sou · H5B374 · 2017-10-04 00:00:00 — Som framgår av avsnitt 14.17.2 bör personuppgifter få överföras till tredjeland och internationella organisationer endast om en viss nivå på skyddet för personuppgifter kan säkerställas. Det innebär att överföringen bör omfattas av i första hand ett beslut om adekvat skyddsnivå, i andra hand tillräckliga skyddsåtgärder och i tredje hand ett undantag för särskilda situationer. Bestämmelser om dessa villkor bör tas in i den nya lagen och utformas på i huvudsak samma sätt som i brottsdatalagen. Det kan anmärkas att Säkerhetspolisen naturligtvis aldrig är skyldig att överföra personuppgifter till ett tredjeland eller en internationell organisation. Beslut om adekvat skyddsnivå Personuppgifter bör som huvudregel få överföras om det tredje- landet eller den internationella organisationen omfattas av beslut från kommissionen om att landet eller organisationen har adekvat skyddsnivå (se SOU 2017:29 s. 589 f.). Det motsvarar vad som gäller enligt 13 § första stycket 1 personuppgiftsförordningen. Även om Säkerhetspolisens verksamhet som rör nationell säkerhet inte omfattas av unionsrätten bör kommissionens beslut om ade- kvat skyddsnivå vara vägledande för myndigheten. Finns det inget beslut om adekvat skyddsnivå får Säkerhetspolisen i stället pröva om det finns tillräckliga skyddsåtgärder eller om det är fråga om en sådan undantagssituation som anges i lagen. Om det inte finns ett beslut om adekvat skyddsnivå, bör person- uppgifter ändå få överföras till ett tredjeland eller en internationell organisation om skyddsåtgärder för personuppgifter har fastställts i ett avtal som ger tillräckliga garantier till skydd för registrerades rättigheter, eller om den myndighet eller organisation som uppgif- terna ska överföras till på annat sätt garanterar tillräckligt skydd för dem (jfr SOU 2017:29 s. 591 f.). Säkerhetspolisens behandling av personuppgifter Tillräckliga skyddsåtgärder fastställs främst genom att den mot- tagande myndigheten eller organisationen garanterar tillräckligt skydd för uppgifterna. Informationsutbyte mellan underrättelse- och säkerhetstjänster bygger i stor utsträckning på förtroende. Om en underrättelse- eller säkerhetstjänst missbrukar förtroendet blir konsekvensen att den inte längre kommer att få del av relevant information i samma utsträckning som andra. Det har en självreg- lerande effekt genom att den mottagande underrättelse- och säker- hetstjänsten måste garantera tillräckligt skydd för uppgifterna för att kunna få del av dem. Överföring i särskilda situationer I enskilda fall kan det, trots bristen på skydd för personuppgifter, vara angeläget att kunna föra över vissa personuppgifter till ett tredjeland eller en internationell organisation. Så kan t.ex. vara fal- let om Säkerhetspolisen har information om att en misstänkt terro- rist befinner sig här i landet men personen identifieras först när han eller hon har rest till ett tredjeland och kan antas komma att begå allvarliga brott där. Säkerhetspolisen har även i vissa fall behov av att kunna utbyta information med underrättelse- och säkerhets- tjänster i tredjeländer som har svårt att garantera tillräckligt skydd för personuppgifterna. Det kan gälla vissa särskilda ärenden, situa- tioner eller tidsperioder. Om det varken finns beslut om adekvat skyddsnivå eller till- räckliga skyddsåtgärder garanteras bör personuppgifter få överföras till ett tredjeland eller en internationell organisation endast om överföringen är nödvändig i vissa särskilda undantagssituationer. Samma undantagssituationer som i brottsdatalagen bör gälla för Säkerhetspolisen. Utredningen redogör närmare för undantags- situationerna i delbetänkandet (se SOU 2017:29 s. 595 f.). När det gäller undantag för myndigheters intresse i enskilda fall bör be- stämmelsen anpassas till Säkerhetspolisens verksamhet. Överfö- ringen bör vara nödvändig för att i ett enskilt fall kunna förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott. Det bör, på samma sätt som i brottsdatalagen, ställas krav på en intresseavvägning. Personuppgifter bör inte få överföras till ett Säkerhetspolisens behandling av personuppgifter tredjeland eller en internationell organisation om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rättig- heter väger tyngre än det allmännas intresse av att överföringen görs i det enskilda fallet för ett myndighetsintresse eller för att kunna fastslå, göra gällande eller försvara ett rättsligt anspråk. 14.17.4 Överföring till andra mottagare Utredningens förslag: Säkerhetspolisen ska i ett enskilt fall få överföra personuppgifter till andra mottagare i ett tredjeland än brottsbekämpande myndigheter och underrättelse- och säker- hetstjänster. En sådan överföring ska få göras endast om det är absolut nödvändigt för att Säkerhetspolisen ska kunna utföra vissa arbetsuppgifter och det skulle vara ineffektivt eller olämp- ligt att överföra personuppgifterna till en brottsbekämpande myndighet eller en underrättelse- eller säkerhetstjänst i det tredjelandet. Sådana överföringar ska inte få göras om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rät- tigheter väger tyngre än det allmännas intresse av att överfö- ringen görs. Skälen för utredningens förslag: Regleringen i personuppgiftsla- gen gör ingen skillnad mellan myndigheter och andra mottagare när det gäller överföringar till tredjeland. Säkerhetspolisen kan således enligt den nuvarande regleringen överföra personuppgifter både till myndigheter, andra aktörer och enskilda i tredjeländer om villko- ren i övrigt är uppfyllda. I delbetänkandet redogör utredningen för övriga myndigheters behov av att kunna överföra personuppgifter till andra än behöriga myndigheter i tredjeland (se SOU 2017:29 s. 613 f.). I 8 kap. 8 § brottsdatalagen regleras överföringar till andra än behöriga myn- digheter i tredjeland. Sådana överföringar får göras om vissa villkor är uppfyllda. Säkerhetspolisen har samma behov som övriga brotts- bekämpande myndigheter att i vissa fall kunna överföra personupp- gifter till andra mottagare än brottsbekämpande myndigheter eller underrättelse- eller säkerhetstjänster i ett tredjeland. En liknande bestämmelse bör därför tas in i den nya lagen. Säkerhetspolisens behandling av personuppgifter Enligt 8 kap. 8 § brottsdatalagen ska den svenska myndigheten informera den som tar emot personuppgifter om de specifika ända- mål för vilka uppgifterna får behandlas. Ytterligare informations- skyldighet föreskrivs i 7 kap. 2 § brottsdataförordningen. Skyldig- heterna har sin grund i direktivet och har ingen motsvarighet . Frågan är om de bör gälla för Säkerhetspolisen. Det finns situationer där det inte är lämpligt att Säkerhetspoli- sen avslöjar att det är myndigheten som överför viss information. Så kan exempelvis vara fallet när Säkerhetspolisen gör sökningar i vissa utländska databaser som innehåller uppgifter om t.ex. fastig- heter eller bolag eller använder liknande tjänster. Sådana sökningar innebär en överföring av personuppgifter till den aktör som ansva- rar för databasen eller tjänsten. Säkerhetspolisen kan då i vissa fall behöva dölja att det är myndigheten som gör sökningen. Syftet med informationsskyldigheten är att kunna begränsa den fortsatta användningen av personuppgifterna. Det kan emellertid göras på andra sätt, som inte riskerar att äventyra verksamheten. Något krav på att Säkerhetspolisen alltid ska informera den som tar emot upp- gifterna om för vilka ändamål uppgifterna får behandlas eller in- formera behörig myndighet på det sätt som anges i 7 kap. 2 § brottsdataförordningen bör därför inte införas. Säkerhetspolisen bör alltså i ett enskilt fall få överföra person- uppgifter till en mottagare som inte är en brottsbekämpande myn- dighet eller en underrättelse- eller säkerhetstjänst i ett tredjeland om överföringen är absolut nödvändig för att Säkerhetspolisen ska kunna utföra vissa arbetsuppgifter inom lagens tillämpningsområde och det skulle vara ineffektivt eller olämpligt att överföra person- uppgifterna till en brottsbekämpande myndighet eller en under- rättelse- eller säkerhetstjänst i det tredjelandet. Utredningen redo- gör närmare för innebörden av dessa villkor i delbetänkandet (se SOU 2017:29 s. 611 f.). På samma sätt som i brottsdatalagen bör det föreskrivas att en intresseavvägning ska göras vid överföringar av detta slag. Säkerhetspolisens behandling av personuppgifter 14.17.5 Villkor för användningen av personuppgifter Utredningens förslag: Säkerhetspolisen ska kunna ställa villkor för användningen av personuppgifter. Skälen för utredningens förslag Villkor som ställs upp av utländska myndigheter eller organ I 8 kap. 9 § brottsdatalagen föreskrivs att en svensk behörig myn- dighet som har fått personuppgifter från en annan stat ska följa de villkor för användningen av personuppgifterna som ställs upp i en överenskommelse som har träffats med den som har lämnat upp- gifterna (se SOU 2017:29 s. 618 f.). Som tidigare nämnts är sådana villkor viktiga i Säkerhetspolisens internationella samarbete. En motsvarande bestämmelse bör därför tas in i den nya lagen. Villkor av det slaget ska följas oavsett vad som annars gäller. Villkor när Säkerhetspolisen överför personuppgifter Som utredningen konstaterar i delbetänkandet finns det, när en svensk myndighet överför personuppgifter till ett tredjeland eller en internationell organisation, ibland skäl att ställa villkor som be- gränsar användningen av uppgifterna, t.ex. för vilket ändamål och hur länge de får behandlas. Att personuppgifterna förses med vill- kor för användningen kan vara en förutsättning för att det ska anses vara lämpligt att överföra dem (se SOU 2017:29 s. 619). I flera lagar på det brottsbekämpande området finns det be- stämmelser om att svenska myndigheter under vissa förutsättningar får ställa upp villkor som begränsar möjligheten att använda upp- gifter som lämnas till en annan stat (se SOU 2017:29 s. 620). Även i brottsdatalagen finns det en sådan bestämmelse. En bestämmelse som reglerar Säkerhetspolisens möjlighet att ställa upp villkor för användningen bör med hänsyn till vikten av att myndigheten kan begränsa användningen av känslig information tas in i den nya lagen. Den bör utformas efter mönster av bestämmelsen i brotts- datalagen. Säkerhetspolisens behandling av personuppgifter Utredningens förslag: Skyldigheten att i vissa fall dokumentera överföringar som görs till tredjeland och internationella organi- sationer ska regleras i förordning. Skälen för utredningens förslag: Utredningen föreslår i delbetän- kandet att de behöriga myndigheterna i vissa fall ska vara skyldiga att dokumentera överföringar som görs till tredjeland och inter- nationella organisationer, men att det ska regleras i förordning. Detsamma gäller skyldigheten att informera tillsynsmyndigheten om vissa sådana överföringar (se SOU 2017:29 s. 621 f.). Kraven på dokumentation och information har sin grund i direktivet och gäl- ler inte . Enligt utredningens mening är det lämpligt att Säkerhetspolisen dokumenterar överföringar som gjorts till tredjeland eller inter- nationella organisationer i samma utsträckning som övriga brotts- bekämpande myndigheter. Skyldigheten kan regleras i förordning. Skyldigheten att självmant informera tillsynsmyndigheten om de överföringar som görs till tredjeland och internationella organisa- tioner riskerar att medföra resurskrävande administrativt arbete för både Säkerhetspolisen och tillsynsmyndigheten. Något sådant krav bör därför inte ställas. I avsnitt 15.5.1 föreslås att Säkerhetspolisen ska ge tillsynsmyndigheten tillgång till dokumentation av behand- lingen om den begär det. Det är enligt utredningens mening till- räckligt att dokumentationen görs tillgänglig för tillsynsmyndig- heten inom ramen för den skyldigheten. 15 Tillsyn över Säkerhetspolisen 15.1Det behövs en särskild reglering Utredningens bedömning: Tillsynen över Säkerhetspolisens behandling av personuppgifter som rör nationell säkerhet bör regleras i Säkerhetspolisens datalag. Skälen för utredningens bedömning Tillsynen enligt dagens reglering utövas tillsynen över Säkerhetspolisens behandling av person- uppgifter i den brottsbekämpande verksamheten både av Datain- spektionen och (i fort- sättningen nämnden). I delbetänkandet redovisa vilken tillsyn som utövas över personuppgiftsbehandling inom brottsdatalagens tillämpningsområde (se SOU 2017:29 s. 425 f.). Datainspektionen är enligt 2 § personuppgiftsförordningen till- synsmyndighet enligt personuppgiftslagen. Datainspektionen har därmed det generella ansvaret för tillsyn över behandling av per- sonuppgifter. Tillsynen avser personuppgiftsbehandling enligt både personuppgiftslagen och myndigheters registerförfattningar, t.ex. polisdatalagen. Av hänvisningarna i 2 kap. 2 § första stycket 11 och 13 och 6 kap. 4 § 1 polisdatalagen följer att personuppgiftslagens bestämmelser om tillsyn är tillämpliga i Säkerhetspolisens brotts- bekämpande verksamhet. Enligt 1 § andra stycket lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet utövar nämnden tillsyn över den behandling av personuppgifter enligt polisdatalagen som utförs av , och . Tillsynen ska särskilt avse behandling av känsliga personuppgifter. Tillsynen över Säkerhetspolisen omfattar även behandling enligt den tidigare gällande polisdatalagen (1998:622). Nämnden utövar också tillsyn över de brottsbekämpande myndigheternas använd- ning av hemliga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet. Om en annan myndighet har behörighet att utöva tillsyn avstår Datainspektionen normalt från att utöva tillsyn på det området (se Ett samlat ansvar för tillsyn över den personliga integriteten, SOU 2016:65, s. 79). Förslag från Utredningen om tillsynen över den personliga integriteten Utredningen om tillsynen över den personliga integriteten föreslår att Datainspektionen ska utses till tillsynsmyndighet enligt både dataskyddsdirektivet och dataskyddsförordningen och representera i den styrelse som inrättas genom dataskyddsförordningen (se SOU 2016:65 s. 142). Som representant för i styrelsen kommer Datainspektionen att delta i arbetet med att utfärda rikt- linjer, rekommendationer och bästa praxis i frågor som rör person- uppgiftsbehandling inom både direktivets och förordningens till- lämpningsområden. Utredningen föreslår också att nämnden inte längre ska utöva någon tillsyn över personuppgiftsbehandling. Däremot föreslås tillsynen över Säkerhetspolisens personuppgifts- behandling i den brottsbekämpande verksamheten även fortsätt- ningsvis utövas av både Datainspektionen och nämnden. Nämn- dens tillsyn över brottsbekämpande myndigheters användning av hemliga tvångsmedel och användning av kvalificerade skyddsiden- titeter och därmed sammanhängande verksamhet ska enligt försla- get inte ändras. Nämnden ska liksom på begäran av enskild kontrollera om han eller hon i strid med lag eller annan författning har utsatts för ett hemligt tvångsmedel eller varit föremål för Säker- hetspolisens personuppgiftsbehandling (se SOU 2016:65 s. 175 f. och 189). I delbetänkandet redogör utredningen för vilka uppgifter och befo- genheter tillsynsmyndigheten bör ha enligt brottsdatalagen och föreslår hur tillsynen ska bedrivas (se SOU 2017:29 s. 445 f.). I tillsynsmyndighetens uppgifter ingår enligt 5 kap. 2 och 4 §§ brottsdatalagen att utöva allmän tillsyn över personuppgiftsbe- handling, handlägga klagomål från registrerade, på begäran av fysi- ska personer kontrollera om deras personuppgifter behandlas för- fattningsenligt, på begäran bistå utländska tillsynsmyndigheter med tillsynsåtgärder och lämna råd och stöd till personuppgiftsansvariga och personuppgiftsbiträden. förutsätts följa den tekniska utvecklingen och är inom ramen för ett formaliserat förhandssamråd i vissa fall skyldig att lämna råd om sådana nya typer av behandling eller förändringar av pågående behandling som antas medföra särskilda integritetsrisker (5 kap. 4 § brottsdataför- ordningen). har rätt att få tillgång till de personupp- gifter som behandlas, upplysningar och dokumentation om be- handlingen och om säkerhets- och skyddsåtgärder. Myndigheten har också rätt till tillträde till lokaler där personuppgifter behandlas och till det biträde och den information som den behöver för sin tillsyn (5 kap. 5 § brottsdatalagen). Till tillsynsmyndighetens förebyggande befogenheter, som inte är bindande, hör råd, rekommendationer och påpekanden. Tillsyns- myndigheten har också möjlighet att utfärda skriftlig varning om att det finns risk för att viss behandling kan komma att stå i strid med regelverket. Till de korrigerande befogenheterna, som är bin- dande, hör förelägganden om rättelse, radering och begränsning av behandlingen, beslut om förbud mot fortsatt behandling och beslut om sanktionsavgift (5 kap. 6 och 7 §§ brottsdatalagen). Tillsynen över Säkerhetspolisen bör särregleras På samma sätt som bör naturligtvis personuppgiftsbehandling som rör nationell säkerhet stå under tillsyn och en utgångspunkt bör vara att tillsynen inte ska försämras. Enligt 1 kap. 4 § brottsdatalagen gäller lagen inte vid Säkerhets- polisens behandling av personuppgifter som rör nationell säkerhet. Den gäller inte heller för när den övertagit en arbetsuppgift från Säkerhetspolisen som rör nationell säkerhet. föreslår som framgår av avsnitt 14.2.1 att dataskyddsförordningen ska vara tillämplig även på verksamheter som inte regleras i . Eftersom verksamhet som rör natio- nell säkerhet inte omfattas av förordningens tillämpningsområde är förordningens bestämmelser om tillsyn inte anpassade till sådan verksamhet. Det är därför nödvändigt att särreglera tillsynen över Säkerhetspolisens personuppgiftsbehandling som rör nationell säkerhet. I avsnitt 14.2.2 föreslår utredningen en särskild lag – Säkerhets- polisens datalag – som ska gälla vid behandling av personuppgifter som rör nationell säkerhet i syfte att bekämpa och lagföra brott. Även föreslås i begränsad ut- sträckning tillämpa lagen (se avsnitt 14.3.2). I den nya lagen bör det regleras vilken tillsyn över personuppgiftsbehandling enligt den nya lagen som ska förekomma. Eftersom behandling av personuppgifter som rör nationell säkerhet har undantagits från både direktivets och förordningens tillämp- ningsområde styr bestämmelserna om tillsyn i rättsakterna inte hur den svenska lagstiftningen bör utformas. Som framgår av av- snitt 14.3.1 anses all Säkerhetspolisens operativa verksamhet vara i någon mening brottsbekämpande. Det talar för att regleringen bör efterlikna brottsdatalagens bestämmelser om tillsyn. Säkerhetspolisens brottsbekämpande verksamhet syftar till att på ett tidigt stadium förebygga och förhindra brott som utgör ett samhällshot eller hotar grundläggande demokratiska funktioner. Säkerhetspolisen har för att kunna utföra sitt uppdrag behov av omfattande informationshantering och att kunna utbyta informa- tion med andra myndigheter. Brott som rör nationell säkerhet har ofta sin grund i ideologiska uppfattningar, bl.a. religiös övertygelse eller politiska åsikter. Säkerhetspolisen har därmed särskilt stort behov av att behandla känsliga personuppgifter. För verksamheten vid gäller i stor utsträckning sekretess och allmänheten och enskilda har begränsad insyn i den. Det innebär bl.a. att enskilda inte på samma sätt som i annan verk- samhet kan reagera över felaktigheter eller komma med allmänna klagomål över hur verksamheten bedrivs. Den kontroll som all- mänhetens tillgång till allmänna handlingar normalt innebär för offentlig verksamhet ger, på grund av den omfattande sekretessen, därmed inte samma effekt som i annan verksamhet. I delbetänkandet diskuterar utredningen ingående vilka utgångs- punkter som är viktiga vid överväganden om tillsyn över person- uppgiftsbehandling inom brottsdatalagens tillämpningsområde. Åtskilligt av det som sägs där är relevant även för tillsynen över Säkerhetspolisens personuppgiftsbehandling. Här bör nämnas att en fri och oberoende tillsyn måste värnas, vilket bl.a. bör komma till uttryck på det sättet att tillsynen inte detaljregleras. Det är även viktigt med tydliga regler för verksamheten så att både tillsyns- myndigheten, tillsynsobjekten och enskilda vet vilka rättigheter och skyldigheter som gäller och kan förhålla sig till det. Utred- ningen konstaterar att en effektiv tillsyn bäst gagnas av att den som utövar tillsynen får så stor frihet som möjligt att välja arbetsformer, utan att det görs avkall på rättssäkerheten (se SOU 2017:29 s. 431). 15.2Vem ska utöva tillsyn över Säkerhetspolisen? 15.2.1För- och nackdelar med parallell tillsyn Det finns skäl att överväga tillsynen över Säkerhetspolisen på nytt förslag att dataskyddsförordningen ska vara generellt tillämplig och vårt förslag att Säkerhetspolisens per- sonuppgiftsbehandling ska regleras i en ny lag innebär att förut- sättningarna för tillsynen över Säkerhetspolisens personuppgiftsbe- handling har förändrats sedan Utredningen om tillsynen över den personliga integriteten lämnade sitt betänkande. Det finns därför anledning att på nytt överväga hur tillsynen över Säkerhetspolisens behandling av personuppgifter bör utövas. För- och nackdelar med parallell tillsyn Den första frågan är om tillsynen bör utövas av en eller två myn- digheter. En fördel med parallell tillsyn är att myndigheterna kan inrikta sin granskning på olika områden, vilket kan bidra till en mer omfattande och allsidig tillsyn. Två tillsynsmyndigheter med olika uppdrag och fokus kan på så sätt komplettera varandra. En sådan förstärkt tillsyn har ansetts vara särskilt värdefull i verksamhet som omfattas av stark sekretess och där allmänheten och enskilda har begränsad insyn (se Ytterligare rättssäkerhetsgarantier vid använ- dandet av hemliga tvångsmedel, m.m., prop. 2006/07:133, s. 30 f., prop. 2009/10:85 s. 273 f. och SOU 2016:65 s. 175 f.). Nackdelarna med parallell tillsyn är att det kan leda till oklar ansvarsfördelning mellan tillsynsmyndigheterna. Det finns då risk för att vissa frågor aldrig blir föremål för tillsyn eller att samma fråga granskas gång på gång. Även om myndigheterna har olika fokus och inriktning på sin tillsyn kan parallell tillsyn vidare leda till motstridig praxis. Ett överlappande ansvar riskerar också att medföra dubbelarbete och skapa samordningsbehov och därmed inte vara resurseffektivt (se om Säkerhets- och integritetsskyddsnämndens tillsyn över brottsbekämpande myndigheter, skr. 2015/16:188, s. 31 f.). En särskild nackdel med parallell tillsyn är att den kan leda till att fler personer får insyn i speciellt känslig verksamhet där hemliga uppgifter hanteras i stor omfattning. Den parallella tillsynen över personuppgifts- behandling har enligt Utredningen om tillsynen över den person- liga integriteten visat sig medföra gränsdragningsproblem och otydlighet om vem som ska utföra tillsynen, vad tillsynen ska avse och resultaten av den. Den utredningen ser inte några fördelar med dagens parallella tillsyn över (se SOU 2016:65 s. 185 f.). Det kan enligt den utredningen dock förekomma att någon annan myndighet har begränsade tillsynsuppgifter inom vissa särskilda områden och att den ordningen inte bör eller kan er- sättas med en ordning där all tillsyn utövas av en myndighet. I fråga om tillsyn över Säkerhetspolisen föreslår den utredningen därför att dagens parallella tillsyn behålls. De särskilda omständigheter som motiverar att det bedrivs parallell tillsyn över Säkerhetspolisen gör sig dock enligt den utredningens mening inte gällande med samma styrka vid tillsyn över . Beträffande den tillsynen talar enligt den utredningen övervägande skäl för att bara en myndighet bör utöva tillsyn (se SOU 2016:65 s. 143 f., 175 f. och 185 f.). 15.2.2Bör den parallella tillsynen bestå? Utredningens bedömning: Tillsynen över Säkerhetspolisens behandling av personuppgifter bör utövas av både Datainspek- tionen och . Deras till- syn bör i huvudsak vara densamma som .