prop · H50336 · 2017-11-01 00:00:00 — Regeringens proposition 2017/18:36 Ett mer effektivt informationsutbyte vid Nationellt centrum för terrorhotbedömning Regeringen överlämnar denna proposition till . Regeringen föreslår att Säkerhetspolisen, och Försvarsmakten, inom ramen för samarbetet vid Nationellt centrum för terrorhotbedömning, ska få lämna ut uppgifter till varandra elektroniskt genom direktåtkomst. Förslaget syftar till att effektivisera det informationsutbyte som redan förekommer inom samarbetet för att skapa bättre förutsättningar för myndigheterna att göra korrekta bedömningar av terrorhot i rätt tid. Förslaget innebär att varje myndighet vid Nationellt centrum för terrorhotbedömning ska få medge de övriga myndigheterna inom samarbetet direktåtkomst till sådana uppgifter som behövs för att kunna göra bedömningar på strategisk nivå av terrorhotet mot och svenska intressen. Direktåtkomsten ska inte omfatta fler uppgifter än vad myndigheterna kan lämna ut till varandra. För att möjliggöra utlämnandet föreslås att sekretessbrytande bestämmelser i form av uppgiftsskyldigheter införs. Lagändringarna föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens 2.2Förslag till lag om ändring i lagen (2007:259) om behandling av personuppgifter i Försvarets 2.3Förslag till lag om ändring i polisdatalagen (2010:361) .......................................................................... Ärendet och dess beredning ............................................................ Nationellt centrum för terrorhotbedömning .................................... Pågående arbete med översyn av registerförfattningar ................... Personuppgiftsbehandling vid Nationellt centrum för Ett effektiviserat informationsutbyte............................................... Det behöver bli enklare att utbyta uppgifter inom ramen för samarbetet ........................................................ Utformningen av direktåtkomsten .................................... Sekretess och uppgiftsskyldighet ..................................... 7.4Flera sekretessbestämmelser skyddar de Förslaget till lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens 10.2Förslaget till lag om ändring i lagen (2007:259) om behandling av personuppgifter i Försvarets 10.3Förslaget till lag om ändring i polisdatalagen (2010:361) ........................................................................ Behandling av personuppgifter inom Nationellt centrum för terrorhotbedömning (Ds 2016:31) ................ Förteckning över remissinstanserna ................................ Utdrag ur protokoll vid regeringssammanträde 1 Förslag till riksdagsbeslut Regeringen föreslår att antar regeringens förslag till 1.lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst, 2.lag om ändring i lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet, 3.lag om ändring i polisdatalagen (2010:361). Regeringen har följande förslag till lagtext. 2.1Förslag till lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst Härigenom föreskrivs i fråga om lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst dels att 1 kap. 15 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 1 kap. 15 a §, och närmast före 1 kap. 15 a § en ny rubrik av följande lydelse. Regeringen meddelar föreskrifter om vilka myndigheter som får ha direktåtkomst till uppgiftssamlingar Regeringen, eller den myndighet som regeringen bestämmer, meddelar ytterligare föreskrifter eller beslut i enskilda fall om direktåtkomst till sådana uppgifter i en uppgiftssamling för för- inom ramen för myndighetsöver- och Säkerhetspolisen, ska strategisk nivå av terrorhotet mot ska vara förbehållen de personer inom myndigheterna som på grund tillgång till uppgifterna. skrifter om vilka myndigheter som i andra fall får ha direktåtkomst Regeringen, eller den myndighet omfattningen av direktåtkomsten. ningen av direktåtkomsten, och 2. föreskrifter om behörighet och säkerhet vid sådan åtkomst. enligt 38 kap. 4 § offentlighets- och sekretesslagen (2009:400), ta del av sådana uppgifter som avses i 15 § första stycket. Denna lag träder i kraft . 2.2 Förslag till lag om ändring i lagen (2007:259) Prop. 2017/18:36 om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet Härigenom föreskrivs i fråga om lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet dels att 1 kap. 15 § ska ha följande lydelse, dels att det ska införas en ny paragraf, 1 kap. 15 a §, och närmast före 1 kap 15 a § en ny rubrik av följande lydelse. Regeringen meddelar föreskrifter om vilka myndigheter som får ha direktåtkomst till uppgiftssamlingar. Regeringen, eller den myndighet som regeringen bestämmer, meddelar ytterligare föreskrifter eller beslut i enskilda fall om omfattningen av direktåtkomsten. Säkerhetspolisen och Försvarsmakten får medges direktåtkomst till uppgifter som utgör analysresultat i en uppgiftssamling för analyser och som behövs för att myndigheterna, inom ramen för myndighetsöverskridande samverkan mellan , Försvarsmakten och Säkerhetspolisen, ska kunna göra bedömningar på strategisk nivå av terrorhotet mot och svenska intressen. Tillgången till sådana uppgifter ska vara förbehållen de personer inom myndigheterna som på grund av sina arbetsuppgifter inom sådan samverkan behöver ha tillgång till uppgifterna. Regeringen meddelar föreskrifter om vilka myndigheter som i andra fall får ha direktåtkomst till uppgiftssamlingar. Regeringen, eller den myndighet som regeringen bestämmer, meddelar 1.ytterligare föreskrifter eller beslut i enskilda fall om omfattningen av direktåtkomsten, och 2.föreskrifter om behörighet och säkerhet vid sådan åtkomst. Säkerhetspolisen och Försvarsmakten har, trots sekretess enligt 38 kap. 4 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av sådana uppgifter som avses i 15 § första stycket. Denna lag träder i kraft . Ytterligare bestämmelser om direktåtkomst finns i 3 kap. 8 §, 4 kap. 10 och 17 §§ samt 6 kap. 11 a §. Förslag till lag om ändring i polisdatalagen Härigenom föreskrivs i fråga om polisdatalagen (2010:361) dels att 2 kap. 21 § ska ha följande lydelse, dels att det ska införas två nya paragrafer, 6 kap. 11 a och 11 b §§, och närmast före 6 kap. 11 a § en ny rubrik av följande lydelse. Utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som följer av denna lag. Regeringen meddelar föreskrifter om att en utländsk myndighet, Europol eller en mellanfolklig organisation får medges direktåtkomst till personuppgifter i polisens brottsbekämpande verksamhet, om detta är nödvändigt för att fullgöra en internationell överenskommelse som efter godkännande har tillträtt eller om det följer av en EU-rättsakt. Ytterligare bestämmelser om direktåtkomst finns i 3 kap. 8 § samt 4 kap. 10 och 17 §§. och Försvarsmakten får medges direktåtkomst till personuppgifter som har gjorts gemensamt tillgängliga i Säkerhetspolisens brottsbekämpande verksamhet och som behövs för att myndigheterna, inom ramen för myndighetsöverskridande samverkan mellan , Försvarsmakten och Säkerhetspolisen, ska kunna göra bedömningar på strategisk nivå av terrorhotet mot och svenska intressen. En myndighet som har medgetts direktåtkomst ansvarar för att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen samt om behörighet och säkerhet vid sådan åtkomst. och Försvarsmakten har, trots sekretess enligt 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av sådana uppgifter som avses i 11 a § första stycket. Denna lag träder i kraft . Ärendet och dess beredning Nationellt centrum för terrorhotbedömning (NCT) är en permanent myndighetsgemensam arbetsgrupp med personal från Säkerhetspolisen, () och Militära underrättelse- och säkerhetstjänsten vid Försvarsmakten (Must). Säkerhetspolisen har i en skrivelse till regeringen (Ju2015/05096/L4) pekat på ett behov av att effektivisera uppgiftsutbytet inom ramen för samarbetet vid NCT. Säkerhetspolisen har föreslagit att myndigheten ska ges möjlighet att medge Försvarsmakten och FRA direktåtkomst till personuppgifter som har gjorts gemensamt tillgängliga för NCT-samarbetet i Säkerhets- polisens verksamhet om uppgifterna behövs för strategiska bedömningar av terrorhotet mot och svenska intressen. uppgett att många av de uppgifter som NCT:s bedömningar och rapporter bygger på kommer från Säkerhetspolisens underrättelseinformation. Säkerhetspolisen anser därför att det är viktigt för samarbetet att berörda tjänstemän från de två andra myndigheterna har direktåtkomst till relevant information från Säkerhetspolisen. Regeringen har i strategin mot terrorism som presenterats i skrivelsen Förebygga, förhindra och försvåra – den svenska strategin mot terrorism 2014/15:146) angett att regeringen ska verka för att uppgiftsutbytet inom NCT effektiviseras. ingick regeringen en överenskommelse om ytterligare åtgärder mot terrorism med , , I överenskommelsen anges bl.a. att arbetet vid NCT ska effektiviseras genom att en lagändring som ger de samarbetande myndigheterna möjlighet att dela information digitalt ska Inrikesministern beslutade att ge en utredare i upp- drag att biträda med att beskriva den verksamhet som bedrivs inom ramen för NCT, analysera de rättsliga förut- sättningarna för Säkerhetspolisens, Försvarsmaktens och FRA:s personuppgiftsbehandling inom ramen för NCT-samarbetet och klarlägga om det finns behov av ett tydligare lagstöd för den personuppgiftsbehandling som sker. Utredaren skulle vidare analysera hur informationsutbytet kan effektiviseras och särskilt i vilken utsträckning Säkerhetspolisen ska kunna medge övriga myndigheter inom NCT direktåtkomst till uppgifter som är gemensamt tillgängliga för NCT-samarbetet i Säkerhetspolisens verksamhet om uppgifterna behövs för att göra strategiska bedömningar av terrorhotet mot och svenska intressen (Ju2015/07312/P). Uppdraget har även kommit att omfatta i vilken utsträckning FRA respektive Försvarsmakten ska kunna medge övriga myndigheter inom NCT-samarbetet direktåtkomst till Uppdraget redovisades i departe- mentspromemorian Behandling av personuppgifter inom Nationellt centrum för terrorhotbedömning (Ds 2016:31). promemorian finns i bilaga 1 och promemorians lagförslag finns i bilaga Promemorian har remissbehandlats. En förteckning över remiss- instanserna finns i bilaga 3. Remissyttrandena finns tillgängliga i (Ju2016/06351/L4). Regeringen beslutade att inhämta Lagrådets yttrande över lagförslag som är likalydande med propositionens Lagrådets yttrande finns i bilaga 5. Lagrådet har ingen erinran mot förslagen men framhåller att det är önskvärt att regeringen i lagstiftningsärenden av detta slag tydligt redovisar sin syn på frågan om bestämmelsen i 2 kap. 6 § andra stycket regeringsformen är tillämplig Lagrådets synpunkt behandlas i avsnitt 7.2. 4 Nationellt centrum för terrorhotbedömning Nationellt centrum för terrorhotbedömning (NCT) är en myndighetsgemensam arbetsgrupp med personal från Säkerhetspolisen, () och Militära underrättelse- och säkerhetstjänsten vid Försvarsmakten (Must). NCT bildades och är en permanent arbetsgrupp som regleras i en skriftlig överenskommelse mellan myndigheterna. Arbetsgruppen har till uppgift att göra strategiska bedömningar av terrorhotet mot och svenska intressen . NCT producerar även strategiska analyser av händelser, trender och omvärldsutveckling med koppling till terrorism som berör, eller kan komma att beröra, och svenska intressen. Samarbetet inom NCT ger möjligheter att ta tillvara den samlade kompetens som finns hos de tre myndigheterna. NCT är därigenom den funktion i som har en överblick över allt tillgängligt material av strategisk karaktär med bäring på terrorism och därmed en unik möjlighet att bedöma utvecklingen när det gäller hot mot och svenska intressen. Vid NCT arbetar analytiker från de tre myndigheterna i gemensamma lokaler hos . Bedömningarna delges delar av , samt i de flesta fall även myndigheterna inom mot terrorism, och syftar till att ge tidig förvarning om förändringar som kan påverka hotbilden mot och svenska intressen och som kan kräva åtgärder. I regeringens strategi mot terrorism (Förebygga, förhindra och försvåra – den svenska strategin mot terrorism) konstateras bl.a. att tillgång till information är en grundläggande förutsättning för myndigheternas möjligheter att förhindra terroristbrottslighet. Myndigheterna måste ha tillgång till adekvat information i rätt tid och de måste också ha möjlighet att bearbeta och analysera denna information. Enligt regeringen är därför möjligheten till samverkan och informationsutbyte, såväl på strategisk nivå som i den operativa verksamheten, av stor vikt (skr. 2014/15:146). I strategin nämns NCT som ett exempel på strategisk samverkan som fyller en viktig funktion. Att motverka terrorism är ett angeläget samhällsintresse och förutsätter en effektiv samverkan Samarbetet inom NCT möjliggör ett tillvaratagande av Försvarsmaktens, FRA:s och Säkerhetspolisens samlade kompetens. Det är av största vikt att NCT har en god förmåga att ge tidig förvarning om förändringar i terrorhotet mot och svenska intressen. NCT har en central funktion för hotbedömningar mot och svenska intressen och det är viktigt att samarbetet fortsätter och effektiviseras. För att NCT ska kunna leverera relevanta och aktuella strategiska bedömningar krävs att samtliga medarbetare vid NCT på ett effektivt sätt kan ta del av och använda underrättelseinformation från de samarbetande myndigheterna. Sådan information kan inkludera personuppgifter. Den information som medarbetarna lägger till grund för sina bedömningar måste även vara aktuell och uppdaterad. NCT:s bedömningar och rapporter baseras på sekretessbelagd information från alla de tre samarbetande myndigheterna. NCT:s analyser och bedömningar presenteras i olika typer av rapporter. NCT producerar ungefär 20–30 underrättelserapporter . Medarbetarna vid NCT är uppkopplade mot sina hemmamyndigheters it-system och Säkerhetspolisens it-system. Respektive myndighets medarbetare har tillgång till en myndighetsspecifik mapp i Säkerhetspolisens it-system, till vilken medarbetare från de andra myndigheterna inte har tillgång. I Säkerhetspolisens it-system finns även en gemensam NCT-mapp, som medarbetarna från alla tre myndigheter har tillgång till. Den gemensamma mappen innehåller utkasten till de rapporter som ännu inte färdigställts. I promemorian har redogjorts för vilka bestämmelser i respektive registerförfattning som är tillämpliga när medarbetarna behandlar uppgifter dels i sina egna it-system, dels i de myndighetsspecifika mapparna i Säkerhetspolisens it-system. I de allra flesta situationer framgår det alltså tydligt vem som är ansvarig för vilken personuppgiftsbehandling, t.ex. genom att det endast är en av myndigheterna som har tillgång till personuppgifterna eller it-systemet. Rapporterna skrivs i den gemensamma NCT-mappen av en grupp analytiker. Det ska finnas minst en analytiker från varje med i den grupp som skriver rapporten. En av analytikerna brukar vara huvudredaktör för rapporten och skriva det mesta av texten, men analytikerna diskuterar och planerar innehållet i rapporten tillsammans. Analytikerna sitter ofta tillsammans och arbetar i rapportutkasten, men det förekommer också att en analytiker arbetar ensam i ett dokument. Rapportutkasten innehåller fotnoter med hänvisning till de källor som ligger till grund för bedömningen eftersom informationen i rapporterna i så stor utsträckning som möjligt ska följas av referenser till ursprungsdokument. Det kan röra sig om både offentliga källor och källor som av olika anledningar är hemliga eller känsliga. Eftersom NCT gör strategiska bedömningar innehåller rapporterna generellt relativt få personuppgifter. De personuppgifter som förekommer i rapporterna brukar röra personer som alla tre NCT- myndigheterna redan känner till och behandlar uppgifter om, t.ex. ledare 2017/18:36 för större internationella terrornätverk. Alla analytiker som arbetar med en rapport har möjlighet att lägga till, ändra eller ta bort personuppgifter i rapportutkasten. När en rapport har färdigställts upprättas den i en eller flera olika versioner och skickas till de myndigheter som ska få del av rapporten, däribland de tre NCT-myndigheterna. I dessa versioner har fotnoterna med hänvisning till hemliga och känsliga källor tagits bort. De upprättade rapporterna sparas och diarieförs hos respektive . Tillsyn över behandlingen av personuppgifter vid de aktuella myndigheterna Datainspektionen är tillsynsmyndighet när det gäller den behandling av personuppgifter som sker vid Försvarsmakten, FRA och Säkerhetspolisen. Detta framgår av respektive myndighets registerförfattning. () har tillsynsansvar över den behandling av personuppgifter som utförs av Säkerhetspolisen enligt polisdatalagen (2010:361; PDL). Vidare har Statens inspektion för försvarsunderrättelseverksamheten (Siun) till uppgift att granska den personuppgiftsbehandling som utförs av FRA och Försvarsmakten inom ramen för lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet och lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst. SIN granskade delar av den personuppgiftsbehandling som Säkerhetspolisen utför inom ramen för NCT-samarbetet. Nämnden kunde vid sin granskning inte se att Säkerhetspolisen behandlade några personuppgifter i strid med PDL. Nämnden konstaterade dock i sin rapport att gällande reglering inte är anpassad för sådant samarbete mellan myndigheter som förekommer inom ramen för NCT och att det därför finns en risk för att den enskildes integritet åsidosätts. Nämnden pekade särskilt på frågan om myndigheternas personuppgiftsansvar och konstaterade att det också finns sekretessrelaterade problem i samarbeten av nu aktuellt slag. Nämnden ansåg därför att det fanns anledning att närmare analysera de rättsliga förutsättningar som gäller vid samarbete av det slag som förekommer inom NCT (SIN dnr 324-2014, s.13). Siun genomförde en övergripande granskning avseende viss personuppgiftsbehandling hos Försvarsmakten och FRA inom NCT-samarbetet. Inspektionen uppmärksammade vid sin granskning inte några felaktigt behandlade personuppgifter. I protokollet har dock Siun konstaterat att det finns frågeställningar avseende förutsättningarna för Försvarsmaktens och FRA:s personuppgiftsbehandling inom NCT-samarbetet, särskilt när det gäller personuppgiftsansvar och grund för behandling, som kan behöva utredas (Utdrag ur protokoll från nämndsammanträde , dnr 51-2014H:11). Pågående arbete med översyn av Europeiska unionen har enats om en genomgripande dataskyddsreform som ska vara genomförd . Reformen omfattar dels en allmän dataskyddsförordning1, dels ett dataskyddsdirektiv som behandlar dataskyddet vid bl.a. brottsbekämpning, lagföring och straffverkställighet2. Från förordningens tillämpningsområde undantas personuppgiftsbehandling som utförs av behöriga myndigheter i syfte att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straff, inkluderande skydd mot samt förebyggande av hot mot den allmänna säkerheten. Personuppgiftsbehandling för dessa syften ligger i stället under det nya dataskyddsdirektivets tillämpningsområde. Viss behandling av personuppgifter undantas från både dataskyddsförordningens och dataskyddsdirektivets tillämpningsområden. Det gäller personuppgiftsbehandling i verksamhet som inte omfattas av unionsrätten, däribland området nationell säkerhet. En konsekvens av reformen är att personuppgiftslagen (1998:204) kommer att upphävas och att all lagstiftning om personuppgiftsbehandling behöver ses över och anpassas. (Ju 2016:04) fick i uppdrag att föreslå den kompletterande reglering som dataskyddsförordningen kan kräva och utreda vissa andra generella frågor som dataskyddsreformen väcker. Uppdraget redovisades i betänkanket Ny dataskyddslag − Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). Vidare har en särskild utredare fått i uppdrag att föreslå hur det nya direktivet ska genomföras i svensk rätt (Utredningen om 2016 års dataskyddsdirektiv, Ju 2016:06). Utredaren har i delbetänkandet Brottsdatalag (SOU 2017:29) föreslagit att direktivet i huvudsak ska genomföras genom en ny ramlag, brottsdatalagen. Lagen föreslås – i likhet med personuppgiftslagen – vara generellt tillämplig inom det område som direktivet reglerar. Lagen ska även vara subsidiär. De myndigheter som bedriver verksamhet inom lagens tillämpningsområde har i allmänhet särskilda registerförfattningar som reglerar personuppgiftsbehandlingen. Utredningen föreslår i slutbetänkandet de anpassningar som med anledning av ramlagen krävs i de registerförfattningar som ingår i utredningens uppdrag (vilket bl.a. omfattar personuppgiftsbehandling inom ). Registerförfattningarna föreslås gälla utöver brottsdatalagen. 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG. 2Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. En särskild utredare har fått i uppdrag göra en översyn av den Försvarsmakten och FRA. Syftet med uppdraget är att säkerställa att lagstiftningen är anpassad till den tekniska och legala utvecklingen. Utredaren ska bland annat analysera om rådande lagstiftning är ändamålsenlig för Försvarsmaktens och FRA:s verksamheter och om den tillräcklig i fråga om skyddet för enskildas personliga integritet (Fö 2017:03). Uppdraget ska redovisas . Regeringens bedömning: Det behöver inte införas något förtydligande författningsstöd för Säkerhetspolisens, Försvarets radioanstalts och Försvarsmaktens behandling av personuppgifter inom ramen för samarbetet. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna instämmer i eller har inget att invända mot bedömningen, bl.a. Försvarsmakten, Försvarets radioanstalt (FRA), Säkerhetspolisen, , Migrations- ombudsmän (), , Kammarrätten i , Brottsföre- byggande rådet, Transportstyrelsen och . Datainspektionen, Statens inspektion för försvarsunderrättelse- verksamheten (Siun), och Förvaltningsrätten i ifrågasätter om inte myndigheterna inom ramen för samarbetet kan komma att behandla sådana uppgifter som de inte får behandla med stöd av sina egna registerförfattningar. anledning av detta att frågan om ett förtydligande författningsstöd bör (SIN) anser att i vart fall principerna för fördelningen av personuppgiftsansvaret bör framgå av en författning. anser att det finns behov av en tydlig reglering av myndigheternas inbördes och gemensamma personuppgiftsansvar. och () anser att Nationellt centrum för terrorhotbedömning (NCT) lämpligen borde göras till ett eget Skälen för regeringens bedömning Behandling av personuppgifter i den gemensamma mappen