sou · H5B374 · 2017-10-04 00:00:00 — Enligt huvudregeln i 6 kap. 6 § första stycket polisdatalagen får uppgifter dock inte bevaras än som behövs för något eller några av de ändamål för vilka Säkerhetspolisen får behandla personuppgifter. Utredningen före- slår i avsnitt 14.13.2 och 14.13.4 att motsvarande reglering ska fin- nas i den nya lagen. Säkerhetspolisens behandling av personuppgifter Den generella bestämmelsen om längsta tid för behandling innebär att behandlingen ska upphöra så fort Säkerhetspolisen be- dömer att det inte längre finns behov av att behandla uppgifterna för något eller några av de syften för vilka myndigheten får be- handla personuppgifter. Behandlingen ska således upphöra även om tidsfristen inte har löpt ut. Det förutsätter dock att det går att bedöma om personuppgifterna behövs för något av dessa syften. Bestämmelsen ger stöd för fortsatt behandling så länge upp- gifterna behövs för något eller några av de syften som anges i lagen (se avsnitt 14.13.2). Det finns således stöd för fortsatt behandling om Säkerhetspolisen t.ex. bedömer att uppgifterna allmänt är vär- defulla för att förebygga, förhindra och upptäcka brottslig verk- samhet (se prop. 2009/10:85 s. 327 och 367 f.). När det gäller ostrukturerad underrättelseinformation ligger det i sakens natur att det är svårt att bedöma det fortsatta behovet av behandling. Bedömningen måste innan bearbetningen och analysen är klar göras på ett mer övergripande plan och i större utsträckning utgå från sannolikheten att uppgifterna kan komma att behövas i verksamheten än en reell bedömning av den enskilda uppgiften. Enligt utredningens mening kan det vid en sådan övergripande be- dömning ofta finnas behov av fortsatt behandling av den ostruk- turerade informationen för något av de syften som anges i lagen. 14.11.1Elektroniskt utlämnande på annat sätt än genom direktåtkomst Utredningens förslag: Säkerhetspolisen ska få lämna ut person- uppgifter elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Regeringen ska genom föreskrifter kunna begränsa möjlig- heten att lämna ut personuppgifter på det sättet. Skälen för utredningens förslag: Enligt 2 kap. 20 § polisdatalagen får enstaka personuppgifter lämnas ut på medium för automatise- rad behandling. Regleringen i 2 kap. 20 § polisdatalagen gäller genom en hänvisning i 6 kap. 4 § för Säkerhetspolisen. Säkerhetspolisens behandling av personuppgifter kan meddela föreskrifter om att uppgifter får lämnas ut på sådant medium även i andra fall. Sådana föreskrifter finns i bl.a. 18 § polis- dataförordningen. I avsnitt 5.6.4 föreslår utredningen att möjlig- heten att lämna ut personuppgifter i annan elektronisk form än genom direktåtkomst ska utvidgas i de brottsbekämpande myndig- heternas registerförfattningar. De skäl som anges där för en utvidg- ning är giltiga även för Säkerhetspolisen. I den nya lagen bör det därför tas in en bestämmelse som ger Säkerhetspolisen möjlighet att lämna ut uppgifter elektroniskt på annat sätt än genom direkt- åtkomst om det inte är olämpligt. Regeringen bör kunna meddela föreskrifter om begränsning av möjligheten att lämna ut person- uppgifter på det sättet. 14.11.2 Behovet av direktåtkomst Utredningens förslag: Elektroniskt utlämnande genom direkt- åtkomst ska vara tillåtet enbart i den utsträckning som anges i den nya lagen. Skälen för utredningens förslag I avsnitt 5.6.1 och 5.6.2 redogör utredningen för vad som är direkt- åtkomst och vilka risker det anses medföra. I förarbetena till polis- datalagen konstaterar regeringen att en ordning som innebär infor- mationsutbyte enbart genom behandling skapar praktiska problem, eftersom brottsbekämpningen bedrivs dygnet runt. Upp- gifter som en tjänsteman behöver för att kunna utföra en tjänsteåtgärd måste vara lätt tillgängliga även utanför vanlig kon- torstid. Därför infördes regler om direktåtkomst i polisdatalagen. Regeringen ansåg dock att det inte borde vara möjligt att medge direktåtkomst till personuppgifter som behandlas av Säkerhetspoli- sen, eftersom myndigheten behandlar särskilt känsliga uppgifter. Några skäl för att ge möjlighet till direktåtkomst till sådana person- uppgifter framkom varken under det utredningsarbete som låg till grund för lagstiftningen eller under remissbehandlingen (se prop. Säkerhetspolisens behandling av personuppgifter 2009/10:85 s. 178 f.). Säkerhetspolisen har därför inte någon möjlighet att tillhandahålla personuppgifter genom direktåtkomst. Ett effektivare informationsutbyte är nödvändigt Säkerhetspolisen utbyter information med andra myndigheter manuellt. Begränsningarna när det gäller elektroniskt utlämnande av personuppgifter medför att myndigheten måste delge operativ information antingen i pappersform eller elektroniskt i enskilda handlingar. Det gäller både i förhållande till svenska och utländska myndigheter. Eftersom Säkerhetspolisen utbyter mellan 50 och 100 meddelanden med andra staters underrättelse- och säkerhetstjänster innebär det en avsevärd begränsning. Information som andra myndigheter har behov av kommer enligt Säkerhetspoli- sen inte myndigheterna till del i den utsträckning som är önskvärd på grund av att sätten för utlämnande är ineffektiva och resurskrä- vande. Det finns därför risk att viktig och brådskande information inte når fram . Säkerhetspolisens behov av effektivare informationsutbyte har ökat markant . Det politiska läget i och i omvärlden, med bl.a. omfattande flyktingströmmar och ett ständigt terrorhot, ställer nya krav på samarbete och effektivt in- formationsutbyte med både svenska och utländska myndigheter. Säkerhetspolisen har under utredningsarbetet understrukit behovet av att kunna dela viss information med andra myndigheter genom direktåtkomst. Ökade möjligheter till elektroniskt utlämnande räcker inte Lagstiftaren såg vid polisdatalagens tillkomst inte något behov av att reglera direktåtkomst till personuppgifter som Säkerhetspolisen behandlar. Någon egentlig analys av det lämpliga i att tillåta direkt- åtkomst gjordes inte (se prop. 2009/10:85 s. 178 f.). Saken har kommit i ett annat ljus i och med att Säkerhetspolisen har påtalat behovet av att kunna dela information på ett helt annat sätt än tidi- gare, bl.a. i det europeiska samarbetet mot terrorism. Regeringens uttalanden i förarbetena hindrar inte att en annan bedömning görs , särskilt mot bakgrund av att regeringen föreslagit viss Säkerhetspolisens behandling av personuppgifter direktåtkomst till Säkerhetspolisens information (se lagrådsremis- sen , Ett mer effektivt informationsutbyte vid Nationellt centrum för terrorhotbedömning, s. 19 f.). Eftersom brottsbekämpning bedrivs dygnet runt är en ordning med i huvudsak manuellt utlämnande begränsande. Uppgifter som en tjänsteman behöver för att kunna genomföra en tjänsteåtgärd måste vara tillgängliga även utanför kontorstid. Elek- troniskt utlämnande på annat sätt än genom direktåtkomst förut- sätter att det finns personal på plats och att de har utrymme att bedöma om informationen kan lämnas ut. Om så inte är fallet för- dröjs informationsöverföringen, vilket kan få allvarliga konsekven- ser för brottsbekämpningen. I förarbetena till polisdatalagen kon- staterar regeringen också att direktåtkomst inte bara är ett enkelt och arbetsbesparande sätt att lämna ut information utan ibland det enda i praktiken möjliga sättet att göra uppgifterna tillgängliga när de behövs (se prop. 2009/10:85 s. 168). I jämförelse med annat elektroniskt utlämnande innebär direkt- åtkomst effektivitetsvinster. Den myndighet som vill ha informa- tion behöver inte begära att få uppgifterna, utan kan söka i den in- formation som har gjorts tillgänglig. Den myndighet som medgett direktåtkomst behöver inte avsätta resurser för att hantera förfråg- ningar från den andra myndigheten. Utlämnande genom direktåt- komst kan även innebära fördelar ur informationssäkerhetssyn- punkt, eftersom överföring av information vid direktåtkomst kan göras på säkrare sätt än genom t.ex. e-post (se nämnda lag- rådsremiss s. 21). Uppgifter som lämnas ut elektroniskt på annat sätt än genom direktåtkomst, t.ex. via e-post, riskerar att snabbt bli inaktuella, eftersom de inte uppdateras automatiskt. Inaktuella uppgifter kan ibland vara mer skadliga än ingen information alls. Det kan ofta vara bråttom att hantera den information som kommer in till Säkerhetspolisen. Det kan t.ex. röra sig om infor- mation om ett planerat attentat mot mål i eller mot svenska intressen. Det är då viktigt att Säkerhetspolisen kan dela med sig av informationen till andra berörda myndigheter så fort som möjligt. Om det kan göras genom direktåtkomst sparas tid och resurser som berörda mottagare kan ta del av informationen när det passar dem. Information som inte behöver förmedlas muntligt eller genom att särskilda dokument framställs utan i stället kan delas i sitt ursprungliga skick ökar kvaliteten i informationsutbytet. Säkerhetspolisens behandling av personuppgifter Den utökade möjlighet att lämna ut personuppgifter elektro- niskt som föreslås i avsnitt 14.11.1 räcker därför enligt utredning- ens mening inte för att effektivisera Säkerhetspolisens informa- tionsutbyte. Myndigheten har behov av att kunna lämna ut vissa uppgifter genom direktåtkomst. Den nya lagen bör medge direktåtkomst Direktåtkomst medför att uppgifter blir tillgängliga för fler per- soner och att den utlämnande myndighetens möjligheter att kon- trollera användningen av uppgifterna minskar. En möjlighet till direktåtkomst anses därför generellt sett medföra ökad risk för intrång i den personliga integriteten. Säkerhetspolisen behandlar stora mängder personuppgifter i sina uppgiftssamlingar och många av dem är av känslig karaktär. Ju fler personer som har tillgång till sådana uppgiftssamlingar desto mer påtaglig är risken för intrång. Även om det är möjligt att genom särskilda åtgärder motverka eventuella risker är det viktigt att mottagarnas behov av direktåt- komst övervägs noga och att behoven vägs mot integritetsriskerna. Verksamhetsbehoven måste därför vägas mot hänsynen till den en- skildes integritet. Enligt 2 kap. 21 § första stycket polisdatalagen är utlämnande genom direktåtkomst tillåtet bara i den utsträckning som följer av lagen. I förarbetena till polisdatalagen framhålls att det från integri- tetssynpunkt finns fördelar med en lösning där det i lagen framgår i vilken utsträckning direktåtkomst får medges. Det underlättar för tillämparen om det anges i vilken utsträckning direktåtkomst kan förekomma (se prop. 2009/10:85 s. 172). En motsvarande bestäm- melse bör därför införas i den nya lagen. Genom det säkerställs att beslutar om i vilken utsträckning det är tillåtet att medge direktåtkomst. Säkerhetspolisen utbyter redan en stor mängd information med både nationella och utländska myndigheter. Möjligheten att medge direktåtkomst innebär inte att Säkerhetspolisen får behandla eller lämna ut fler eller andra personuppgifter än . Utlämnande genom direktåtkomst är endast ett mer effektivt sätt att tillhanda- hålla den information som ändå får lämnas ut. Det ligger också i sakens natur att Säkerhetspolisen lägger särskild vikt vid att pröva Säkerhetspolisens behandling av personuppgifter om information ska delas med andra. Myndigheten har starkt intresse av att se till att inte fler uppgifter än nödvändigt tillgäng- liggörs för andra. Möjligheten att medge direktåtkomst förändrar ingenting i det avseendet. 14.11.3 Direktåtkomst för vissa svenska myndigheter Utredningens förslag: ska för att kunna förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott få medges direktåtkomst till person- uppgifter som Säkerhetspolisen behandlar för vissa syften. och Försvarsmakten ska i sin för- svarsunderrättelseverksamhet och militära säkerhetstjänst få medges direktåtkomst till personuppgifter som Säkerhetspoli- sen behandlar för vissa syften. Direktåtkomsten ska endast få avse personuppgifter som har gjorts gemensamt tillgängliga. Vad som ska gälla angående omfattningen av direktåtkoms- ten och behörighet och säkerhet vid sådan åtkomst ska regleras i förordning. Skälen för utredningens förslag Direktåtkomst bara för några få myndigheter De brottsbekämpande myndigheterna behöver samarbeta för att bekämpa brottslighet. Av samma skäl som det är viktigt att man inom på ett effektivt sätt kan tillgodogöra sig den information som samlats inom myndigheten är det viktigt att nyt- tiggöra informationen i samarbetet med andra brottsbekämpande myndigheter (jfr prop. 2009/10:85 s. 166 f.). Bland de brottsbe- kämpande myndigheterna är det dock enligt utredningens mening bara som har sådana arbetsuppgifter att det bör övervägas om Säkerhetspolisen ska kunna tillhandahålla informa- tion genom direktåtkomst. Säkerhetspolisen samarbetar också nära med försvarsunderrät- telsemyndigheterna. Samarbetet är av stor betydelse för att Säker- hetspolisen ska kunna fullgöra sina uppgifter som säkerhetstjänst. Säkerhetspolisens behandling av personuppgifter Även i förhållande till dessa myndigheter bör det därför övervägas om Säkerhetspolisen ska kunna tillhandahålla information genom direktåtkomst. För att Säkerhetspolisen på ett effektivt sätt ska kunna före- bygga, förhindra och upptäcka brottslig verksamhet och utreda och lagföra brott krävs det ett utvecklat samarbete även med andra myndigheter. Säkerhetspolisen är initiativtagare och sammankal- lande i mot terrorism där 13 andra myndigheter ingår. Samarbetet syftar till att stärka förmåga att mot- verka och hantera terrorism. Ett annat exempel är Säkerhetspoli- sens samarbete med i syfte att identifiera säker- hetshot i migrationsströmmarna till . Utredningen anser att det inte finns något behov av att kunna medge någon av dessa myndigheter direktåtkomst. Säkerhetspolisen och har ett väl utvecklat sam- arbete. Säkerhetspolisen ska enligt 11 § instruktionen samarbeta med i den utsträckning som behövs för att polisverksamheten ska kunna bedrivas effektivt. Ett effektivt poli- siärt samarbete kräver ett omfattande utbyte av information. Infor- mationsutbytet kan vara helt avgörande för att kunna bedöma och reducera hot. I operativa ärenden är behovet av information dess- utom tidskritiskt. Som exempel kan nämnas attentatet på Drott- ninggatan i och mordet på statsminister . Det går i sådana situationer inte att förlita sig enbart på hantering. Det talar för att Säkerhetspolisen bör ges möjlighet att medge direktåtkomst till person- uppgifter som behandlas hos myndigheten. Personuppgifter som Säkerhetspolisen typiskt sett bör kunna delge behandlas med stöd av flertalet av de till- låtna rättsliga grunderna som gäller för Säkerhetspolisen. Ett stort antal av de personer som Säkerhetspolisen har ögonen på är samti- digt föremål för underrättelseverksamhet eller brottsutredning hos , på grund av att de misstänks för annan brotts- lighet. I Säkerhetspolisens brottsbekämpning kan inte sällan andra brott avslöjas. Information som rör allvarliga brott som har begåtts Säkerhetspolisens behandling av personuppgifter eller planeras bör naturligtvis kunna delas. Ett effektivt informa- tionsutbyte mellan Säkerhetspolisen och är där- för en förutsättning för att kunna förebygga och förhindra såväl terrorism som organiserad brottslighet. Myndigheterna kan vidare ha ett ömsesidigt intresse av att känna till om den andra myndig- heten vill ha hjälp med iakttagelser rörande vissa personer. Likaså finns det ibland intresse av att se till att den andra myndigheten inte ingriper mot en viss person om ett obetydligt brott skulle be- gås, eftersom det skulle kunna skada pågående brottsspaning eller brottsutredning som rör allvarligare brott. Säkerhetspolisen har intresse av att sprida information om per- soner som skulle kunna utgöra säkerhetshot och om företeelser som bör vara vaksam på. Sådana uppgifter kan behöva spridas exempelvis för att underlätta personskyddsarbetet eller skapa bättre förutsättningar för samarbete om hotnivån för- ändras. Även Säkerhetspolisens arbetsuppgifter inom författnings- skyddet och på utlännings- och medborgarskapsområdet kan gene- rera behov av informationsutbyte. har inte behov av att ta del av information från Säkerhetspolisen genom direktåtkomst i alla sina verksamhets- grenar. Behovet gör sig främst gällande när utför en arbetsuppgift i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet eller att utreda eller lagföra brott. Myndig- heten har således inget behov av direktåtkomst till uppgifter hos för att fullgöra förpliktelser som följer av interna- åtaganden eller för att utföra en arbetsuppgift i syfte att upprätthålla allmän ordning och säkerhet. Direktåtkomst bör där- för inte få medges för sådana syften. Direktåtkomst för och Försvarsmakten Säkerhetspolisen, Försvarsmakten och har uppdrag som till viss del tangerar eller överlappar varandra och där- med förutsätter ett nära samarbete och kontinuerligt informations- utbyte. Försvarsmakten och har möjlighet att medge Säkerhetspolisen direktåtkomst till vissa uppgiftssam- lingar hos respektive myndighet. Vidare är Säkerhetspolisen en av de myndigheter som enligt 4 § lagen (2008:717) om signalspaning i Säkerhetspolisens behandling av personuppgifter försvarsunderrättelseverksamhet får ange inriktning för Försvarets radioanstalts signalspaning. Ett exempel på ett mer formaliserat samarbete mellan myndig- heterna är samarbetet inom ramen för för ter- rorhotbedömning. Där arbetar myndigheterna tillsammans i gemensamma lokaler och tar gemensamt fram rapporter om terror- hotet mot och svenska intressen. Syftet är att stärka den samlade förmågan hos , Försvarsmakten och För- svarets radioanstalt och att ta tillvara myndigheternas samlade kompetens. Samarbetet kräver ett omfattande informationsutbyte (se Behandling av personuppgifter inom för terrorhotbedömning, Ds 2016:31, s. 170 f.). Regeringen har som nämnts beslutat en lagrådsremiss med förslag om att Säker- hetspolisen ska få medge dessa myndigheter direktåtkomst till vissa uppgifter inom ramen för det samarbetet. Myndigheternas behov av att utbyta information är emellertid inte begränsat till arbetet vid Nationellt centrum för terrorhotbe- dömning. Uppgifter som behandlas av en av myndigheterna kan tillsammans med uppgifter som behandlas av en annan ge en hel- hetsbild som inte framträder om bara den ena delen analyseras. Ett effektivt informationsutbyte kan alltså vara en förutsättning för att myndigheterna ska kunna fullgöra sina respektive uppdrag. Mot den bakgrunden anser utredningen att övervägande skäl talar för att Säkerhetspolisen bör ges möjlighet att medge Försva- rets radioanstalt och Försvarsmakten direktåtkomst till person- uppgifter som behandlas hos . har enligt utredningens mening behov av att ta del av information från Säkerhetspolisen genom direktåt- komst enbart i sin försvarsunderrättelseverksamhet. Försvarsmak- ten har behov av att ta del av information genom direktåtkomst i både försvarsunderrättelseverksamheten och den militära säker- hetstjänsten. Risken för integritetsintrång ska minimeras Direktåtkomst innebär som nämnts inte att fler eller andra personuppgifter får behandlas eller tillhandahållas. För att det ska vara acceptabelt att tillåta direktåtkomst måste det emellertid Säkerhetspolisens behandling av personuppgifter säkerställas att det finns ett tillfredsställande skydd för den per- sonliga integriteten. En första viktig aspekt är vilket sekretesskydd personuppgif- terna har hos den mottagande myndigheten. Sekretessregleringen ger i princip samma skydd för uppgifter i den brottsbekämpande verksamheten och i försvarsunderrättelseverksamheten. Uppgifter hos omfattas som regel av sekretess enligt 15 kap. 1 och 2 §§ och 18 kap. 1 och 2 §§ offentlighets- och sekretesslagen, dvs. utrikessekretess, försvarssekretess och sekretess till skydd för brottsbekämpning. Dessa sekretessbestämmelser gäller även hos , och . Skyddet för enskildas personliga och ekonomiska förhållanden reg- leras i olika kapitel i offentlighets- och sekretesslagen för myndig- heterna i fråga. För Säkerhetspolisen och finns reglerna i 35 kap. och 37 kap. offentlighets- och sekretesslagen, medan de för försvarsunderrättelsemyndigheterna finns i 38 kap. Regleringen ger dock i princip samma skydd. En annan viktig fråga är hur uppgifterna kommer att användas hos den mottagande myndigheten. Om kretsen av personer som får tillgång till uppgifterna kan begränsas är risken för integritetsin- trång generellt sett mindre. Av respektive myndighets registerför- fattning framgår att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsupp- gifter. Det är således endast de tjänstemän som har behov av upp- gifterna som får ges tillgång till dem. Informationssäkerheten hos den mottagande myndigheten är också en viktig fråga. Är den säkerheten hög, så att det kan garan- teras att informationen endast når dem som har rätt till den, inger möjlighet till direktåtkomst mindre betänkligheter från integritets- synpunkt än vad som annars hade varit fallet (jfr prop. 2009/10:85 s. 176). , och Försvars- makten har generellt en mycket hög säkerhet när det gäller hante- ring av information. I förarbetena till polisdatalagen framhålls att det i fråga om direktåtkomst bör vara den myndighet som ansvarar för datasyste- men som avgör i vilken utsträckning en annan myndighet kan anses tillgodose kraven på tillräcklig säkerhet. Den som medger direktåt- komst ska kunna ha kontroll över att det egna datasystemet allt- jämt har tillräcklig säkerhet även efter det att andra myndigheter Säkerhetspolisens behandling av personuppgifter fått tillgång till det (se prop. 2009/10:85 s. 178). Den närmare be- dömningen av tekniska och andra förutsättningar för direktåt- komst bör därför göras av Säkerhetspolisen. Innan Säkerhetspoli- sen medger direktåtkomst bör myndigheten således försäkra sig om att den mottagande myndigheten har en acceptabel säkerhets- nivå. Det kan exempelvis vara fråga om system för utlämnande av behörighet, loggning av transaktioner och annan intern kontroll. Säkerhetspolisen bör kunna ställa upp villkor som rör sådana frå- gor. Det kan regleras i förordning. De ökade integritetsrisker som möjlighet till direktåtkomst skulle kunna medföra kan alltså motverkas genom reglering av annat slag, som bestämmelser om sekretess, tillgång till uppgifter, informationssäkerhet och en effektiv tillsyn. Mot den bakgrunden anser utredningen att Säkerhetspolisen bör få möjlighet att medge vissa myndigheter direktåtkomst. I avsnitt 14.12.2 och 14.12.3 behandlas frågan om hur sekretess- regleringen förhåller sig till de föreslagna bestämmelserna om direktåtkomst. Hur bör direktåtkomsten avgränsas? Det föreslagna informationsutbytet innebär att uppgifter som be- handlas av Säkerhetspolisen blir tillgängliga utanför det samman- hang där de ursprungligen behandlades. Det är då ur ett integri- tetsperspektiv rimligt att de särskilda, mer begränsande, reglerna om gemensamt tillgängliga uppgifter alltid tillämpas. Direktåt- komst bör därför endast kunna medges till uppgifter som är gemensamt tillgängliga i Säkerhetspolisens verksamhet. Från ett integritetsperspektiv är det en fördel om det tydligt framgår av författningstexten vilka uppgifter som får lämnas ut genom direktåtkomst. Några begränsningar av det slaget har emel- lertid inte ansetts möjliga att utforma inom annan brottsbekäm- pande verksamhet. De enda undantagen är direktåtkomsten till dna-register och fingeravtrycksregister, där de myndigheter som har direktåtkomst endast får veta om en person förekommer i registren. Det är enligt utredningens mening varken möjligt eller lämpligt att i den nya lagen begränsa vilken typ av uppgifter som Säkerhetspolisens behandling av personuppgifter direktåtkomsten får avse. Åtkomsten bör i stället begränsas till personuppgifter som Säkerhetspolisen behandlar för vissa syften.