sou · H6B363 · 2018-08-09 00:00:00 — Efter- som försvarsunderrättelseverksamheten måste vara hemlig är det inte lämpligt att myndigheten exponerar sig eller sina uppdrags- givares underrättelsebehov genom att själv göra sökningar i dessa databaser. I stället måste databaserna anskaffas och läggas upp som referensdatabaser hos myndigheten där den kan göra sökningar. Ett syfte med att behandla personuppgifter i referensdatabaser kan vara att kunna skaffa ytterligare kunskap om förhållanden av relevans för fullföljandet av en inriktning, t.ex. telefonnummer, adresser, geografisk hemvist etc. Ett annat syfte kan vara att kunna identifiera vem som använder en adressuppgift av intresse, t.ex. telefonnummer som förekommer i den inhämtade informationen. Det är inte bara i försvarsunderrättelseverksamheten som det finns ett behov av att behandla personuppgifter på det nu beskrivna sättet. Också den militära säkerhetstjänsten har behov av det. Behovet förekommer även när det gäller planering, förberedelse och genomförande av verksamhet som avser försvar och säker- het eller internationellt försvars- och säkerhetssamarbete. Antalet personuppgifter i myndighetens referensdatabaser kan bli mycket stort. Även om uppgifterna är allmänt tillgängliga innebär ett stort antal en form av integritetsintrång. De föreslagna ändamåls- bestämmelserna kan visserligen sägas täcka den nu beskrivna behand- lingen av personuppgifter. I klarhetens intresse bör behandlingen dock få ett tydligt stöd i lagen. I lagen bör därför införas en föreskrift om att personuppgifter som utgörs av allmänt tillgänglig informa- tion får behandlas av Försvarsmakten om det är nödvändigt för pla- nering, förberedelse och genomförande av verksamhet som avser försvar och säkerhet eller internationellt försvars- och säker- hetssamarbete, försvarsunderrättelseverksamheten eller den militära säkerhetstjänsten. 6.3.5Övriga rättsliga grunder för behandlingen av personuppgifter vid Försvarsmakten Utredningens förslag: Personuppgifter får även behandlas av Försvarsmakten om det är nödvändigt för diarieföring, arkiver- ing, handläggning av ett ärende eller för att utföra en annan lik- nande uppgift som åligger myndigheten. Skäl för utredningens förslag: Försvarsmakten har elektroniska ärendehanteringssystem i vilka personuppgifter är sökbara enligt särskilda kriterier och behörigheter. Diarieföringen vid Försvars- makten avser handlingar som rör försvar och säkerhet. Det samma gäller de arkiverade handlingarna. Ärendehandläggningen vid myndigheten kan avse skadeståndsärenden, tillträdesärenden (ansökan från annan stat om att få tillträde till svenskt territorium), ärenden inom Försvarsmaktens tillsyns- och inspektionsverksamhet, ärenden då Försvarsmakten ansöker om miljötillstånd, ärenden enligt för- fogandelagstiftningen, ärenden om kvalificerade skyddsidentiteter och ärenden om utlämnande av allmän handling. som liknar ärendehandläggning och som åligger myndigheten kan vara att besvara frågor rörande försvar eller att kommu- nicera med anställda eller värnpliktiga i frågor som rör deras tjänst. Det kan också gälla utvärdering av den egna verksamheten såsom tidredovisning, lönesättning och sjuktal. Utredningen anser att den behandling av personuppgifter som uppkommer i de nu beskrivna verksamheterna bör omfattas av den nya lagen. 6.3.6Försvarsunderrättelseverksamhet som rättslig grund för behandling av personuppgifter vid Utredningens förslag: Personuppgifter får behandlas i Försvarets radioanstalts försvarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet och lagen (2008:717) om signal- spaning i försvarsunderrättelseverksamhet. De personuppgifter som har fått till- gång till i sin försvarsunderrättelseverksamhet får fortsatt behand- las i den verksamheten, om det behövs för att fullgöra den. Detta gäller dock endast om inget annat följer av den före- slagna lagen om behandling av personuppgifter vid Försvarets radio- anstalt eller förordning som regeringen har meddelat i anslutning till den lagen. Personuppgifter som behandlas i försvarsunderrättelseverk- samheten får även behandlas om det är nödvändigt för att till- handahålla information som behövs 1.i verksamhet hos berörda myndigheter som avses i 2 § lagen (2000:130) om försvarsunderrättelseverksamhet. 2.med anledning av samarbete med andra länder och inter- nationella organisationer enligt lagen (2000:130) om försvars- underrättelseverksamhet och lagen (2008:717) om signalspa- ning i försvarsunderrättelseverksamhet. 3.i utvecklingsverksamheten för de ändamål som anges för den verksamheten, 4.i informationssäkerhetsverksamheten för de ändamål som anges för den verksamheten, eller 5.för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. Skäl för utredningens förslag: I FRA-PuL föreskrivs i 1 kap. 8 § första stycket att personuppgifter får behandlas i Försvarets radio- anstalts försvarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om för- svarsunderrättelseverksamhet. Enligt den lagen ska försvarsunder- rättelseverksamhet bedrivas till stöd för svensk utrikes-, säkerhets- och försvarspolitik samt i övrigt för kartläggning av yttre hot mot landet. Det anges vidare att i verksamheten ingår att medverka i svenskt deltagande i internationellt säkerhetssamarbete och att försvarsunder- rättelseverksamheten endast får avse utländska förhållanden. I 1 § andra stycket lagen om signalspaning i försvarsunderrättelsetjänst anges att signalspaning får ske endast för att kartlägga 1.yttre militära hot mot landet, 2.förutsättningar för svenskt deltagande i fredsfrämjande och humanitära insatser eller hot mot säkerheten för svenska intres- sen vid genomförande av sådana insatser, 3.strategiska förhållanden avseende internationell terrorism och annan grov gränsöverskridande brottslighet som kan hota väsent- liga nationella intressen 4.utveckling och spridning av massförstörelsevapen, krigsmateriel, och produkter som avses i lagen (200:1064) om kontroll av pro- dukter med dubbla användningsområden och av tekniskt bistånd, 5.allvarliga yttre hot mot samhällets infrastruktur, 6.konflikter utomlands med konsekvenser för internationell säkerhet, 7.främmande underrättelseverksamhet mot svenska intressen, eller 8.främmande makts agerande eller avsikter av väsentlig betydelse för svensk utrikes-, säkerhets- och försvarspolitik. Enligt lagen om försvarsunderrättelseverksamhet ska regeringen bestämma försvarsunderrättelseverksamhetens inriktning och inom ramen för denna inriktning får de myndigheter som regeringen bestämmer ange en närmare inriktning av verksamheten. Regeringen brukar bestämma detta i inriktningsbeslutet. För Försvarets radio- anstalt anges kretsen av uppdragsgivare, såvitt gäller signalspaning, i 4 § första stycket lagen om signalspaning i försvarsunderrättelse- verksamhet. Enligt den bestämmelsen får inriktning av signalspaning endast anges av regeringen, , Försvarsmakten, Säker- hetspolisen och Nationella operativa avdelningen i . Enligt 1 kap. 8 § andra stycket FRA-PuL får uppgifter om en per- son endast behandlas om personen har anknytning till en preciserad inriktning för försvarsunderrättelseverksamheten och behandlingen är nödvändig för att fullfölja den inriktningen. beslutar en preciserad inrikt- ning med produktionsplan som bl.a. utgör en prioritering av vad myndigheten anser sig kunna utföra av de behov som uppdrags- givarna genom sina inriktningar gett uttryck för. I FRA-PuL kom- mer detta till uttryck indirekt genom föreskriften i 1 kap. 8 § andra stycket om preciserad inriktning, som berörs närmare i det följande. I planen kan myndigheten göra de prioriteringar som den anser vara nödvändiga för att avgränsa verksamheten. Planen är också viktig för att uppfylla kravet att personuppgifter får behandlas bara för sär- skilda, uttryckligt angivna och berättigade ändamål. Utredningen återkommer till detta i avsnitt 6.4. Utredningen har i avsnitt 6.3.2 när det gäller Försvarsmaktens försvarsunderrättelseverksamhet kommit fram till att ändamålet för personuppgiftbehandlingen i den verksamheten bör beskrivas så att den ska vara nödvändig för att bedriva försvarsunderrättelseverk- samhet. Enligt utredningens mening bör den nuvarande ordningen med krav på anknytning till en preciserad inriktning inte behållas. De skäl och slutsatser som utredningen har fört fram när det gäller ändamålen för personuppgiftsbehandlingen i Försvarsmaktens för- svarsunderrättelseverksamhet gäller även personuppgiftsbehandlingen iFörsvarets radioanstalts försvarsunderrättelseverksamhet. Ända- målet för personuppgiftsbehandlingen i Försvarets radioanstalts för- svarsunderrättelseverksamhet bör således utformas i överensstäm- melse med det som utredningen föreslår för personuppgiftsbehand- lingen i Försvarsmaktens försvarsunderrättelseverksamhet. Beskrivningen bör också innehålla en hänvisning till lagen om signalspaning i försvarsunderrättelseverksamhet. Liksom för Försvarsmaktens del bör ändamålsbeskrivningen kom- pletteras i två avseenden som utredningen berör i det följande och i avsnitt 6.3.9. Även måste i sin försvarsunderrättelse- verksamhet behandla äldre information, inklusive personuppgifter, för att man ska kunna förstå och bedöma den underrättelsemässiga relevansen av sådant som sker . För tydlighetens skull anser utredningen att ändamålsbeskrivningen också för Försvarets radio- anstalt bör kompletteras med en föreskrift som innebär att de per- sonuppgifter som myndigheten har fått tillgång till i sin försvars- underrättelseverksamhet fortsatt får behandlas i den verksamheten, om det behövs för att fullgöra den. Detta bör dock endast gälla om inget annat följer av den före- slagna lagen om behandling av personuppgifter hos Försvarets radio- anstalt eller förordning som regeringen har meddelat i anslutning till den lagen. På samma sätt som för Försvarsmakten ges härmed ett tydligt stöd för behandling av uppgifter som behövs för att Försvarets radio- anstalt ska kunna uppfylla de krav som uppdragsgivarna ställer på snabbhet och flexibilitet i samband med internationella kriser och andra hastigt uppkomna händelser. Enligt 2 a § lagen om signalspaning i försvarsunderrättelseverk- samhet får inhämtning inte avse signaler mellan en avsändare och en mottagare som båda befinner sig i . Om sådana signaler inte kan avskiljas redan vid inhämtningen, ska upptagningen eller upp- teckningen förstöras så snart det står klart att sådana signaler har inhämtats. Om en sådan otillåten inhämtning ändå sker, måste upp- tagningen eller uppteckningen alltså förstöras. Ett annat fall där en upptagning eller uppteckning ska förstöras regleras i 7 § nämnda lag. Den bestämmelsen tar sikte på vissa i paragrafen angivna uppgifter som inte får behandlas vidare. Förstöringsåtgärderna i båda dessa fall kan innefatta behandling av personuppgifter. Genom att ändamåls- bestämmelsen hänvisar till verksamhet som anges i lagen om signal- spaning i försvarsunderrättelseverksamhet skapas en rättslig grund för sådan behandling av personuppgifter som är nödvändig för att avskilja personuppgifter som inte ska inhämtas eller behandlas vidare. Genom signalspaning kan en inhämtad upptagning eller upp- teckning innehålla olika personuppgifter. En del är av betydelse för verksamheten medan andra inte är det. Det är ofta inte praktiskt möjligt att separera uppgifter i samma upptagning. Att förstöra hela upptagningen skulle i många fall vara klart menligt för verksamheten och därmed för uppdragsgivarnas behov. Behåller man den innebär det att även de personuppgifter som saknar betydelse kommer att behandlas. Detta är en oundviklig följd om intresset att använda övriga uppgifter i upptagningen är starkt. Ett liknande resonemang fördes i prop. 2006/07:63 s. 108 och 109 i motiven till bestämmelsen om förstöring i 7 § den där föreslagna lagen om signalspaning i försvarsunderrättelseverksamhet. Där anför- des att det inte går att undvika att inhämtningen kommer att omfatta både relevant och irrelevant information, särskilt inte när inhämt- ningen förmedlas vid ett och samma kommunikationstillfälle. När det gäller uppgifter om fysiska personer omfattar den då föreslagna bestämmelsen om förstöring av upptagning eller uppteckning bara upptagningar som innehåller betydelselösa uppgifter. Det konsta- terades att bestämmelsen inte riktar sig mot upptagningar med både relevant och irrelevant information och att en sådan upptagning ju faktiskt – i vart fall till viss del – har betydelse för verksamheten och då inte ska förstöras. Det bör här nämnas att möjligheten att under- låta förstöring inte gäller de fall som anges i 7 § punkterna 2 och 3 dvs. uppgifter för vilka tystnadsplikt gäller enligt bestämmelser i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen och upp- gifter i sådana meddelanden mellan en person som är misstänkt för brott och dennes försvarare som skyddas av vissa bestämmelser i . I lagstiftningsärendet konstaterades vidare att pro- blemet med olika typer av uppgifter i en och samma upptagning inte kan lösas genom ett krav på att upptagningen eller uppteckningen ska redigeras så att endast betydelsefull information får kvarstå. En sådan ordning angavs ej vara genomförbar. Problemet fick enligt pro- positionen lösas genom en bestämmelse om att rapportering av under- rättelser som inhämtats genom signalspaning och som innefattar upp- gifter som berör fysisk person endast får avse förhållanden som är av betydelse för ändamålet med verksamheten såsom den formuleras i 1 § lagen om försvarsunderrättelseverksamhet. Utredningen kan konstatera att signalspaningslagstiftningen med det nu beskrivna synsättet kom till efter FRA-PuL Genom att ända- målsbestämmelsen hänvisar till verksamhet som anges i lagen om signalspaning i försvarsunderrättelseverksamhet får det beskrivna förfarandet ett rättsligt stöd. Vidarebehandling av personuppgifter för vissa andra ändamål än de ursprungliga, får göras med stöd av 1 kap. 6 § 4 p FRA-PuL. Bestäm- melsen ger möjlighet att fortsatt behandla insamlade uppgifter så länge personuppgifterna inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (finalitetsprincipen). Enligt utredningen mening är det en fördel från integritetsskydds- synpunkt att i görligaste mån precisera i vilka fall personuppgifts- behandling får ske för andra ändamål än det för vilket uppgifterna har samlats in. I förslaget till Säkerhetspolisens datalag förekommer en sådan reglering. Till en början vill utredningen peka på två andra verksamheter inom . Personuppgifter som behandlas i för- svarsunderrättelseverksamheten bör även få behandlas om det är nödvändigt för att tillhandahålla information som behövs i utveck- lingsverksamheten för de ändamål som gäller för den verksamheten. Den andra verksamheten är informationssäkerhetsverksamheten. Som framgår av avsnitt 3.3.6 är den nära knuten till vissa delar av försvarsunderrättelseverksamheten vilket ger unika möjligheterna till ökad säkerhet på it-området. Av den anledningen är det viktigt att personuppgifter som behandlas i försvarsunderrättelseverksam- heten också får behandlas i informationssäkerhetsverksamheten för de ändamål som anges för den verksamheten. I ytterligare tre fall är det aktuellt med behandling av person- uppgifter för andra ändamål än de ursprungliga. Ett av dem avser verksamhet hos berörda myndigheter enligt 2 § lagen om försvars- underrättelseverksamhet. Det andra fallet gäller samarbete med andra länder och internationella organisationer enligt lagen om försvars- underrättelseverksamhet och lagen om signalspaning i försvars- underrättelseverksamhet. Det tredje fallet avser biträde till andra myndigheter vid anskaffning av signalspaningssystem i den utsträck- ning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. Som nämnts i avsnitt 3.2 har regeringen i instruk- tionen för föreskrivit att radioanstalten ska biträda andra myndigheter vid värdering, utveckling, anskaffning och drift av signalspaningssystem Den föreslagna regleringen innebär således att personuppgifts- behandling för vissa ändamål uttryckligen regleras i lag i stället för att, som tidigare, hanteras i enlighet med finalitetsprincipen. Avsik- ten är att åstadkomma tydlighet i de nu nämnda fallen. Finalitets- principen gäller därutöver. 6.3.7Utvecklingsverksamhet som rättslig grund för behandling av personuppgifter hos Utredningens förslag: får i utvecklings- verksamheten behandla personuppgifter om det är nödvändigt för försvarsunderrättelseverksamheten för att 1.följa förändringar i signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, och 2.fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten. Personuppgifter som behandlas i denna utvecklingsverksamhet får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1.med anledning av samverkan med annan avseende utveck- lingsverksamhet, 2.med anledning av samarbete om utvecklingsverksamhet med ut- ländsk underrättelse- eller säkerhetstjänst enligt lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet, 3.i försvarsunderrättelseverksamheten för de ändamål som anges för den verksamheten. 4.i informationssäkerhetsverksamhet för de ändamål som anges för den verksamheten, eller 5.för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. Skäl för utredningens förslag: Som angetts i avsnitt 3.3.5 ska enligt myndighetens instruktion bedriva viss utvecklingsverksamhet och särskilt följa förändringen av signal- miljön i omvärlden, den tekniska utvecklingen och signalskyddet. Myndigheten ska också fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten enligt lagen om signal- spaning i försvarsunderrättelseverksamhet. Av 1 § tredje stycket den lagen framgår att signaler i elektronisk form får inhämtas vid signal- spaning för dessa syften. Myndigheten ska vidare utföra matema- tiska bedömningar av kryptosystem för totalförsvaret samt biträda andra myndigheter vid värdering, utveckling, anskaffning och drift av signalspaningssystem. När teknik utvecklas och när nya metoder för forcering av kryp- terad information arbetas fram används oftast autentiskt signal- spaningsmaterial för att man ska kunna vara säker på teknikens riktighet. Det autentiska materialet kan innehålla personuppgifter. Stöd för denna personuppgiftsbehandling finns i 1 kap. 9 § FRA- PuL. Där föreskrivs att personuppgifter får behandlas av om det är nödvändigt för att 1.följa förändringar av signalmiljön i omvärlden, den tekniska ut- vecklingen och signalskyddet, och 2.fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten. Motiven finns i prop. 2006/07:46 s. 67 f. Utredningen föreslår att motsvarande bestämmelse införs i den nya lagen. Vidarebehandling av personuppgifter för vissa andra ändamål än de ursprungliga, får, som nämnts i föregående avsnitt göras med stöd av 1 kap. 6 § 4 p FRA-PuL. Bestämmelsen ger möjlighet att fortsatt behandla insamlade uppgifter så länge personuppgifterna inte behand- las för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (finalitetsprincipen). Som utredningen har nämnt i avsnittet om radioanstaltens för- svarsunderrättelseverksamhet är det en fördel från integritetsskydds- synpunkt att i görligaste mån precisera i vilka fall personuppgifts- behandling får ske för andra ändamål än det för vilket uppgifterna har samlats in. En bestämmelse som avser ett sådant ändamål finns i 1 kap. 10 § FRA-PuL. Motiven finns i a. prop. Enligt bestäm- melsen får personuppgifter behandlas av om det är nödvändigt för att biträda andra myndigheter vid värdering, utveckling, anskaffning och drift av signalspaningssystem. Utred- ningen föreslår att en bestämmelse med denna innebörd tas in i den nya lagen. Den bör dock utformas så att den inte bara tar sikte på värdering, utveckling, anskaffning och drift av signalspaningssystem utan bör få en vidare innebörd. Vidare bör som villkor för biträde till andra myndigheter anges att det kan ges i den utsträckning det följer av lag eller förordning eller regeringsbeslut i ett enskilt fall. Utredningen föreslår i det följande vissa ytterligare föreskrifter som avser i vilken utsträckning personuppgifter som behandlas för något av ändamålen i utvecklingsverksamheten även ska få behandlas i annan verksamhet inom den egna myndigheten för den verksam- hetens behov eller för att lämnas ut till annan för att tillgodose dennes behov. Som beskrivits i avsnitt 3.3.5 är den information som strävar efter att finna och rapportera, i syfte att tillg- odose uttryckta underrättelsebehov, ofta konfidentiell och således skyddsvärd för den källa som hanterar informationen. Informa- tionen är därför ofta försedd med någon form av åtkomstskydd för att förhindra obehörig åtkomst. För att framgångsrikt kunna bedriva försvarsunderrättelseverksamhet krävs därför aktuell och ingående kunskap dels om hur signaler förmedlas och hanteras i elektronisk form, dels om de mekanismer som används för att skydda infor- mationen. Personuppgifter som behandlas i Försvarets radioanstalts utvecklingsverksamhet bör därför även få behandlas om det är nöd- vändigt för att tillhandahålla information som behövs i samverkan med annan avseende utvecklingsverksamhet eller med anledning av samarbete om utvecklingsverksamhet med utländsk underrättelse- eller säkerhetstjänst enligt lagen om signalspaning i försvarsunder- rättelseverksamhet. Eftersom utvecklingsverksamheten syftar till att främja försvars- underrättelseverksamheten är det inte oförenligt med det ändamål för vilka uppgifterna samlas in att uppgifterna också behandlas i för att tillhandahålla information som behövs i försvarsunderrättelse- verksamheten. Detta bör komma till uttryck i lagen. Utvecklingsverksamheten har också betydelse för Försvarets radio- anstalts informationssäkerhetsverksamhet. Även i detta fall är det inte oförenligt med det ändamål för vilket uppgifterna samlats in att de också behandlas för att tillhandahålla information i den verksam- heten. Detta bör komma till uttryck i lagen. Den föreslagna regleringen innebär således att personuppgifts- behandling för vissa ändamål uttryckligen regleras i lag, i stället för att, som tidigare, hanteras i enlighet med finalitetsprincipen. Avsik- ten är att åstadkomma tydlighet i de nu nämnda fallen. Finalitets- principen gäller därutöver. 6.3.8Informationssäkerhetsverksamhet som rättslig grund för behandling av personuppgifter hos Utredningens förslag: Personuppgifter får behandlas i Försvarets radioanstalts informationssäkerhetsverksamhet om det är nöd- vändigt för att kunna skydda den egna myndigheten eller för att kunna stödja andra verksamheter som är av betydelse för säkerhet. Uppgiften att lämna stöd till andra verksamheter ska följa av lag eller förordning eller regeringsbeslut i ett enskilt fall. Personuppgifter som får behandlas enligt detta ändamål får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1.i verksamhet hos den som tar emot uppgifter om informa- tionssäkerhet, 2.med anledning av samverkan med andra som verkar på infor- mationssäkerhetsområdet såväl inom som utom landet i den utsträckning det följer av lag eller förordning eller om reger- ingen i ett enskilt fall beslutar om det, 3.i försvarsunderrättelseverksamheten när det gäller att kart- lägga allvarliga yttre hot mot samhällets infrastruktur och främmande underrättelseverksamhet, eller 4.i utvecklingsverksamheten för de ändamål som anges för den verksamheten. Skäl för utredningens förslag: Av 4 § förordningen med instruk- tion för framgår att