trafikmängd förs vidare till FRA via signalbärare. Trots detta innebär den verksamhet som be- drivs vid FRA att det i stor utsträckning inhämtas och bearbetas per- sonuppgifter som kan vara av känslig natur. Genom signalspaning kan inhämtas uppgifter om vad enskilda talar om i telefon eller vad som skrivs i e-postmeddelanden. Det ligger i sakens natur att en stor del av det som sägs eller skrivs i denna trafik inte har att göra med de omständigheter som legat till grund för inhämtningen. I stället kan samtalen eller korrespondensen gälla t.ex. personliga förhållanden som helt saknar betydelse för försvarsunderrättelseverksamheten. Signalspaning innebär därför ett betydande intrång i den personliga integriteten, framför allt sedan spaningen utvidgats till att omfatta trafik i kabel. Utvidgandet av signalspaningen har bl.a. inneburit att den riktar sig mot en mycket stor mängd information. Utformningen av sökbegrepp och den automatiska databehand- ling som informationsflödena möjliggör innebär visserligen att endast en ytterst liten del av den inhämtade informationen kommer under mänskliga ögon. Redan det faktum att staten bereder sig till- gång till informationen innebär dock ett integritetsintrång, även om intrånget blir större när ett visst meddelande avskiljs för analys genom sökbegreppen och informationen behandlas vidare.5 Tillväga- gångssättet kan också påverka enskildas upplevelse av att få sin privata sfär inskränkt och integritetsfrågan berör därför personer bosatta i i allmänhet.6 Det kan i detta sammanhang nämnas att det pågår ett mål mot vid , där det i korthet görs gällande att FRA:s signalspaning innebar en kränkning av rätten till privatliv såväl när frågan var oreglerad som efter ikraftträdandet av signalspaningslagen samt att signalspaningen även efter lagändring- arna kränker rätten till privatliv.7 5 Polisens tillgång till signalspaning i försvarsunderrättelseverksamhet, Ds 2011:44 s. 42 f. och Regeringens proposition En anpassad försvarsunderrättelseverksamhet, prop. 2006/07:63 s. 88. 6 SOU 2011:13 s. 15. 7 Ansökan nr 35252/08, ./. Försvarsunderrättelseverksamhet och militär säkerhetstjänst Resultat av granskning och kontroll På regeringens uppdrag8 genomförde Datainspektionen och 2010 en granskning av den personuppgiftsbehandling som tillämpningen av signalspaningslagen föranledde. Uppdraget var ett led i uppföljningen av lagen och innebar att Datainspektionen skulle analysera vilka särskilda integritetsproblem som kan uppstå i sam- band med personuppgiftsbehandling i FRA:s signalspaningsverk- samhet. Datainspektionen skulle vidare utreda om de rutiner och riktlinjer som FRA tillämpar är tillräckliga för att hantera sådana problem samt bistå FRA vid utarbetandet av de ytterligare rutiner som kunde vara nödvändiga för att tillgodose integritetsskydds behovet. Uppdraget redovisades i en rapport den 6 december 2010.9 Den sammanfattande bedömningen var att frågor som har med person- uppgiftsbehandling och personlig integritet att göra togs på allvar vid FRA samt att myndigheten lagt ned mycket tid och resurser på att skapa rutiner och utbilda personalen på ett sådant sätt att risken för otillbörliga intrång i den personliga integriteten minimeras. I sin rapport pekade Datainspektionen dock också på ett antal särskilda integritetsproblem som kan uppstå i verksamheten. En sådan faktor var den ökande trafikmängden i signalbärarna som möjligheten till kabelinhämtning kunde förväntas innebära. Som angavs i rapporten är trafiken i kabel mer uppblandad än vad som var fallet med den militära eterburna trafiken, som då också lättare kunde hållas åtskild från ”vanliga” människors kommunikation. Dagens tekniska lösningar innebär att personer med anknytning till de yttre hoten mot – t.ex. terrorverksamhet – i princip kommunicerar i samma nät som alla andra, vilket ställer högre krav på att FRA kan välja ut just de signaler som är relevanta för de utrikes förhållanden och yttre hot som FRA har till uppgift att rapportera. Att sådana signaler som inte är relevanta för verksamheten kan sållas bort är av stor vikt för att minimera intrånget i den personliga integriteten.