sou · H5B374 · 2017-10-04 00:00:00 — När det gäller har Säkerhetspolisen främst behov av att dela information som behandlas inom områdena kon- traterrorism, kontraspionage, författningsskydd och personskydd. Sådana uppgifter kan ha betydelse för brottsbe- kämpande verksamhet, särskilt när det gäller underrättelseverksam- heten och det brottsförebyggande arbetet, men även för brottsut- redningar i enskilda fall. För försvarsunderrättelsemyndigheterna är det främst uppgifter som rör kontraterrorism, kontraspionage och författningsskydd som kan behöva delas. Direktåtkomsten bör där- för begränsas till sådana uppgifter. Som tidigare konstaterats behöver de mottagande myndighe- terna bara ta del av uppgifter från Säkerhetspolisen inom vissa delar av sin verksamhet. Det bör framgå av bestämmelserna om direktåt- komst att den endast får medges för vissa syften eller viss verksam- het. På så sätt kan åtkomsten begränsas. Finns det behov av att begränsa omfattningen av direktåtkomsten ytterligare bör det göras i förordning eller i myndighetsinterna regler. En annan fråga är hur direktåkomsten bör avgränsas tekniskt. Ett alternativ är att direktåtkomst endast ges till en avskild upp- giftssamling som upprättats i syfte att dela information. I av- snitt 14.11.4 föreslår utredningen en sådan lösning när det gäller direktåtkomst för utländska underrättelse- och säkerhetstjänster. Nackdelen med den lösningen är att den inte är teknikneutral. Dessutom finns det risk att de uppgifter som Säkerhetspolisen överför till uppgiftssamlingen inte uppdateras när uppgifterna upp- dateras i verksamheten. Det kan därför vara lämpligare att medge direktåtkomst till viss information i Säkerhetspolisens it-system och i stället begränsa tillgången till informationen genom tilldel- ning av behörighet eller på annat sätt. Möjligheten att begränsa till- gången är i stort sett densamma oavsett vilken teknisk lösning som väljs. Bestämmelserna om direktåtkomst i den nya lagen bör mot den bakgrunden utformas teknikneutralt och inte begränsas till en uppgiftssamling eller någon liknande teknisk lösning. Det bör framgå av lagen att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åt- komst. Säkerhetspolisens behandling av personuppgifter 14.11.4Direktåtkomst för underrättelse- och säkerhetstjänster inom EU och EES Utredningens förslag: Om det behövs för samarbetet mot ter- rorism ska Säkerhetspolisen få medge en underrättelse- eller säkerhetstjänst i en medlemsstat i Europeiska unionen eller Europeiska ekonomiska samarbetsområdet direktåtkomst till personuppgifter i en avskild uppgiftssamling som upprättats i syfte att dela information med sådana mottagare. Uppgiftssam- lingen ska endast få innehålla personuppgifter som har gjorts gemensamt tillgängliga och som behandlas i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar terrorbrott. Innan direktåtkomst medges en utländsk underrättelse- eller säkerhetstjänst ska Säkerhetspolisen underrätta regeringen. Skälen för utredningens förslag Antalet terroristattentat i har ökat efter att den s.k. islami- ska staten uppmanade sina sympatisörer att agera mot västvärlden. har antalet attentat och attentatshot med koppling till ökat. har också i större utsträckning kommit att omnämnas som ett legitimt atten- tatsmål (se redogörelse för tillämpningen av lagen om sär- skild utlänningskontroll, skr. 2016/17:72, s. 7). Från bedöms hotnivån avseende terrorism ligga på nivå tre (förhöjt hot). Det innebär att Säkerhetspolisen bedömer att terrorattentat kan drabba . Det största terrorhotet mot kommer enligt Säkerhets- polisen från våldsbejakande islamistiska grupper. Flera hundra per- soner har rest från till konfliktområden för att ansluta sig till al-Qaidainspirerade grupper eller till islamiska staten. Motsva- rande situation råder i andra europeiska länder. Bara av dem som rest till konflikten i och har ett hundratal återvänt till (se skr. 2016/17:72 s. 5 f.). De som rest till ett konfliktom- råde utomlands och tränat eller stridit för våldsfrämjande grupper har förvärvat förmågor och skapat kontakter med individer som Säkerhetspolisens behandling av personuppgifter kan hjälpa dem att begå terroristattentat eller radikalisera eller rek- rytera andra efter hemkomsten. De som rest till konfliktområden för att strida återvänder inte nödvändigtvis till det land de reste ifrån. Attentaten i , där två personer med kopp- lingar till deltog, visar att hotaktörer ibland planerar dåden i ett land och utför dem i ett annat (se 2016 s. 40 f.). Återvändare utgör enligt Säkerhetspolisen ett poten- tiellt hot mot och , oavsett deras vistelseort, ur- sprungsland och nationalitet. Behovet av att kunna medge direktåtkomst Enligt 16 § instruktionen för Säkerhetspolisen ska myndigheten samarbeta med utländska myndigheter och organ i den utsträck- ning som behövs för Säkerhetspolisens verksamhet och som rege- ringen närmare bestämmer. Enligt är det i kontra- terrorverksamheten som behovet av gränsöverskridande samarbete är störst. Den internationella utvecklingen på terrorområdet, den våldsbe- jakande islamismens alltmer globala karaktär och ambitioner och utvecklingen i har enligt Säkerhetspolisen sammantaget ökat behovet av nära samverkan med säkerhets- och underrättelse- tjänster i andra stater på både strategisk, taktisk och operativ nivå (se Ds 2016:31 s. 158). De våldsbejakande islamistiska grupperna är internationella organisationer med följare i hela världen. Hotet från sådana grupper är därför ett för många stater gemensamt problem. Att Säkerhetspolisen, utöver att motverka terrorism i , även ska bidra till att förhindra terrorism utomlands ligger inte bara i svenskt intresse utan följer också av internationella åtaganden. Ett väl fungerande samarbete med andra underrättelse- och säkerhets- tjänster är därför en förutsättning för att Säkerhetspolisen ska kunna fullgöra sina arbetsuppgifter. Underrättelse- och säkerhetstjänster i de nordiska länderna och inom EU är särskilt viktiga samarbetsparter. Utöver de bilaterala kontakterna deltar Säkerhetspolisen i flera arbetsgrupper inom ramen för EU-samarbetet, i arbetet vid Europol och i det europe- iska forumet (). Säkerhetspolisens behandling av personuppgifter Utvecklingen av det internationella samarbetet mot terrorism går mot ett allt snabbare och mer omfattande elektroniskt utbyte av information. Mot bakgrund av den nuvarande hotbilden är det viktigt att Säkerhetspolisen kan bidra aktivt till samarbetet inom CTG. För att Säkerhetspolisen ska kunna dela information om hot, händelser och personer när det behövs för att motverka terrorism behöver myndigheten enligt utredningens mening rättsliga förut- sättningar för att kunna utbyta information effektivare än . Direktåtkomst för utländska myndigheter Polisdatalagen ger inte någon av de myndigheter som tilläm- par lagen möjlighet att medge en utländsk myndighet direktåt- komst till personuppgifter. Det innebär emellertid inte att det sak- nas sådant informationsutbyte. Inom ramen för EU-samarbetet har olika lösningar skapats som ger större möjligheter att överföra per- sonuppgifter elektroniskt än vad polisdatalagen ger intryck av. Ett exempel är (), som regleras i lagen om Schengens informationssystem. Varje stat ansvarar för sin del av systemet och registrerar uppgifter som genom EU:s försorg är åtkomliga genom direktåtkomst i varje stat som är medlem i . Inom ramen för samarbetet enligt Prümråds- beslutet får medlemsstaterna medge varandra direktåtkomst till uppgifter i dna- och fingeravtrycksregister. Ett annat exempel är samarbetet med Europol. Europol ansvarar för olika databaser och uppgiftssamlingar och ger myndigheter i medlemsstaterna tillgång till vissa uppgiftssamlingar genom direktåtkomst. Införlivandet av CBE-direktivet ger brottsbekämpande myndigheter direktåtkomst till uppgifter i andra staters fordonsregister. Även brottsbekäm- pande myndigheters tillgång till uppgifter i EU:s viseringsdatabas () är exempel på direktåtkomst över gränserna. Eftersom nationell säkerhet ligger utanför EU-samarbetet kan det inte förväntas att liknande lösningar kommer att finnas inom verksamhetsområde. För att möjliggöra direktåt- komst krävs därför en annan reglering. I avsnitt 14.11.2 konstaterar utredningen att den utökade möjligheten att lämna ut uppgifter elektroniskt som föreslås i avsnitt 14.11.1 inte är tillräcklig för att Säkerhetspolisens behandling av personuppgifter tillgodose Säkerhetspolisens nuvarande behov. Det gäller även ut- lämnande till utländska underrättelse- och säkerhetstjänster. Bör direktåtkomst kunna medges? Vid risk för terroristattentat är snabbhet i informationsutbytet av avgörande betydelse för att undvika skador. På samma sätt som när det gäller informationsutbytet med svenska myndigheter finns det därför behov av att kunna dela viss information genom direktåt- komst med utländska myndigheter. Det gäller framför allt andra staters underrättelse- och säkerhetstjänster. Det ligger närmast till hands att tillåta informationsutbyte av nu aktuellt slag med de andra nordiska länderna. Det nära samarbete som förekommer inom EU när det gäller bekämpning av terrorism och de kopplingar till som man har kunnat konstatera vid några av terroristattentaten i gör emellertid enligt utredningens mening att en begränsning till enbart de nor- diska länderna blir för snäv. Mot den bakgrunden bör möjligheten till direktåtkomst omfatta medlemsstater i EU och EES. När personuppgifter lämnas ut till utländska myndigheter för behandling där kan det inte sällan vara svårt att avgöra vilket skydd uppgifterna får. Det gäller emellertid inte om utlämnandet begrän- sas till underrättelse- och säkerhetstjänster inom EU och EES. Där är regleringen av personuppgiftsbehandling och skyddet för per- sonuppgifter till stor del desamma, eftersom alla stater är bundna av dataskyddskonventionen. För EU:s medlemsstater gäller även andra rättsakter som skapar en enhetlig reglering. Det rör sig vidare om utlämnande till myndigheter som generellt sett har mycket hög säkerhet när det gäller hantering av information. Utredningen anser alltså att det i den nya lagen bör tas in en be- stämmelse som möjliggör utlämnande genom direktåtkomst till underrättelse- och säkerhetstjänster inom EU och EES. Hur bör direktåtkomsten avgränsas? Förutom att endast underrättelse- och säkerhetstjänster i stater som är medlemmar i eller EES bör få medges direktåtkomst bör uppgiftslämnandet begränsas till personuppgifter som Säker- Säkerhetspolisens behandling av personuppgifter hetspolisen behandlar i syfte att förebygga, förhindra eller upptäcka terrorbrott eller utreda sådana brott och som behövs för samarbe- tet mot terrorism. Möjligheten till direktåtkomst kommer inte att innebära att Säkerhetspolisen får tillhandahålla andra uppgifter än . Ett effektivare uppgiftsutbyte och formen för utlämnandet kan ändå leda till att något fler uppgifter tillhandahålls. För att ytterligare begränsa åtkomsten till uppgifterna och för- hindra att utländska myndigheter får del av fler uppgifter än vad de behöver bör direktåtkomst endast få ges till en avskild uppgifts- samling som Säkerhetspolisen har upprättat i direkt syfte att dela information med sina utländska motsvarigheter. Med den lös- ningen säkerställs att Säkerhetspolisen på förhand dels avgör om det finns sakliga skäl att låta en utländsk underrättelse- eller säker- hetstjänst få del av personuppgiften, dels bedömer de rättsliga för- utsättningarna att lämna ut den. Det görs då innan personuppgiften tillförs uppgiftssamlingen. Det minimerar risken för att fler upp- gifter än nödvändigt tillgängliggörs. På samma sätt som när det gäller direktåtkomst för och försvarsunderrät- telsemyndigheterna bör direktåtkomst bara kunna ges till uppgifter som har gjorts gemensamt tillgängliga. Innan Säkerhetspolisen till- handahåller uppgifter till utländska myndigheter ska en sekretess- prövning givetvis göras (se avsnitt 14.12.3). Uppgiftslämnandet ska också vara förenligt med bestämmelserna i övrigt i den nya lagen. Det är enligt utredningens mening särskilt viktigt att ett beslut att medge en utländsk myndighet direktåtkomst föregås av noggranna överväganden, även om det bara är fråga om tillgång till vissa upp- giftssamlingar som Säkerhetspolisen upprättar i syfte att kunna dela med sig av information. För att säkerställa att sådana överväganden görs och att det lämpliga i att en annan stats myndighet bereds möjlighet att genom direktåtkomst få del av sådana uppgiftssam- lingar noga övervägs, bör det i den nya lagen tas in en bestämmelse som föreskriver att Säkerhetspolisen, innan direktåtkomst medges första gången, ska underrätta regeringen. En sådan underrättelse ger regeringen möjlighet att, om det skulle visa sig vara nödvändigt, kunna utfärda närmare föreskrifter om direktåtkomsten. Säkerhetspolisens behandling av personuppgifter 14.12.1 Uppgiftsskyldighet gällande rättsstatistik Utredningens förslag: Personuppgifter som är nödvändiga för att framställa rättsstatistik ska lämnas till den myndighet som ansvarar för att framställa sådan statistik. Skälen för utredningens förslag: Enligt 2 kap. 14 § polisdatalagen ska personuppgifter som är nödvändiga för att framställa rättssta- tistik lämnas till den myndighet som ansvarar för att framställa sådan statistik. Bestämmelsen gäller för Säkerhetspolisen. Enligt 2 § förordningen (2016:1201) med instruktion för är rådet statistikansvarig myndighet. Enligt 24 kap. 8 § första stycket offentlighets- och sekretesslagen gäller absolut sekretess för uppgifter om en enskilds personliga och ekonomiska förhållan- den i sådan särskild verksamhet hos en myndighet som avser fram- ställning av statistik. I avsnitt 5.4.5 föreslås att skyldigheten att lämna uppgifter till rättsstatistiken ska regleras i brottsdatalagen. En motsvarande bestämmelse bör finnas i den nya lagen. 14.12.2 Sekretessgenombrott gentemot svenska myndigheter Utredningens förslag: ska, trots sekretess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretsslagen, ha rätt att ta del av personupp- gifter som har gjorts gemensamt tillgängliga och som Säker- hetspolisen behandlar för vissa syften, om behöver uppgifterna för brottsbekämpning eller lagföring. och Försvarsmakten ska, trots sekre- tess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretsslagen, ha rätt att ta del av personupp- gifter som har gjorts gemensamt tillgängliga och som Säkerhets- polisen behandlar för vissa syften, om den mottagande myndig- heten behöver uppgifterna i sin försvarsunderrättelseverksamhet eller militära säkerhetstjänst. Säkerhetspolisens behandling av personuppgifter Skälen för utredningens förslag De personuppgifter som Säkerhetspolisen behandlar omfattas som regel av sekretess enligt 15 kap. 1 och 2 §§ och 18 kap. 1 och 2 §§ offentlighets- och sekretesslagen. Där regleras utrikes- och för- svarssekretessen och sekretessen till skydd för brottsbekämp- ningen. Bestämmelserna är tillämpliga på uppgifter som hänför sig till eller rör viss verksamhet. Det innebär att de gäller i all verksam- het där sådana uppgifter förekommer. Uppgifter om enskilda i Säkerhetspolisens verksamhet omfattas som regel av sekretess enligt 35 kap. 1 § offentlighets- och sekre- tesslagen. Enligt paragrafen gäller sekretess för uppgifter som rör enskildas personliga och ekonomiska förhållanden och som före- kommer i verksamhet för att bl.a. förebygga brott. Uppgifter om enskilda kan även omfattas av sekretess enligt 37 kap. 1 § och 21 kap. 3 och 5 §§. Enligt 37 kap. 1 § gäller sekretess i verksamhet för kontroll över utlänningar och i ärenden om svenskt medborgar- skap. Enligt 21 kap. 3 § gäller sekretess för enskildas kontaktupp- gifter i vissa situationer och enligt 5 § gäller sekretess till skydd för utlännings säkerhet i vissa fall. I avsnitt 14.11.3 föreslår utredningen att Säkerhetspolisen ska ges möjlighet att lämna ut personuppgifter till , För- svarets radioanstalt och Försvarsmakten genom direktåtkomst. Eftersom de uppgifter som Säkerhetspolisen behandlar i sin brotts- bekämpande verksamhet som regel omfattas av sekretess behövs det bestämmelser som bryter sekretessen för att sådant utlämnande ska vara möjligt. Några sådana bestämmelser finns inte . Offentlighets- och sekretesslagen innehåller flera sekretessbry- tande bestämmelser. Exempelvis hindrar sekretess inte att uppgifter lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning, vilket framgår av 10 kap. 28 §. En bestämmelse om direktåtkomst reglerar endast själva formen för utlämnandet, dvs. på vilket sätt uppgifterna får lämnas ut, och är inte en sådan upp- giftsskyldighet som har sekretessbrytande verkan. Säkerhetspolisens behandling av personuppgifter om direktåtkomst brukar därför ofta kompletteras med sekretess- brytande bestämmelser som är utformade som uppgiftsskyldighe- ter på det sätt som avses i 10 kap. 28 §. Sådana bestämmelser bör enligt utredningen införas i den nya lagen för att möjliggöra utläm- nande genom direktåtkomst. Det ligger i sakens natur att sekretessbrytande bestämmelser som ska möjliggöra direktåtkomst mellan myndigheter måste vara gene- rellt utformade, eftersom det vid direktåtkomst saknas möjlighet att göra en sekretessprövning i varje enskilt fall. Prövningen måste i stället göras i förväg (se prop. 2009/10:85 s. 192). Sekretessbrytande bestämmelser i form av uppgiftsskyldighet brukar formuleras som en rätt för mottagaren att ta del av vissa uppgifter. Så har bestämmelserna om uppgiftsskyldighet formule- rats i övriga registerförfattningar. Den formuleringen bör därför användas i den nya lagen. Uppgiftsskyldigheten bör endast omfatta sådana uppgifter som de mottagande myndigheterna får ta del av genom direktåtkomst. De mottagande myndigheterna bör dessutom bara få tillgång till de aktuella uppgifterna när de behöver det för att kunna utföra vissa av sina arbetsuppgifter. Det bör framgå av bestämmelserna. Vilka sekretessbestämmelser ska den nya regleringen avse? Frågan är vilken slags sekretess som behöver brytas för att Säker- hetspolisen ska kunna lämna ut uppgifter genom direktåtkomst. Bestämmelserna i 15 kap. 1 och 2 §§ och 18 kap. 1 och 2 §§ offent- lighets- och sekretesslagen avser att skydda nationens intressen och den verksamhet som Säkerhetspolisen bedriver. Enligt utredning- ens mening bör det inte medföra någon fara för rikets säkerhet eller innebära någon skada för Säkerhetspolisens verksamhet eller för nationen att sådana uppgifter som Säkerhetspolisen anser bör göras tillgängliga för och försvarsunderrättelsemyn- digheterna lämnas ut till dessa myndigheter. Skaderekvisitet är då inte uppfyllt och något generellt behov av att bryta sekretessen en- ligt dessa bestämmelser kan inte anses föreligga. I de fall där ut- Säkerhetspolisens behandling av personuppgifter lämnandet av en uppgift till någon av de aktuella myndigheterna skulle innebära att Säkerhetspolisens egen verksamhet riskerar att skadas, bör direktåtkomst givetvis inte komma ifråga. Utredningen gör samma bedömning i fråga om uppgifter som omfattas av sekretess enligt 21 kap. 5 § offentlighets- och sekre- tesslagen. Den sekretessen gäller till skydd för utlännings säkerhet i vissa fall. Sekretess gäller om det kan antas att röjande av uppgiften skulle medföra fara för att någon utsätts för övergrepp eller lider annat allvarligt men som föranleds av förhållandet mellan utlän- ningen och en utländsk stat eller myndighet eller organisation av utlänningar. Uppgiftslämnande till de angivna myndigheterna bör inte medföra någon sådan fara för enskilda. Bestämmelsen är dess- utom tillämplig hos de mottagande myndigheterna. Det finns där- för inget behov av att bryta sekretessen enligt den paragrafen. Uppgifter om enskildas personliga och ekonomiska förhållan- den omfattas hos av sekretess enligt 21 kap. 3 §, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretesslagen. Ut- lämnande av sådana uppgifter torde anses vara till skada eller men för den enskilde. När sådana uppgifter ska lämnas ut måste dessutom en sekretessprövning göras i varje enskilt fall. Det är inte möjligt att på förhand göra en generell intresseavväg- ning beträffande sådana uppgifter. För att Säkerhetspolisen ska kunna lämna ut den typen av uppgifter till och försvarsunderrättelsemyndigheterna genom direktåtkomst krävs det därför att sekretessen bryts. Bestämmelserna om sekretess till skydd för enskilda i 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretesslagen gäller även i verksamhet. För försvarsunderrättelsemyndig- heterna finns en motsvarande bestämmelse om sekretess till skydd för enskilda i 38 kap. 4 §. Samtliga nu angivna bestämmelser gäller för uppgift om en enskilds personliga och ekonomiska förhållan- den, om det inte står klart att uppgiften kan röjas utan att den en- skilde eller någon närstående till honom eller henne lider skada eller men. Sekretesskyddet för uppgifter om enskilda ser således i princip likadant ut för de aktuella myndigheterna. Bestämmelsen i 21 kap. 3 § är tillämplig i hela den statliga förvaltningen och gäller således hos alla myndigheter. Bestämmelserna om uppgiftsskyldighet gentemot Polismyndig- heten, och Försvarsmakten bör således Säkerhetspolisens behandling av personuppgifter bryta den sekretess som gäller enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretesslagen. I den mån andra sekretessbestämmelser är tillämpliga får det, på samma sätt som , göras en bedömning i det enskilda fallet av om sekre- tessen hindrar att uppgifterna lämnas ut. 14.12.3 Sekretessgenombrott i övrigt Utredningens förslag: Om det är förenligt med svenska intres- sen, ska personuppgifter få lämnas ut till eller Europol, eller till en polismyndighet eller åklagarmyndighet i en stat som är ansluten till , om det behövs för att myndigheten eller organisationen ska kunna förebygga, förhindra, upptäcka, utreda eller lagföra brott. Om det är förenligt med svenska intressen ska personuppgifter också få lämnas ut till en utländsk underrättelse- eller säkerhetstjänst. Personuppgifter ska vidare få lämnas ut till en utländsk myn- dighet eller mellanfolklig organisation, om utlämnandet följer av en internationell överenskommelse som har tillträtt efter godkännande. Skälen för utredningens förslag: Uppgifter som omfattas av sek- retess får inte röjas för en utländsk myndighet. Lagstiftaren har dock föreskrivit undantag från denna huvudregel bl.a. om utläm- nandet görs i enlighet med särskild föreskrift i lag eller förordning. Det framgår av 8 kap. 3 § 1 offentlighets- och sekretesslagen. En sådan föreskrift finns i 2 kap. 15 § polisdatalagen. Där regleras ut- lämnande av personuppgifter till utländska myndigheter och organ. Bestämmelsen gäller genom hänvisningen i 6 kap. 4 § i Säkerhets- polisens verksamhet. Om det är förenligt med svenska intressen får personuppgifter lämnas ut till eller Europol, eller till en polismyndighet eller åklagarmyndighet i en stat som är ansluten till , om det behövs för att myndigheten eller organisationen ska kunna förebygga, förhindra, upptäcka, utreda eller lagföra brott. Om det är förenligt med svenska intressen får personupp- gifter också lämnas ut till utländsk underrättelse- eller säkerhets- tjänst. Personuppgifter får dessutom lämnas ut till en utländsk myndighet eller mellanfolklig organisation, om utlämnandet följer Säkerhetspolisens behandling av personuppgifter av en internationell överenskommelse som har tillträtt efter godkännande. har vid en granskning uttalat sig om den bedömning som ska göras vid utlämnande med stöd av 2 kap. 15 § polisdatalagen.