sou · H6B363 · 2018-08-09 00:00:00 — Försvarsmaktens uppgift att bedriva sådan verksamhet ska framgå av lag, förordning eller ett sär- skilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. I 2 § och 3 a § förordningen med instruktion för Försvars- makten ges Försvarsmakten uppdrag av detta slag. En närmare beskriv- ning av Försvarsmaktens internationella samarbeten finns i avsnitt 3.1. Här ska endast konstateras att det inom dessa samarbeten behandlas uppgifter som kan avse andra personer än de som ingår eller kan komma att ingå i krigsorganisationen. Sådan behandling omfattas av bestämmelsen. 6.3.2Försvarsunderrättelseverksamhet som rättslig grund för behandling av personuppgifter hos Försvarsmakten Utredningens förslag: Personuppgifter får behandlas i Försvars- maktens försvarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet. De personuppgifter som Försvarsmakten har fått tillgång i myndighetens försvarsunderrättelseverksamhet får fortsatt behand- las i den verksamheten, om det behövs för att fullfölja den. Detta gäller dock endast om inget annat följer av den före- slagna lagen om behandling av personuppgifter hos Försvarsmakten eller förordning som regeringen har meddelat i anslutning till den lagen. Skäl för utredningens förslag: Av 1 kap. 8 § första stycket FM-PuL framgår att personuppgifter får behandlas i Försvarsmaktens för- svarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunder- rättelseverksamhet. Enligt nämnda lag ska försvarsunderrättelseverk- samhet bedrivas till stöd för svensk utrikes-, säkerhets- och för- svarspolitik samt i övrigt för kartläggning av yttre hot mot landet. Det anges vidare att i verksamheten ingår att medverka i svenskt del- tagande i internationellt säkerhetssamarbete och att försvarsunder- rättelseverksamheten endast får avse utländska förhållanden. Enligt lagen ska regeringen bestämma försvarsunderrättelseverksamhetens inriktning och inom ramen för denna inriktning får de myndigheter som regeringen bestämmer ange en närmare inriktning av verksam- heten. Regeringen brukar bestämma detta i ett årligt inriktnings- beslut. Verksamheten ska fullgöras genom inhämtning, bearbetning och analys av information. Underrättelser ska rapporteras till berörda myndigheter. Försvarsmakten beslutar en inhämtandeplan som bl.a. utgör en prioritering av vad myndigheten anser sig kunna utföra av de behov som uppdragsgivarna genom sina inriktningar har angett. I FM-PuL kommer detta till uttryck indirekt genom föreskriften i 1 kap. 8 § andra stycket om preciserad inriktning, som berörs närmare i det följande. I planen kan myndigheten göra de prioriteringar som den anser vara nödvändiga för att avgränsa verksamheten. Planen är också viktig för att uppfylla kravet att personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål. Ut- redningen återkommer till detta i avsnitt 6.4. Regeringens inriktning och de närmare inriktningarna anger beho- ven av underrättelser, dvs. vilken information som efterfrågas. Hur detta ska uppnås avgörs av den som utför uppgiften. För Försvars- maktens del är inhämtandeplanen ett instrument för detta. Som anför i boken att gissa rätt är underrättelse- behoven i sig ingen styrfunktion utan det är först när behoven omsätts i planering som de kan resultera i det konkreta arbete som under- rättelseprocessen förutsätter.1 1Agrell, , Konsten att gissa rätt, underrättelsevetenskapens grunder, Studentlittera- tur, 1998. Som regeringen anför i den proposition som ligger till grund för nuvarande reglering av behandlingen av personuppgifter i Försvars- maktens försvarsunderrättelseverksamhet är ändamålet för behand- lingen att myndigheten ska kunna fullfölja de uppgifter som åligger myndigheten enligt lagen om försvarsunderrättelseverksamhet och den därtill hörande förordningen (prop. 2006/07:46 s. 64). Reger- ingen förklarade att det inte är möjligt att i lagtext närmare precisera de ändamål för vilka personuppgifter får behandlas i försvarsunder- rättelseverksamheten (se a. prop. s. 65). Det kan här tilläggas att det i den senare tillkomna lagen om signalspaning i försvarsunderrättelse- verksamhet anges åtta olika syften för signalspaningen (1 § andra stycket). Enligt 1 kap. 8 § andra stycket FM-PuL får uppgifter om en per- son endast behandlas om personen har anknytning till en preciserad inriktning för försvarsunderrättelseverksamheten och behandlingen är nödvändig för att fullfölja den inriktningen. Vad som menas med preciserad inriktning anges inte i lagen utan har i praxis ansetts vara den nämnda inhämtandeplanen. I tillämpningen har fråga uppkommit om bestämmelsen om anknytning till preciserad inriktning innebär att varje personuppgift som behandlas i försvarsunderrättelseverksamheten måste hänföras direkt till regeringens gällande inriktning. Ett annat synsätt är att uppfattningen om anknytningens betydelse i sammanhanget inte bör drivas så långt. I stället räcker det att den indirekt berörs av den preciserade inriktningen på så sätt att behand- lingen av personuppgiften behövs för att fullfölja det som följer av regeringens och andra uppdragsgivares inriktning. Den osäkerhet som kan finnas när det gäller innebörden av anknytningen till pre- ciserad inriktning befrämjar enligt utredningens mening inte en effek- tiv underrättelseverksamhet. Utredningen anser därtill att kravet på anknytning till en preciserad inriktning kan ifrågasättas. Inriktningarna och planeringen utgör avgränsningar av behandlingen av person- uppgifter på så sätt att de anger underrättelsebehoven. Men med led- ning av inriktningarna och planeringen kan man inte i detalj avgöra vilken personuppgiftsbehandling som kan vara och bli nödvändig. I underrättelseverksamhetens natur ligger nämligen att det inte går att på förhand göra tydliga avgränsningar av vilka uppgifter som måste inhämtas för att nå det slutliga målet att åstadkomma de underrättelser som uppdragsgivarna efterfrågar. Inhämtad informa- tion kan motivera inhämtning av annan information som man från början inte kände till. Det kan också uppkomma behov av att värdera trovärdigheten hos källor, som man heller inte kände till från början. Särskilt tydligt blir det nu sagda när verksamheten till stora delar går ut på att leta efter företeelser och hot som är okända men som man antar existerar. I sammanhanget vill utredningen också peka på följande för- hållanden. Försvarsunderrättelseverksamhet är huvudsakligen fram- åtsyftande. Den kartlägger företeelser i syfte att kunna förvarna om bl.a. avsikter, aktiviteter och hot till stöd för de inriktande myn- digheternas egna verksamheter. Kartläggningar avser bl.a. skeenden, organisationer och aktörer av betydelse för förståelsen för den om- världsutveckling som inriktningarna adresserar. För att kunna förstå ett skeende eller en aktörs agerande behöver det observerade emeller- tid ofta sättas in i ett kontextuellt och historiskt sammanhang. Först därefter kan bedömningar om det observerades underrättelserele- vans göras. Det som observeras behöver således jämföras med tidigare observationer. För vissa företeelser behöver sådana jämfö- relser kunna göras med observationer som gjordes långt tillbaka i tiden, inte sällan 10–. Vedertagna begrepp i samman- hanget är normalbild respektive avvikelse från normalbild. Av detta följer att underrättelseverksamhet alltid måste behandla äldre infor- mation, inklusive personuppgifter, för att man ska kunna förstå och bedöma den underrättelsemässiga relevansen av sådant som sker . Det som har sagts visar enligt utredningens mening att under- rättelseverksamhet som bedrivs enligt lagen om försvarsunderrät- telseverksamhet måste kunna avse förhållanden som inte alltid direkt kan hänföras till regeringens gällande inriktning så länge dessa förhållanden har betydelse för fullföljandet av det uppdrag som inriktningen innebär. Därmed måste det också vara möjligt att behandla personuppgifter som rör dessa förhållanden. Detta kommer till uttryck i den föreslagna regleringen på så sätt att personuppgifter får behandlas i Försvarsmaktens försvarsunderrät- telseverksamhet om det är nödvändigt för att bedriva den verksam- het som anges i lagen om försvarsunderrättelseverksamhet. Enligt utredningen får detta anses vara en tillräcklig ändamålsbeskrivning som dock i förtydligande syfte bör kompletteras i två avseenden till vilka utredningen återkommer i det följande och avsnitt 6.3.4. Utred- ningen anser således att den nuvarande ordningen med kravet på anknytning till en preciserad inriktning inte bör behållas. Genom den föreslagna regleringen av ändamålen med person- uppgiftsbehandlingen i försvarsunderrättelseverksamheten kommer, som utredningen nämnde, behandlingen kunna avse förhållan- den som inte alltid direkt kan hänföras till regeringens gällande inriktning så länge dessa förhållanden har bety- delse för fullföljandet av det försvarsunderrättelseuppdrag som följer av inriktningen. Som ovan anförts måste en underrättelseverksamhet behandla äldre information, inklusive personuppgifter, för att man ska kunna förstå och bedöma den underrättelsemässiga relevansen av sådant som sker . För tydlighetens skull anser utredningen att ända- målsbeskrivningen bör kompletteras med en föreskrift som innebär att de personuppgifter som Försvarsmakten har fått tillgång till i sin försvarsunderrättelseverksamhet fortsatt får behandlas i den verk- samheten, om det behövs för att fullgöra den. Detta bör dock endast gälla om inget annat följer av den före- slagna lagen om behandling av personuppgifter vid Försvarsmakten eller förordning som regeringen har meddelat i anslutning till den lagen. Den föreslagna föreskriften ger också ett stöd för behandling av uppgifter som behövs för att Försvarsmakten ska kunna uppfylla de krav som uppdragsgivarna ställer på snabbhet och flexibilitet i samband med internationella kriser och andra hastigt uppkomna händelser. 6.3.3Militär säkerhetstjänst som rättslig grund för behandling av personuppgifter hos Försvarsmakten Utredningens förslag: Personuppgifter får behandlas i Försvars- maktens militära säkerhetstjänst för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvars- makten och dess säkerhetsintressen, om det är nödvändigt för att 1.klarlägga verksamhet som innefattar hot mot säker- het, eller 2.vidta åtgärder som hindrar eller försvårar säkerhetshotande verksamhet. Uppgifter om en person får behandlas för de angivna ändamålen endast om 1.uppgifterna är nödvändiga för att kartlägga verksamhet som innefattar brott som kan hota säkerhet eller terrorist- brott enligt 2 § lagen (2003:148) om straff för terroristbrott eller motsvarande brottslighet enligt tidigare lagstiftning, 2.uppgifterna är nödvändiga för att kartlägga underrättelseverk- samhet riktad mot Försvarsmakten och dess säkerhets- intressen, 3.uppgifterna är nödvändiga för att kartlägga annan säkerhets- hotande verksamhet än som avses i 1 och som innefattar brott eller åsidosättande av åligganden i anställning hos Försvars- makten, och det finns särskilda skäl till att uppgiften ska be- handlas, 4.personen har lämnat uppgifter om säkerhetshotande verk- samhet och personuppgifterna är nödvändiga för att bedöma personens trovärdighet, 5.uppgifterna avser information som har framkommit i samband med säkerhetsprövning enligt säkerhetsskyddslagen (1996:627) eller i annat fall är nödvändiga för att utföra en uppgift som rör säkerhetsskydd. Personuppgifter som behandlas enligt ovan ska förses med upp- lysning om på vilken av de angivna grunderna uppgiften behandlas. Om behandlingen av en personuppgift föranleds av något annat än antagande om att personen har utövat eller kommer att utöva brottslig verksamhet ska det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säkerhetshotande verksamhet ska förses med en särskild upp- lysning om detta, om det inte på annat sätt klart framgår att sådant antagande inte finns. Personuppgifter som behandlas enligt punkterna 1–3 ska i före- kommande fall förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Trots vad som sägs ovan får personuppgifter som ingår i eller har uppkommit i samband med användning av totalförsvarets telekommunikations- och informationssystem behandlas för att förhindra obehörig insyn i och påverkan av dessa system. Det gäller även känsliga personuppgifter och personuppgifter där den som uppgifterna rör har offentliggjort dem eller lämnat sitt sam- tyckes. Behandling som särskilt syftar till att identifiera en person får dock endast utföras om bestämmelserna i punkterna 1, 2 eller 3 tillämpas. Skäl för utredningens förslag: Liksom konstaterats beträffande försvarsunderrättelseverksamheten definieras inte heller vad som avses med militär säkerhetstjänst i FM-PuL. Ledning får därför hämtas i säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633). Ändamålet med behandlingen av personuppgifter inom den militära säkerhetstjänsten är att tjänsten ska kunna fullgöra de uppgifter som följer av säkerhetsskyddslagen, den därtill hörande förordningen och förordningen med instruktion för Försvarsmakten. Regeringen föreslog därför i motiven till de nuvarande bestämmelserna, att personuppgifter ska få behandlas i den militära säkerhetstjänstens verksamhet med att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhets- intressen, om det är nödvändigt för att klarlägga verksamhet som innefattar hot mot rikets säkerhet. Denna säkerhetsverksamhet kallas säkerhetsunderrättelsetjänst. I samma syfte ska personuppgifter få behandlas, om det är nödvändigt för att vidta åtgärder som hindrar eller försvårar säkerhetshotande verksamhet. Då är det fråga om säkerhets- skyddstjänst. Även inom signalskyddstjänsten, som är en säkerhets- skyddsangelägenhet, kan arbete förekomma som avser att klarlägga säkerhetshotande verksamhet. Signalskyddstjänsten innefattar, liksom säkerhetsskyddstjänsten, åtgärder för att hindra eller försvåra säker- hetshotande verksamhet, varför den inte behöver regleras särskilt. I motiven till den nuvarande regleringen angavs även att det saknas behov av att i lagen ange de olika verksamhetsgrenarna inom den mili- tära säkerhetstjänsten (prop. 2006/07:46 s. 65 f.). Den militära säkerhetstjänsten är en grundläggande verksamhet för försvar och nationell säkerhet omfattas därmed inte av unionsrätten. Enligt utredningens mening bör personuppgiftsbehand- lingen såvitt avser denna verksamhet även fortsatt regleras särskilt och omfattas av den föreslagna särlagstiftningen. Som framgår av avsnitt 5.1.2 får personuppgifter behandlas i Försvarsmaktens militära säkerhetstjänst för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvars- makten och dess säkerhetsintressen, om det är nödvändigt för att klarlägga verksamhet som innefattar hot mot rikets säkerhet, eller vidta åtgärder som hindrar eller försvårar säkerhetshotande verk- samhet (1 kap. 9 § FM-PuL). Utredningen anser att den bestämmel- sen bör föras in i den nya lagen. Utredningen föreslår att de närmare bestämmelserna som anger villkoren för personuppgiftsbehandlingen utformas på samma sätt i den nya lagen som i den nuvarande med de ändringar som framgår av det följande. Enligt första och andra punkterna får uppgifter behandlas för att kartlägga verksamhet som innefattar brott som kan hota rikets säkerhet eller terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott eller motsvarande brottslighet enligt tidigare lagstift- ning eller om uppgifterna är nödvändiga för att kartlägga underrät- telseverksamhet riktad mot Försvarsmakten och dess säkerhets- intressen. Genom uttrycket ”kartlägga” blir bestämmelserna även tillämpliga på uppgifter om sådana personer som kan betraktas som sekundära i förhållande till den som utgör hotet eller utövar under- rättelseverksamheten men som ändå är av betydelse för att klarlägga verksamhet som innefattar hot mot säkerhet. Enligt tredje punkten får uppgifter behandlas för de angivna ända- målen om uppgifterna är nödvändiga för att kartlägga annan säkerhets- hotande verksamhet och som innefattar brott eller åsidosättande av åligganden i anställning hos Försvarsmakten, och det finns särskilda skäl till att uppgifterna behandlas. Även här blir det möjligt att behandla uppgifter om sådana personer som kan betraktas som sekundära i förhållande till den som utövar den säkerhetshotande verksamheten men som ändå är av betydelse för att klarlägga denna verksamhet. Kravet på särskilda skäl innebär att personuppgifter inte får behandlas vid en rent bagatellartad förseelse som inte ens om den upprepades eller sammantaget med annan verksamhet skulle för- anleda någon åtgärd. Någon ytterligare omständighet erfordras för att behandling ska få ske, t.ex. att det bedöms föreligga risk för upprepning eller att personen i fråga har en sådan position att upp- följning är nödvändig. Som en grundläggande förutsättning gäller att den säkerhetshotande verksamheten ska vara riktad mot Försvars- makten och dess säkerhetsintressen (prop. 2006/07:46 s. 70 f.). Enligt fjärde och femte punkterna får uppgifter behandlas för de angivna ändamålen om personen har lämnat uppgifter om säkerhets- hotande verksamhet och personuppgifterna är nödvändiga för att bedöma personens trovärdighet (fjärde punkten) eller om uppgif- terna har framkommit genom att någon genomgått en säkerhets- prövning enligt säkerhetsskyddslagen (femte punkten). Beträffande femte punkten gör utredningen följande övervägan- den i fråga om uttrycket ”säkerhetsprövning”. Försvarsmakten ska leda och bedriva militär säkerhetstjänst och måste för att uppfylla syftet med säkerhetsskyddslagen vidta vissa säkerhetsskyddsåtgärder. Dessa åtgärder benämns i säkerhetsskyddslagen informationssäkerhet, tillträdesbegränsning samt säkerhetsprövning. I bestämmelsen i femte punkten behöver således ”säkerhetsprövning” ersätta tidigare ut- trycken ”registerkontroll eller särskild personutredning”. Skälet är att säkerhetsprövning är ett vidare begrepp som innefattar mer än regi- sterkontroll eller särskild personutredning. Av 14 § säkerhetsskydds- förordningen framgår nämligen att säkerhetsprövningen grundas på 1.den personliga kännedom som finns om den som prövningen gäller, 2.uppgifter som framgår av betyg, intyg och referenser, samt om bestämmelserna om sådana åtgärder är tillämpliga 3.uppgifter som har kommit fram vid registerkontroll och särskild personutredning. Femte punkten bör således täcka in alla delar i en säkerhetsprövning enligt säkerhetsskyddslagen, vilket bör framgå direkt av författ- ningstexten.2 Av femte punkten bör även framgå att uppgifter om en person får behandlas för de angivna ändamålen om de i annat fall är nöd- vändiga för att utföra en uppgift som rör säkerhetsskydd. Exempel på sådana uppgifter är Försvarsmaktens tillträdeskontroll vid objekt, lokaler och områden där Försvarsmakten bedriver verksamhet som kräver säkerhetsskydd, behörighetshantering inom signalskydds- tjänsten, utbildning i säkerhetsskydd och kontroll av säkerhetsloggar. Enligt 1 kap. 10 § andra stycket FM-PuL ska uppgifter om en person som behandlas inom den militära säkerhetstjänsten förses med upplysning om på vilken av de angivna grunderna uppgiften behandlas. Om behandlingen av en personuppgift föranleds av något annat än antagande om att personen har utövat eller kommer att utöva brottslig verksamhet ska det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säker- hetshotande verksamhet ska förses med en särskild upplysning om detta, om det inte på annat sätt klart framgår att sådant antagande inte finns. Av 1 kap. 10 § tredje stycket FM-PuL framgår att uppgifter som om en person ska förses med en upplysning om på vilken av grund uppgiften behandlas. Uppgifter om en person som lämnat uppgifter om säkerhetshotande verksamhet ska förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. 2Se även prop. 1995/96:129 om säkerhetsskydd (s. 78) samt prop. 2006/07:46 s. 67, där det beskrivs att personuppgifter behandlas när någon varit föremål för säkerhetsprövning enligt säkerhetsskyddslagen. Motiven till bestämmelserna finns i prop. 2006/07:46 s. 70 f. och 122. Utredningen föreslår att bestämmelser som motsvarar 1 kap. 10 § andra och tredje styckena FM-PuL införs i den nya lagen. Enligt 1 kap. 11 § FM-PuL får, trots vad som krävs avseende rättslig grund för behandlingen enligt bestämmelserna ovan, per- sonuppgifter som ingår i eller har uppkommit i samband med använd- ning av totalförsvarets telekommunikations- och informations- system behandlas för att förhindra obehörig insyn i och påverkan av dessa system. Det gäller även känsliga personuppgifter och person- nummer. Behandling som särskilt syftar till att identifiera en person får dock endast utföras om någon av grunderna i punkterna 1, 2 eller 3 tillämpas. Enligt andra stycket samma bestämmelse ska Försvars- makten föra en förteckning över de behandlingar som särskilt syftar till att identifiera en person och de uppgifter som utgjort anled- ningen till behandlingen. Motiven till bestämmelsen finns i prop. 2006/07:46 s. 72 f. och 123). Utredningen föreslår att en motsvarande bestämmelse införs i den nya lagen. I 1 kap. 11 § andra stycket FM-PuL finns en bestämmelse om att Försvarsmakten ska föra en förteckning över sådana behandlingar, av vilken ska framgå vilken person som avsetts med behandlingen och de uppgifter som utgjort anledningen till behandlingen. En sådan förteckning för att möjliggöra kontroll i efterhand av grunden för att en behandling utförts i syfte att identifiera en person. Utred- ningen föreslår inte någon sådan bestämmelse i den nya lagen efter- som Försvarsmakten är skyldig att spara sådana uppgifter redan på grund av bestämmelserna om krav på rättslig grund, loggning m.m. Vidare har dataskyddsombudet till uppgift att föra förteckning över behandlingar. 6.3.4Rättsliga grunder för behandling vid Försvarsmakten av personuppgifter som utgör allmänt tillgänglig information Utredningens förslag: Personuppgifter som utgör allmänt till- gänglig information får behandlas av Försvarsmakten om det är nödvändigt för 1.planering, förberedelse och genomförande av verksamhet som rör försvar och säkerhet eller internationellt försvars- och säkerhetssamarbete, 3.den militära säkerhetstjänsten. Skäl för utredningens förslag: Som tidigare nämnts behöver Försvarsmakten för att kunna bedriva en effektiv försvarsunder- rättelseverksamhet utöver den information som den inhämtar genom hemliga metoder, också god tillgång till allmänt tillgänglig infor- mation. Därigenom kan den på hemligt sätt inhämtade informa- tionen på ett bättre sätt än eljest sättas in i sitt rätta sammanhang. Av intresse här är information som utgörs av personuppgifter som kan påträffas vid sökning på internet eller vid sökningar i öppna databaser. Uppgifterna kan vara gratis eller tillgängliga på kommer- siell grund. Gemensamt för dem är att de är publikt tillgängliga. Det kan röra sig om uppgifter som t.ex. en abonnent på ett eller annat sätt har samtyckt att uppgifterna finns med i elektroniska telefon- kataloger eller förteckningar över ip-adresser i olika länder.