sou · H5B374 · 2017-10-04 00:00:00 — Nämnden hänvisar till förarbe- tena till den tidigare gällande sekretesslagen (1980:100), där det anges att det intresse som sekretessen ska skydda ska tas med i be- dömningen av om ett utlämnande kan anses förenligt med svenska intressen. Nämnden konstaterar att Säkerhetspolisens behov av att lämna uppgifter alltid måste vägas mot sekretessintresset, t.ex. det integritetsintrång och de konsekvenser som det kan innebära för den enskilde, vid bedömningen av om känslig underrättelseinfor- mation kan lämnas till utlandet (se uttalande , dnr 205-2012 s. 3). Säkerhetspolisen bör kunna lämna ut uppgifter till en utländsk myndighet eller mellanfolklig organisation i samma utsträckning som . En bestämmelse om det bör därför tas in i den nya lagen. Det bör påpekas att när Säkerhetspolisen lämnar personuppgif- ter till mottagare i tredjeland eller till internationella organisationer måste myndigheten se till att utlämnandet är förenligt med bestäm- melserna om överföring till sådana mottagare (se avsnitt 14.17). 14.13 Längsta tid som personuppgifter får behandlas 14.13.1 Innebörden av nuvarande reglering Utredningens bedömning: Bestämmelserna om gallring och bevarande i polisdatalagen syftar till att skydda den personliga integriteten och reglerar inte gallring eller bevarande i arkiv- lagens mening. Motsvarande bestämmelser bör tas in i den nya lagen men formuleras så att det framgår att det är fråga om data- skyddsbestämmelser. Säkerhetspolisens behandling av personuppgifter Skälen för utredningens bedömning Olika typer av bestämmelser Enligt huvudregeln i 6 kap. 6 § första stycket polisdatalagen får per- sonuppgifter som Säkerhetspolisen behandlar inte bevaras än vad som behövs för något eller några av de ändamål som anges i kapitlet. I 6 kap. polisdatalagen finns det ytterligare två typer av bestämmelser om bevarande och gallring av personuppgif- ter. De gäller enbart personuppgifter som behandlas automatiserat. Den ena typen är bestämmelser om gallring och finns i 6 kap. 7 och 12 §§. De gäller för personuppgifter som inte förekommer i ärenden om utredning av eller lagföring för brott. Regleringen innebär att personuppgifterna inte får behandlas automatiserat efter vissa i lagen angivna tidsfrister. De får alltså inte heller arkiveras digitalt. Det följer av att det i 2 kap. 2 § andra stycket polisdata- lagen, som gäller även för Säkerhetspolisen, görs undantag från 8 § andra stycket personuppgiftslagen, som föreskriver att arkivlag- stiftningen har företräde framför personuppgiftslagstiftningen. Be- handling för arkivändamål är dock tillåten om det med stöd av 6 kap. 7 § tredje stycket eller 6 kap. 14 § har meddelats föreskrifter om att personuppgifterna får bevaras för historiska, statistiska eller vetenskapliga ändamål. Den andra typen av bestämmelser finns i 6 kap. 13 § polisdata- lagen, som hänvisar till 3 kap. 9–13 §§ samma lag. De begränsar möjligheten att behandla personuppgifter i myndighetens brottsbe- kämpande verksamhet. Bestämmelserna gäller för personuppgifter som har gjorts gemensamt tillgängliga i ärenden om utredning av eller lagföring för brott. De föreskriver hur länge personuppgif- terna får behandlas i den brottsbekämpande verksamheten, men det hindrar inte att uppgifterna behandlas bl.a. för arkivändamål. Rege- ringen kan enligt 6 kap. 6 § tredje stycket meddela föreskrifter om digital arkivering. Bestämmelserna är inte arkivrättsliga regler Bestämmelser som reglerar hur länge personuppgifter får behandlas är viktiga för att skydda den personliga integriteten. Det bör därför tas in bestämmelser i den nya lagen som motsvarar regleringen i Säkerhetspolisens behandling av personuppgifter polisdatalagen om hur länge olika typer av personuppgifter får be- handlas. I avsnitt 5.5.1 redovisar utredningen sin syn på dagens regler om gallring och bevarande. Det som sägs där har giltighet även för Säkerhetspolisens regelverk. När syftet med bestämmel- serna är att skydda den personliga integriteten bör regleringen där- för ange den yttersta gränsen för hur länge personuppgifterna får behandlas (se SOU 2017:29 s. 282 f.). Det gäller både gallringsbe- stämmelserna och bestämmelserna som begränsar möjligheten att behandla personuppgifter i den brottsbekämpande verksamheten. Bestämmelserna i den nya lagen bör formuleras så att det framgår att de är dataskyddsregler. De kan lämpligen samlas i ett särskilt kapitel som i övriga registerförfattningar. 14.13.2 Hur länge får personuppgifter behandlas? Utredningens förslag: Personuppgifter ska inte få behandlas än vad som behövs för något eller några av de syften för vilka Säkerhetspolisen får behandla personuppgifter. Det hindrar inte att Säkerhetspolisen arkiverar och bevarar all- männa handlingar eller att arkivmaterial lämnas till en arkivmyn- dighet. Skälen för utredningens förslag En generell bestämmelse om hur länge personuppgifter får behandlas Enligt huvudregeln i 6 kap. 6 § första stycket polisdatalagen får per- sonuppgifter inte bevaras än vad som behövs för något eller några av de ändamål som anges i kapitlet. Bestämmelsen kompletteras av mer precisa bestämmelser om bevarande och gall- ring av vissa kategorier av personuppgifter. En generell bestämmelse som anger hur länge personuppgifter får behandlas bör tas in i den nya lagen. Den bör utformas med 6 kap. 6 § första stycket polisdatalagen som mönster. För att tyd- liggöra att det inte är fråga om bevarande i arkivlagens mening bör ordet behandlas användas i stället för bevaras. Säkerhetspolisen bör alltså inte få behandla personuppgifter än vad som behövs för något eller några av de syften för vilka myndigheten får Säkerhetspolisens behandling av personuppgifter behandla personuppgifter enligt lagen. Liksom i polisdatalagen bör bestämmelsen kompletteras med mer detaljerade bestämmelser om hur länge vissa kategorier av personuppgifter får behandlas. Utred- ningen återkommer till det. Enligt 8 § andra stycket personuppgiftslagen hindrar bestämmel- serna i lagen inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndig- het. Arkivlagstiftningen har alltså i fråga om allmänna handlingar företräde framför personuppgiftslagens bestämmelser om längsta bevarandetid. För Säkerhetspolisens del görs i polisdatalagen undantag från 8 § andra stycket personuppgiftslagen när det gäller personuppgifter som ska gallras enligt polisdatalagen. Undantaget i polisdatalagen gäller bara när bestämmelser om gallring är tillämpliga. I övriga delar av Säkerhetspolisens verksam- het gäller 8 § andra stycket personuppgiftslagen, vilket innebär att arkivlagstiftningen har företräde. En bestämmelse med motsvaran- de innehåll bör tas in i den nya lagen. Det bör anmärkas att behandling för arkivändamål omfattas av dataskyddsförordningens tillämpningsområde, oavsett om det är Säkerhetspolisen som arkiverar personuppgifterna eller om de över- lämnas till en arkivmyndighet (jfr SOU 2017:29 s. 287). 14.13.3Personuppgifter som inte har gjorts gemensamt tillgängliga Utredningens förslag: Personuppgifter som inte har gjorts gemensamt tillgängliga ska inte få behandlas längre än efter det att ärendet avslutades, om de behandlas i ett ärende, och inte längre än efter det att de behandlades automatise- rat första gången, om de inte kan hänföras till ett ärende. Skälen för utredningens förslag: I 6 kap 7 § första stycket polis- datalagen föreskrivs att personuppgifter som behandlas automa- tiserat av Säkerhetspolisen och som inte har gjorts gemensamt till- Säkerhetspolisens behandling av personuppgifter gängliga ska gallras senast efter det att ärendet avslutades, om de behandlas i ett ärende. Om de inte kan hänföras till ett ärende ska uppgifterna gallras senast efter det att de behandlades automatiserat första gången. Enligt utredningens mening finns det inte skäl att ändra på hur länge sådana uppgifter får behandlas. En motsvarande bestämmelse bör därför tas in i den nya lagen men den bör reglera hur länge personuppgifterna får behandlas. Av 2 kap. 2 § andra stycket polisdatalagen följer att arkivlag- stiftningen inte ska ha företräde om 6 kap. 7 § är tillämplig. Syftet med regleringen är att förtydliga att personuppgifter i dessa fall inte får behandlas automatiserat för arkivändamål. Det bör gälla även enligt den nya lagen. Det bör således göras undantag från be- stämmelsen om att arkivlagstiftningen ska ha företräde (se av- snitt 14.13.2). Den nu föreslagna regleringen bör inte gälla personuppgifter i ärenden om utredning av eller lagföring för brott. Den frågan be- handlas i avsnitt 14.13.6. 14.13.4 Personuppgifter som har gjorts gemensamt tillgängliga Utredningens förslag: Personuppgifter som har gjorts gemen- samt tillgängliga ska inte få behandlas längre än efter ut- gången av det kalenderår då den senaste registreringen avseende personen gjordes. Uppgifter om en person som vid tiden för registreringen inte fyllt ska dock inte få behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende den unge. Det förutsätter att någon ny registrering inte har gjorts efter det att han eller hon fyllt . Personuppgifter som behandlas i en uppgiftssamling som har skapats för att bearbeta och analysera information ska inte få behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende personen. När personuppgifter behandlas i underrättelseverksamhet ska endast registrering som avser personens anknytning till brottslig verksamhet påverka längsta tid för behandling. Säkerhetspolisens behandling av personuppgifter Skälen för utredningens förslag Gemensamt tillgängliga personuppgifter ska som huvudregel få behandlas som Enligt 6 kap. 12 § polisdatalagen ska gemensamt tillgängliga per- sonuppgifter gallras senast efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Person- uppgifter som behandlas i en uppgiftssamling som har skapats för att bearbeta och analysera information ska dock gallras senast efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. I förarbetena till polisdatalagen görs bedömningen att en allmän gallringsfrist utgjorde en lämplig avvägning mellan Säker- hetspolisens behov och den enskildes krav på att uppgifter inte bevaras alltför . I fråga om personuppgifter som förekom- mer i en uppgiftssamling som skapats för att bearbeta och analysera information gjordes dock bedömningen att en kortare gallringsfrist borde gälla (se prop. 2009/10:85 s. 269). Den bedömning som gjor- des då av hur länge personuppgifter bör få behandlas har enligt ut- redningens mening fortfarande fog för sig. Bestämmelserna bör av de skäl som anges i avsnitt 14.13.1 formuleras så att de anger hur länge uppgifterna får behandlas. Utredningen återkommer till be- hovet av att beträffande några kategorier av personuppgifter ha en mer differentierad reglering. Av 2 kap. 2 § andra stycket polisdatalagen följer att arkivlag- stiftningen inte ska ha företräde om 6 kap. 12 § är tillämplig. Det- samma bör gälla enligt den nya lagen. Det bör därför göras undan- tag från den föreslagna regeln om att arkivlagstiftningen ska ha företräde för nu aktuella personuppgifter. En särskild bestämmelse för personuppgifter som rör barn Polisdatalagen innehåller inte några särskilda bestämmelser om be- handling av personuppgifter som avser barn. Samma bestämmelser gäller således vid personuppgiftsbehandlingen oavsett den registre- rades ålder. Säkerhetspolisen har i sina interna styrdokument regle- rat gallringsfristen i myndighetens centralregister för personer som vid tiden för registreringen inte fyllt . Säkerhetspolisens behandling av personuppgifter senast efter det att en uppgift om personen senast infördes. har särskilt granskat hur brottsbekämpande myndigheter behandlar personuppgifter om barn. Nämnden har uttalat att integritetsskyddande regler i polis- datalagen gör sig gällande i särskilt hög grad vid behandling av upp- gifter om barn. Nämnden är också positiv till Säkerhetspolisens interna bestämmelser om kortare gallringsfrist för sådana uppgifter (se uttalande , dnr 50-2015 s. 5 och 8). Mot den bakgrunden anser utredningen att det i den nya lagen bör före- skrivas för behandling av uppgifter om personer som vid registreringen inte hade fyllt . Sådana uppgifter bör inte få behandlas längre än efter utgången av det kalenderår då den senaste registreringen avseende den unge gjordes. Omständigheter som kan påverka längsta tid för behandling I avsnitt 5.5.4 föreslås att endast sådana omständigheter som har betydelse för personens anknytning till brottslig verksamhet bör kunna påverka att personuppgifter får fortsätta att behandlas i underrättelseverksamhet på grund av att det har tillkommit en ny registrering. Av de skäl som anges där bör regleringen i den nya lagen utformas på motsvarande sätt när det gäller personuppgifter i Säkerhetspolisens underrättelseverksamhet. När det gäller person- uppgifter som behandlas för bl.a. personskydd, säkerhetsskydd eller ärenden enligt utlännings- och medborgarskapslagstiftningen bör regleringen på samma sätt som utgå från när den senaste registreringen avseende personen gjordes. 14.13.5Personuppgifter som rör viss säkerhetshotande verksamhet Utredningens förslag: Personuppgifter som hänför sig till sådan säkerhetshotande verksamhet som avses i 18 och 19 kap. som utövas av främmande makt ska inte få behand- las längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brott eller brottslig verksamhet. Säkerhetspolisens behandling av personuppgifter Skälen för utredningens förslag Vad är kontraspionage? Säkerhetspolisens kontraspionageverksamhet har till uppgift att förebygga, förhindra och upptäcka spioneri, olaglig underrättelse- verksamhet och andra brott mot rikets säkerhet. Kontraspionage omfattar inhämtning av underrättelser om och bedömning av andra staters spionage mot . Sådant underrättelsearbete skapar underlag för olika typer av åtgärder mot andra staters säkerhets- hotande underrättelseverksamhet och är en del av försvar. Spioneribrott utövas ofta av två aktörer i förening. Den ena är en underrättelseofficer som tillhör en utländsk underrättelsetjänst. Den andra är spionen som t.ex. kan ha tillgång till information och miljöer där information kan inhämtas på uppdrag av underrättelse- officeren. Underrättelseofficerare arbetar långsiktigt med att leta efter lämpliga mål, att närma sig och odla kontakter med personer som har information om målet, för att i senare skeden eventuellt kunna rekrytera dem som spioner och handleda dem. Andra stater söker alltså fortlöpande efter lämpliga personer att rekrytera. Själva processen fram till värvningstillfället kan ta och i vissa fall . I den efterföljande handledningsfasen kan den vär- vade personen handledas så länge han eller hon har tillgång eller kan få tillgång till den information som den andra statens under- rättelsetjänst är intresserad av. Det kan pågå . En underrättelseofficer är däremot som regel bara stationerad i och förflyttas sedan till ett annat land. Eftersom statione- ringstiden är begränsad måste värvning och handledning av spioner lämnas över mellan underrättelseofficerare. Säkerhetspolisen arbetar med två olika metoder för att identi- fiera spioner. En metod är att leta direkt efter dem. En annan är att kartlägga och följa utländska underrättelseofficerares aktiviteter för att kunna identifiera misstänkta spioner. Genom att underrättel- seofficerare lämnar handledningen vidare till sina efterträdare inne- bär byte av underrättelseofficerare en möjlighet för Säkerhetspoli- sen att kunna identifiera misstänkta spioner. Det är emellertid svårt, eftersom underrättelseofficerare är tränade i att undvika värd- landets säkerhetstjänst. Det innebär att iakttagelser som görs be- träffande en underrättelseofficer kanske inte byggs på med nya Säkerhetspolisens behandling av personuppgifter iakttagelser förrän efter flera byten på posten. behöver informationen från kartläggningen behållas. Andra staters underrättelseverksamhet i bygger således på långsiktigt arbete. En anledning till det är att det är relativt svårt att värva spioner. Alla stater strävar därför efter att använda dem . Spioneri är oftast en livslång sysselsättning. Det finns också exempel både i och utomlands på att spioner rekryterar sina barn som spioner. Säkerhetspolisens kontraspiona- geverksamhet måste därför anpassas till det långsiktiga tidsper- spektivet. Oavsett vilken metod Säkerhetspolisen använder kräver kontra- spionage lagring av information . Exempelvis an- vänder Säkerhetspolisen regelmässigt uppgifter som inhäm- tades . Erfarenheter från både och andra länder visar att det ofta tar mycket innan en spion av- slöjas. Spionerna och kan nämnas som exempel på det. Nuvarande bestämmelser är inte ändamålsenliga Säkerhetspolisen har möjlighet att behandla personuppgifter i sin brottsbekämpande verksamhet . Enligt 6 kap. 12 § första stycket polisdatalagen ska personuppgifter som gjorts gemensamt tillgängliga gallras senast efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Om det finns särskilda skäl får Säkerhetspolisen dock be- sluta att personuppgifter får bevaras längre, om uppgifterna fortfa- rande behövs för det ändamål för vilket de behandlas. Säkerhetspo- lisen kan således under vissa förutsättningar besluta att förlänga gallringsfristen för personuppgifter inom kontraspionaget . Säkerhetspolisen förlänger regelmässigt gallringsfristen för per- sonuppgifter i kontraspionaget. Från till fattades enligt Säkerhetspolisen drygt 400 enskilda beslut om att förlänga gallringsfristen för personuppgifter som behandlas inom kontraspionaget. Det rör sig således om fler än tusen enskilda förlängningsbeslut . Hanteringen medför om- fattande administrativt arbete för personal med särskild sakkunskap Säkerhetspolisens behandling av personuppgifter på området, eftersom lagstiftningen kräver att det fattas beslut om bevarande i varje enskilt fall. Det finns risk för att personuppgifter, som borde bevaras, tas bort på grund av att Säkerhetspolisen i vissa fall måste prioritera operativa insatser före förlängningsbeslut. Inom kontraspionaget är det dessutom ofta svårt att för beslut om förläng- ning veta exakt vilka uppgifter som kommer att behövas i fram- tiden. Förlängning av fristen kan inte beslutas retroaktivt. Säker- hetspolisen har uppgett att myndigheten i ett flertal fall har gallrat personuppgifter där det i efterhand har visat sig att informationen varit relevant och därför borde ha behandlats längre. Uppgifter inom kontraspionaget ska få behandlas längre Enligt utredningens mening finns det på grund av kontraspionagets särdrag behov av att behandla personuppgifter hänförliga till sådan verksamhet under betydligt än huvudregeln i polisdata- lagen medger. Säkerhetspolisen har visserligen möjlighet att genom särskilda beslut förlänga tiden för behandling. Det är emellertid inte rimligt att lägga betydande resurser på att regelbundet fatta beslut om sådan förlängning när det ofta på förhand kan förutses att förlängning av fristen är nödvändig. Risken att uppgifter gallras på grund av tidsbrist eller felaktiga beslut bör också vägas in. Mot den bakgrunden anser utredningen att Säkerhetspolisen bör få behandla personuppgifter hänförliga till området kontraspionage än vad som är tillåtet . Det gäller framför allt uppgifter där grunden för registreringen är att personen är en miss- tänkt utländsk underrättelseofficer och hans eller hennes närmaste anhöriga. Det gäller också uppgifter om misstänkta spioner och deras närmaste anhöriga och händelser kopplade till dessa personer. Om sådana personuppgifter får behandlas skulle det ge Säkerhetspolisen större möjligheter att inte bara identifiera misstänkta spioner och underrättelseofficerare, utan också att av- föra eventuella felaktiga misstankar. På så sätt kan en förlängd tids- frist i det här fallet också till viss del stärka integritetsskyddet. Frågan är hur tidsfristen för behandling av aktuella uppgifter bör bestämmas. Från integritetssynpunkt är det viktigt att person- uppgifter inte behandlas för . Säkerhetspolisens behandling av personuppgifter stämmas på ett sätt som är ändamålsenligt och tillgodoser de behov som finns. Försvarssekretessen, som regleras i 15 kap. 2 § offentlighets- och sekretesslagen, gäller enligt 4 § offentlighets- och sekretess- förordningen (2009:641) om uppgifterna rör underrättelse- verksamheten inom underrättelse- och säkerhetstjänsten. Den svenska militära underrättelsetjänstens arbete och källor skyddas således och man skulle kunna argumentera för att Säkerhetspolisens uppgifter som rör kontraspionage borde kunna behandlas . En annan möjlighet är att utgå från hur länge sekretess gäller för uppgifter i brottsbekämpande verksamhet, vil- ket är . En så lång tidsfrist som någon av de nu nämnda skulle dock innebära betydligt större integritetsintrång än , eftersom det inte är sannolikt att Säkerhetspolisen fattar förlängningsbeslut för hela . Enligt utredningens mening kan verksamhets- behoven tillgodoses med en kortare tidsfrist. Erfarenheterna har visat att spioneri under 30–inte är ovanligt. Med beaktande av det anser utredningen att fristen för hur länge personuppgifter i kontraspionageverksamheten ska få be- handlas inte bör vara kortare än . Behandlingen av personupp- gifterna kan då fortgå som motsvarar en spions yrkes- verksamma liv. Med hänsyn till att det är fråga om mycket allvarliga brott anser utredningen att den föreslagna tidsfristen är en rimlig avvägning mellan samhällsintressena och enskildas integritet. I av- snitt 14.13.7 föreslår utredningen att Säkerhetspolisen även fort- sättningsvis ska kunna fatta beslut om att i enskilda fall förlänga fristen för behandling av uppgifter. Det bör alltså i den nya lagen tas in en bestämmelse som före- skriver att personuppgifter som hänför sig till sådan säkerhetsho- tande verksamhet som avses i 18 och 19 kap. som utövas av främmande makt inte får behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brott eller brottslig verksamhet. Utredningen återkommer till det i avsnitt 14.3.7. Undantag bör göras för uppgifter som behandlas i en uppgiftssamling för bearbet- ning och analys. För sådana uppgifter bör tidsfristen gälla (se avsnitt 14.13.4). Säkerhetspolisens behandling av personuppgifter 14.13.6 Ärenden om utredning av eller lagföring för brott Utredningens förslag: Bestämmelser om begränsningar i möj- ligheten att behandla gemensamt tillgängliga uppgifter i brotts- anmälningar, avslutade förundersökningar och andra liknande utredningar ska tas in i den nya lagen. Det ska framgå av be- stämmelserna att de endast begränsar behandling för ändamål inom lagens tillämpningsområde. Skälen för utredningens förslag I 3 kap. 10–12 §§ polisdatalagen regleras hur länge personuppgifter som har gjorts gemensamt tillgängliga i ärenden om utredning av eller lagföring för brott längst får behandlas automatiserat i den brottsbekämpande verksamheten. Där föreskrivs bl.a. att om en brottsanmälan avskrivs på grund av att den påstådda gärningen inte utgör brott, får personuppgifterna i anmälan inte längre behandlas i den brottsbekämpande verksamheten. När det gäller förundersök- ningar och andra liknande utredningar föreskrivs att personupp- gifter inte får behandlas i den brottsbekämpande verksamheten när det har förflutit efter utgången av det kalenderår då en dom, eller ett beslut med anledning av domstolsprövning, vann laga kraft eller förflutit från utgången av det kalenderår då för- undersökningen lades ned eller avslutades på annat sätt.