prop · H50336 · 2017-11-01 00:00:00 — Till skillnad från många andra samarbeten handlar NCT-samarbetet inte enbart om att utbyta information. arbetar också tillsammans i en gemensam mapp där de, med hjälp av underlag från de tre myndigheterna, gemensamt skriver rapporter med bedömningar av terrorhotet mot och svenska intressen. gemensamma NCT-mappen lägger myndigheterna in uppgifter från sina egna mappar som används vid framtagandet av rapporter. Detta innebär att handläggarna, när de därefter arbetar i ett dokument eller rapportutkast, kan komma att behandla även uppgifter som handläggare från de andra myndigheterna har lagt in i dokumentet. En viktig utgångspunkt vid denna form av samarbete är att det finns ett tydligt stöd för den personuppgiftsbehandling som sker och att det inte råder någon tvekan om vem som är ansvarig för sådan behandling. De samverkande myndigheterna deltar i samarbetet utifrån sina respektive uppdrag och utifrån respektive myndighets rättsliga regleringar. Av de relevanta registerförfattningarna följer att var och en av NCT- myndigheterna är ansvariga för den behandling av personuppgifter som myndigheten utför. Datainspektionen, Siun, och Förvaltningsrätten i ifrågasätter om inte myndigheterna vid författandet av rapporter kan komma att behandla sådana uppgifter som de inte får behandla med stöd av sina egna registerförfattningar. De anser med anledning av detta att frågan om ett förtydligande författningsstöd bör övervägas ytterligare. och anser att den nu beskrivna personuppgiftsbehandlingen medför att NCT lämpligen borde göras till ett eget rättssubjekt. Även om olika registerförfattningar med lite olika lydelse är tillämpliga för de myndigheter som samverkar inom NCT, styrs myndigheterna enligt regeringens mening av ändamålsbestämmelser med liknande innebörd, dvs. att personuppgifter får behandlas för att motverka terrorism. Samtliga myndigheter får alltså behandla personuppgifter i syfte att producera strategiska bedömningar av terrorhotet mot och svenska intressen . Samarbetet inom ramen för NCT har pågått och varit föremål för granskning av tillsynsmyndigheterna. Granskningarna visade inte att någon av de deltagande myndigheterna behandlat personuppgifter utan stöd i sina respektive registerförfattningar. Regeringen ser inte heller att tillämpningen av tre olika registerförfattningar medför några större problem i praktiken eftersom flertalet bestämmelser ser likadana ut i alla tre författningarna. Alla tre registerförfattningar med tillhörande förordningar ses över i anledning av EU:s dataskyddsreform, som ska börja tillämpas . När det gäller personuppgiftsansvaret för uppgifterna som behandlas i rapportutkasten i den gemensamma mappen görs i promemorian bedömningen att myndigheterna är gemensamt och solidariskt ansvariga för behandlingen i de fall det inte går att urskilja vilken myndighet som har utfört en specifik behandling i ett rapportutkast och det heller inte på annat sätt går att urskilja någon tydlig fördelning av ansvaret. anser att det finns behov av en tydlig reglering av myndigheternas inbördes och gemensamma personuppgiftsansvar. SIN anför att i vart fall principerna för fördelningen av personuppgiftsansvaret bör framgå av en författning. Regeringen konstaterar att samarbete mellan myndigheter är en förutsättning för ett effektivt arbete mot terrorism. Sådana samarbeten kan se olika ut och vara mer eller mindre formaliserade. Ett samarbete mellan två eller flera myndigheter medför inte automatiskt ett gemensamt ansvar för behandlingen av personuppgifter. Det avgörande är i stället om de deltagande myndigheterna i någon mån tillsammans bestämmer ändamålen med och medlen för behandlingen. I många fall då myndigheter samarbetar framgår det av de faktiska omständigheterna vem som är ansvarig för vilken personuppgiftsbehandling, t.ex. genom att det endast är en myndighet som har tillgång till personuppgifterna eller it-systemet, eller om myndigheterna agerar i olika skeden av en Det förhållandet att två myndigheter använder samma datasystem eller att en myndighet ger en annan myndighet direktåtkomst till ett visst datasystem innebär inte heller per automatik att det uppstår ett gemensamt personuppgiftsansvar. förekommer dock att flera myndigheter är ansvariga för samma behandling, om samarbetet innebär att de deltagande myndigheterna bestämmer tillsammans exempelvis vilka uppgifter som ska läggas in, lagras eller tas bort. utredningen bedömer regeringen att det finns omständigheter som talar för att ett gemensamt personuppgiftsansvar skulle kunna finnas för delar av den behandling av personuppgifter som sker i NCT:s arbete. Frågan är om det nu beskrivna personuppgiftsansvaret innebär en sådan otydlighet för enskilda att det av den anledningen finns behov av att införa förtydligande författningsstöd för behandlingen. personuppgiftsansvar kan innebära svårigheter för den enskilde att veta vem han eller hon ska vända sig till för att få information om personuppgiftsbehandlingen eller för att göra eventuella anspråk För tillsynen är det vidare av avgörande betydelse att personuppgiftsansvaret är tydligt. Den verksamhet som NCT-myndigheterna bedriver omgärdas av stark sekretess, vilket innebär att enskilda registrerade ofta inte kan få någon insyn i verksamheten och personuppgiftsbehandlingen och således inte själva kan bevaka sina rättigheter. De få personuppgifter som förekommer i den gemensamma mappen där rapporterna skrivs, rör också i de flesta fall utländska medborgare som inte befinner sig i och som i praktiken aldrig kommer att vända sig till någon av myndigheterna med anledning av personuppgiftsbehandlingen. har tillsynsmyndigheterna ett ansvar att granska och kontrollera den personuppgiftsbehandling som sker. I promemorian har det föreslagits hur personuppgiftsansvaret kan förtydligas genom ändring av den skriftliga överenskommelse om samarbetet som gäller mellan myndigheterna. Vid bedömningen av om ett gemensamt personuppgiftsansvar över huvud taget uppstår i samband med en viss behandling kan tydliga överenskommelser mellan de behandlande myndigheterna om roller och ansvar för behandlingen vägas in, förutsatt att de är utformade på sätt som tillgodoser de registrerades En tydlig överenskommelse kan också medföra att innebörden av respektive myndighets personuppgiftsansvar inom samarbetet blir tydligare internt för de samarbetande myndigheterna, för tillsynsorganen, och – i förekommande fall – för enskilda registrerade. Därmed garanteras att dataskyddsbestämmelserna följs. myndigheternas ansvar att ta ställning till om deras överenskommelse bör ändras i enlighet med förslaget eller på annat sätt. Regeringen kan konstatera att det inte framkommit annat än att personuppgiftsbehandlingen inom samarbetet fungerar bra och att myndigheterna är väl medvetna om vad som innefattas i deras respektive Prop. 2017/18:36 personuppgiftsansvar och hur detta ansvar i praktiken ska utövas och avgränsas mellan myndigheterna. Mot denna bakgrund anser regeringen att det inte finns ett sådant behov av tydligare lagstöd för den nuvarande personuppgiftsbehandlingen inom NCT-samarbetet att det finns anledning att föreslå sådana bestämmelser. Med hänsyn till att samtliga NCT-myndigheters registerförfattningar nu ses över, bl.a. med anledning av dataskyddsreformen, är det även för tidigt att nu göra en helhetsbedömning av dessa frågor, eftersom det är osäkert hur myndigheternas regleringar kan komma att utformas i samband med det pågående arbetet med dataskyddsreformen. Regeringen vill i detta sammanhang framhålla att slutsatserna ovan endast avser frågan om det finns behov av tydligare lagstöd för den nuvarande personuppgiftsbehandlingen inom NCT-samarbetet. Det är i rättstillämpningen som frågan om personuppgiftsansvarets fördelning slutligt avgörs. Det kan slutligen konstateras att frågan om NCT borde göras till ett eget rättssubjekt inte omfattas av detta lagstiftningsärende. Det behöver bli enklare att utbyta uppgifter inom ramen för samarbetet Regeringens bedömning: Det informationsutbyte som förekommer inom ramen för samarbetet behöver effektiviseras. Regeringens förslag: Säkerhetspolisen, Försvarsmakten och ska under vissa förutsättningar ges möjlighet att utbyta uppgifter elektroniskt genom direktåtkomst. Promemorians bedömning och förslag överensstämmer med Remissinstanserna: De flesta remissinstanserna tillstyrker eller har inga invändningar mot bedömningen och förslaget. rättelsedomstolen delar bedömningen att det är angeläget att förutsättningar skapas för en effektiv samverkan inom ramen för Statens inspektion för försvarsunderrättelseverksamheten (Siun) anför att det med hänsyn till uppgifternas integritetskänsliga karaktär samt att de inte primärt rör försvarsunderrättelseverksamhet, inte har presenterats tillräckliga skäl för att Försvarsmakten och Försvarets radioanstalt (FRA) ska medges direktåtkomst till Säkerhetspolisens delar inte bedömningen eftersom behov saknas. Även , (), och anser att verksamheten inom för terrorhotbedömning (NCT) bör utredas vidare när det gäller möjligheten att göra NCT till ett eget rättssubjekt samt i fråga om den rättsliga styrningen av verksamheten och informationssäkerheten innan direktåtkomst medges. Skälen för regeringens bedömning och förslag NCT-samarbetet är beroende av att myndigheterna utbyter information med varandra. Inom samarbetet sker informationsutbytet främst muntligen eller på papper, vilket är tidskrävande och ineffektivt. De handlingar som kan bli aktuella att visa för övriga myndigheter inom samarbetet förvaras i respektive myndighets säkerhetsskåp. Även om myndigheterna genom väl inarbetade rutiner och kompetent personal har uppnått ett fungerande arbetssätt, tar detta förfarande för utbyte av information viktig tid i anspråk för medarbetarna och hämmar effektiviteten inom samarbetet. Information i underrättelserapporter och andra handlingar som skrivs ut och sparas i pappersform kan heller inte uppdateras och blir fort inaktuell. Den pappersbaserade hantering av information som förekommer kan därför medföra en risk för att den information som utbyts är inaktuell och till och med felaktig. Detta innebär en fara ur integritetssynpunkt och kan även påverka NCT:s förmåga att göra korrekta bedömningar. Ett manuellt utbyte av information innebär också att det alltid måste finnas en medarbetare från varje myndighet på plats vid NCT. Om så inte är fallet fördröjs informationsöverföringen till medarbetarna från de andra myndigheterna, vilket också kan få konsekvenser för NCT:s förmåga att göra korrekta bedömningar. Det medför också en risk för att NCT:s förmåga att ge tidig förvarning om förändringar av terrorhotet mot och svenska intressen påverkas. Medarbetarna vid NCT behöver ha snabb tillgång till relevant underrättelseinformation från de tre myndigheterna för att kunna leverera relevanta och aktuella strategiska bedömningar. Operativ och tidskritisk information utgör ett centralt underlag för strategiska bedömningar eftersom bedömningarna snabbt kan behöva revideras om ny information kommer in. Sådan information kan även inkludera personuppgifter. Det kan t.ex. handla om ny information om en aktörs avsikt och förmåga att begå attentat mot mål i eller mot svenska intressen. Det finns således ett behov hos samtliga medarbetare vid NCT att och självständigt kunna ta del av och använda uppgifter från de samarbetande myndigheterna. Ett förbättrat informationsutbyte inom samarbetet gör att myndigheterna kan utnyttja de samlade resurserna mer effektivt. Detta ökar förutsättningarna för myndigheterna att göra korrekta bedömningar av terrorhotet i rätt tid, vilket i sin tur ökar möjligheterna för övriga myndigheter och aktörer i samhället att vidta lämpliga åtgärder i arbetet med att bekämpa terrorism. Ett väl fungerande och effektivt NCT- samarbete medför därför inte bara förbättringar för NCT-myndigheterna, utan ger också övriga myndigheter och aktörer i samhället bättre förutsättningar i deras arbete. I längden medför detta också en ökad nationell säkerhet. Mot denna bakgrund anser regeringen att det finns ett behov av ett effektiviserat informationsutbyte inom NCT. Som konstaterats finns det även en risk för att den information som lämnas ut på papper, eller muntligen genom att en pappershandling visas, inte alltid är uppdaterad och således inte heller korrekt. Om handläggarna vid NCT ges möjlighet att genom direktåtkomst självständigt söka efter och ta del av information direkt från de tre myndigheterna kan detta undvikas. Handläggarna skulle då i princip alltid ha tillgång till uppdaterad och aktuell information från de tre myndigheterna och dessutom ha möjlighet att jämföra den med annan tillgänglig information för att på så sätt göra korrekta bedömningar. Ett alternativ till direktåtkomst som bör övervägas är att informationen överförs elektroniskt i varje enskilt fall, t.ex. genom e-post. Att i stället få del av information genom annan elektronisk överföring ger dock inte samma möjligheter. Dels kan uppgifter som lämnas ut på detta sätt fort bli inaktuella då de inte uppdateras efter att de har lämnat systemet, dels förutsätter sådant utlämnande att det finns personal på plats från varje myndighet för att administrera utlämnandet. Ett sådant elektroniskt utlämnande medför därför inte någon större effektivitetsvinst i förhållande till det utlämnande som förekommer inom samarbetet . Att myndigheterna inom NCT, i stället för pappershantering eller muntligt utlämnande, skulle ges bättre möjligheter att utbyta information elektroniskt via exempelvis e-post skulle således inte innebära en tillräcklig förbättring. I jämförelse med annat elektroniskt utlämnande innebär direktåtkomst ofta fördelar för den mottagande myndigheten, eftersom handläggande tjänstemän inte behöver begära ut de uppgifter som behövs från den utlämnande myndigheten utan själva kan söka den information som behövs i den utlämnande myndighetens uppgiftssamling. På samma sätt innebär direktåtkomst också fördelar för den utlämnande myndigheten, eftersom den inte behöver avsätta resurser för att hantera de förfrågningar om utlämnande som kommer in från andra myndigheter. Ett utlämnande genom direktåtkomst kan även innebära fördelar ur informationssäkerhetssynpunkt, eftersom överföring av information vid direktåtkomst kan ske på ett säkrare sätt än genom e-post. Sammanfattningsvis är regeringens bedömning att ett effektivare och mer ändamålsenligt informationsutbyte inom NCT-samarbetet bäst uppnås genom att myndigheterna inom samarbetet får möjlighet att genom direktåtkomst ta del av relevant information från varandra. Avvägningen mellan behovet av effektivitet och skyddet för den personliga integriteten förstärktes integritetsskyddet i grundlagen genom införandet av 2 kap. 6 § andra stycket regeringsformen. Enligt den bestämmelsen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär kartläggning eller övervakning av den enskildes personliga förhållanden. Även sekretess mellan myndigheter syftar i första hand till att värna om enskildas integritet. En utgångspunkt är därför att information som omfattas av sekretess inte ska vidarebefordras utanför den verksamhet i vilken den hämtats in. Införandet av en möjlighet till direktåtkomst skulle kunna anses medföra en ökad risk för intrång i den personliga integriteten. Mot NCT-myndigheternas behov av ett effektiviserat informationsutbyte måste således vägas hänsynen till den enskildes integritet. Datainspektionen anser att man i det fortsatta lagstiftningsarbetet rimligen bör utgå från att uppgifter som kommer att behandlas inom 2017/18:36 ramen för den föreslagna direktåtkomsten omfattar integritetskänsliga uppgifter från Säkerhetspolisens operativa verksamhet och dess verksamhetssystem. Vilken effekt det får för den personliga integriteten behöver enligt Datainspektionen klarläggas och analyseras. Siun anför att det med hänsyn till uppgifternas integritetskänsliga karaktär samt att de inte primärt rör försvarsunderrättelseverksamhet, inte har presenterats tillräckliga skäl för att Försvarsmakten och FRA ska medges direktåtkomst till Säkerhetspolisens uppgifter. Vid polisdatalagens (2010:361; PDL) tillkomst gjordes bedömningen att direktåtkomst inte skulle medges till uppgifter hos . Skälen som angavs var att de uppgifter som Säkerhetspolisen behandlar är särskilt känsliga (prop. 2009/10:85 s. 179). Det är naturligtvis fortfarande så att de uppgifter som Säkerhetspolisen behandlar är av känslig natur. Inom NCT-samarbetet arbetar myndigheterna enbart med att göra strategiska bedömningar av terrorhotet och bedriver således ingen operativ verksamhet. Säkerhetspolisens behov av ett effektivare informationsutbyte har dessutom ökat sedan polisdatalagens tillkomst, inte minst med anledning av den utveckling på terrorområdet som skett i världen . Denna utveckling har också medfört att NCT har fått en allt viktigare roll. Mot denna bakgrund anser regeringen att det numera finns starka skäl som talar för att direktåtkomst till uppgifter hos i vissa fall bör kunna medges. En viktig princip inom NCT-samarbetet är dessutom att de tre myndigheterna deltar på lika villkor. Myndigheterna har även själva påtalat att det finns ett behov för samtliga handläggare vid NCT att kunna ta del av uppgifter från alla tre myndigheterna. För att arbetet ska fungera så bra och effektivt som möjligt är det därför enligt regeringens bedömning viktigt att handläggarna från alla tre myndigheterna ges samma möjlighet till elektronisk åtkomst. Vid en bedömning av vilka konsekvenser det aktuella förslaget kan få för enskildas personliga integritet kan konstateras att ett regelbundet uppgiftsutbyte mellan myndigheterna sker . När det gäller tillgången till uppgifter inom en myndighet framgår det av respektive myndighets registerförfattning att tillgången ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Därutöver kan konstateras att tillgången till de uppgifter som ska lämnas ut genom direktåtkomst kommer att vara begränsad till den personal som deltar i NCT-samarbetet. Det är således en mycket snäv krets som kommer att ha tillgång till de uppgifter som görs tillgängliga via direktåtkomst. De ökade integritetsrisker som en möjlighet till direktåtkomst skulle kunna medföra motverkas genom bestämmelser av annat slag, t.ex. bestämmelser om sekretess, om tillgång till uppgifter och om informationssäkerhet. Sammantaget gör regeringen bedömningen att alla tre myndigheterna har lika stort behov av att få direktåtkomst till övriga myndigheters uppgifter och att behovet av ett effektivt informationsutbyte genom direktåtkomst inom samarbetet väger tyngre än den eventuella risk för intrång i den personliga integriteten som ett sådant utbyte kan medföra. NCT-myndigheterna bör därmed ges möjlighet att genom direktåtkomst ta del av uppgifter som behandlas i respektive myndighets verksamhet. Regeringens förslag: () Försvarsmakten ska få medges direktåtkomst till personuppgifter som brottsbekämpande verksamhet och som behövs för att dessa myndigheter, inom ramen för myndighetsöverskridande samverkan mellan FRA, Försvarsmakten och Säkerhetspolisen, ska kunna göra bedömningar på strategisk nivå av terrorhotet mot och En upplysningsbestämmelse ska införas som anger att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst. Säkerhetspolisen och Försvarsmakten ska få medges direktåtkomst till uppgifter som utgör analysresultat i en uppgiftssamling för analyser hos FRA och som behövs för att dessa myndigheter, inom ramen för myndighetsöverskridande samverkan mellan FRA, Försvarsmakten och Säkerhetspolisen, ska kunna göra bedömningar på strategisk nivå av terrorhotet mot och svenska intressen. Säkerhetspolisen och FRA ska få medges direktåtkomst till sådana uppgifter i en uppgiftssamling för försvarsunderrättelseverksamhet hos Försvarsmakten som behövs för att dessa myndigheter, inom ramen för myndighetsöverskridande samverkan mellan FRA, Försvarsmakten och Säkerhetspolisen, ska kunna göra bedömningar på strategisk nivå av terrorhotet mot och svenska intressen. Även för FRA:s och Försvarsmaktens del ska en upplysnings- bestämmelse införas som anger att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om behörighet och säkerhet vid direktåtkomst. I samtliga fall ska tillgången till uppgifterna vara förbehållen de personer inom myndigheterna som på grund av sina arbetsuppgifter inom sådan samverkan behöver ha tillgång till uppgifterna. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: En majoritet av remissinstanserna instämmer i förslaget eller har inget att invända mot det. () anser att det finns anledning att i det fortsatta lagstiftningsarbetet närmare analysera vilka uppgifter som ska omfattas av direktåtkomst och hur dessa uppgifter praktiskt ska avgränsas i myndigheternas respektive it-system och anser att det bör införas en sekretessgräns mellan handläggare och respektive myndighet. Skälen för regeringens förslag Behörighetsbegränsningar och avgränsningar – inledning Från ett integritetsperspektiv är det viktigt att det tydligt framgår vilka uppgifter som får inhämtas genom direktåtkomst. Det bör därför i bestämmelser om direktåtkomst så långt som möjligt uttryckligen framgå vilka uppgifter som får göras tillgängliga på detta sätt. anför att medarbetarna inom NCT tar del av stora mängder information 2017/18:36 från sina egna system och att det för respektive medarbetare torde vara svårt att bedöma och avgränsa den mängd information som direktåtkomsten ska omfatta, varför en viktig fråga blir hur myndigheterna praktiskt avser att lösa behörighetsbegränsningar och avgränsningar i de olika uppgiftssamlingarna. Regeringen instämmer i Datainspektionens bedömning att de uppgifter som respektive myndighet inom samarbetet ska kunna medges direktåtkomst till måste vara väl avgränsade. I detta fall är det dock inte möjligt att ange exakt vilken typ av uppgifter som myndigheterna ska få ta del av hos varandra. Den verksamhet som bedrivs inom NCT är inte sådan att det på förhand går att avgöra närmare vilka uppgifter som är relevanta att ta del av. Tillgången får i stället så långt som möjligt avgränsas genom att det i författningstext pekas ut en specifik uppgiftssamling eller uppgiftstyp samt genom att det anges att direktåtkomst medges endast för vissa särskilt angivna ändamål. Direktåtkomsten omfattar dock i princip inte fler uppgifter än vad myndigheterna kan lämna ut till varandra på papper eller muntligen. Säkerhetspolisen har uppgett att de uppgifter som myndigheten har för avsikt att lämna ut är sådana som redan har gjorts gemensamt tillgängliga i verksamheten. Någon ytterligare avgränsning till exempelvis en viss uppgiftssamling är inte möjlig att göra med hänsyn till hur den relevanta informationen är tillgänglig i Säkerhetspolisens system. Direktåtkomst bör därför för Säkerhetspolisens del endast få medges till gemensamt tillgängliga uppgifter. Dessa uppgifter utbyts muntligen eller på papper. Av promemorian framgår att de uppgifter hos Försvarsmakten som är relevanta för NCT-samarbetet finns i myndighetens uppgiftssamlingar för försvarsunderrättelseverksamhet. För FRA:s del förekommer de för samarbetet relevanta uppgifterna i myndighetens uppgiftssamlingar för analyser. I dessa uppgiftssamlingar har dock övriga myndigheter, enligt FRA, endast behov av att ta del av uppgifter som utgör analysresultat. Direktåtkomst bör således för Försvarsmaktens och FRA:s del endast få medges till angivna uppgifter i de ovan nämnda uppgiftssamlingarna.