sou · H6B363 · 2018-08-09 00:00:00 — Vilken förvaltningsdomstol som är behörig framgår av 14 § förordningen (1977:937) om allmänna förvaltningsdomstolars behörighet m.m. För prövning i kammarrätten krävs det enligt andra stycket prövnings- tillstånd. Av 6 kap. 8 § offentlighets- och sekretesslagen (2009:400) följer att beslut om sekretess överklagas till kammarrätt. Paragrafen upplyser om att beslut i frågor om sekretess överklagas direkt till kammarrätt som första överprövningsinstans. 8.2Förslaget till lag om behandling av personuppgifter vid 1 kap. Allmänna bestämmelser Syftet med denna lag är att säkerställa att kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. Bestämmelsen motsvarar 1 kap. 1 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Denna lag gäller vid behandling av personuppgifter i Försvarets radio- anstalts försvarsunderrättelse- och utvecklingsverksamhet samt informa- tionssäkerhetsverksamhet. Paragrafen reglerar, tillsammans med 3 §, lagens tillämpningsområde. Den behandlas i avsnitt 6.2.3. I paragrafen anges att lagen gäller vid Försvarets radioanstalts för- svarsunderrättelse- och utvecklingsverksamhet samt informations- säkerhetsverksamhet. Vad som är en personuppgift och behandling av personuppgifter definieras i 8 §. Omfattningen av Försvarets radioanstalts uppgifter, som framgår av 1–4 §§ förordningen (2007:937) med instruktion för , utvecklas närmare i avsnitt 3.2 och 6.2.3. Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelsen motsvarar 1 kap. 3 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Vid behandling av personuppgifter enligt denna lag gäller inte lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning. Paragrafen behandlas i avsnitt 6.2.4. Den upplyser om att lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning inte gäller när personuppgifter behandlas enligt lagen om behandling av personuppgifter vid . Förhållandet till annan reglering Bestämmelserna i denna lag ska inte tillämpas i den utsträckning det skulle inskränka skyldigheten enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter. Bestämmelsen motsvarar 1 kap. 5 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Personuppgiftsansvaret omfattar all behandling av personuppgifter som utförs under myndighetens ledning eller på dess vägnar. Bestämmelsen motsvarar 1 kap. 6 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. får vara gemensamt personuppgiftsansvarig med annan endast i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. Bestämmelsen motsvarar 1 kap. 7 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. I paragrafen, som behandlas i avsnitt 6.2.9, definieras vissa uttryck som används i lagen. Bestämmelsen motsvarar 1 kap. 8 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hän- visas till den bestämmelsen. 2 kap. Behandling av personuppgifter Personuppgifter får behandlas i Försvarets radioanstalts försvarsunder- rättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. Paragrafen behandlas i avsnitt 6.3.6. Paragrafen anger de ändamål för vilka personuppgifter får an- vändas i försvarsunderrättelseverksamheten genom en hänvisning till lagen (2000:130) om försvarsunderrättelseverksamhet och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. Enligt 1 § lagen om försvarsunderrättelseverksamhet ska för- svarsunderrättelseverksamhet bedrivas till stöd för svensk utrikes-, säkerhets- och försvarspolitik samt i övrigt för kartläggning av yttre hot mot landet. Det anges vidare att i verksamheten ingår att med- verka i svenskt deltagande i internationellt säkerhetssamarbete och att försvarsunderrättelseverksamheten endast får avse utländska för- hållanden. ska enligt 2 § förordningen (2008:923) om signalspaning i försvarsunderrättelsetjänst bedriva den verksam- het som avses i 1 § lagen om signalspaning i försvarsunderrättelse- verksamhet. Enligt andra stycket i den paragrafen får signalspaning i försvarsunderrättelseverksamhet ske endast i syfte att kartlägga 1.yttre militära hot mot landet, 2.förutsättningar för svenskt deltagande i fredsfrämjande och humanitära insatser eller hot mot säkerheten för svenska intressen vid genomförandet av sådana insatser, 3.strategiska förhållanden avseende internationell terrorism och annan grov gränsöverskridande brottslighet som kan hota väsentliga nationella intressen, 4.utveckling och spridning av massförstörelsevapen, krigsmateriel och produkter som avses i lagen (2000:1064) om kontroll av pro- dukter med dubbla användningsområden och av tekniskt bistånd, 5.allvarliga yttre hot mot samhällets infrastruktur, 6.konflikter utomlands med konsekvenser för internationell säkerhet, 7.främmande underrättelseverksamhet mot svenska intressen, eller 8.främmande makts agerande eller avsikter av väsentlig betydelse för svensk utrikes-, säkerhets- och försvarspolitik. Regeringen bestämmer försvarsunderrättelseverksamhetens inrikt- ning. Försvarsunderrättelseverksamheten ska identifiera och redovisa eller ge förvarning om sådana förändringar i omvärldsläget att detta kan ligga till grund för politiska beslut om totalförsvarets anpassning . I underrättelseverksamhetens natur ligger att det inte går att på förhand göra tydliga avgränsningar av vilka uppgifter som måste inhäm- tas för att nå det slutliga målet att åstadkomma de underrättelser som uppdragsgivarna efterfrågar. Inhämtad information kan motivera inhämtning av annan information som man från början inte kände till. Det kan också uppkomma behov av att värdera trovärdigheten hos källor, som man heller inte kände till från början. Verksamheten kan också gå ut på att leta efter företeelser och hot som är okända men som antas existera. De personuppgifter som har fått tillgång till i myndighetens försvarsunderrättelseverksamhet får fortsatt behandlas i den verksamheten, om det behövs för att fullgöra den. Vad som sägs i första stycket gäller endast om inget annat följer av denna lag eller förordning som regeringen har meddelat i anslutning till lagen. Paragrafen behandlas i avsnitt 6.3.6. Av paragrafens första stycke framgår att de personuppgifter som har fått tillgång till i myndighetens försvars- underrättelseverksamhet som huvudregel får fortsatt behandlas i den verksamheten om det behövs för att fullgöra den. Detta möjliggör för att i sin försvarsunderrättelseverksamhet behandla äldre information, inklusive personuppgifter, för att förstå och bedöma den underrättelsemässiga relevansen av den information som inhämtas. En förutsättning för behandlingen enligt bestämmelsen är att den inte strider mot någon annan bestämmelse i lagen eller tillhörande förordning. Detta tydliggörs i andra stycket. Personuppgifter som behandlas med stöd av 1 och 2 §§ får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1.i verksamhet hos berörda myndigheter som avses i 2 § första stycket lagen (2000:130) om försvarsunderrättelseverksamhet, 2.med anledning av samarbete med andra länder och internatio- nella organisationer enligt lagen (2000:130) om försvarsunderrättelse- verksamhet och lagen (2008:717) om signalspaning i försvarsunder- rättelseverksamhet, 3.i utvecklingsverksamheten för de ändamål som anges i 4 §, 4.i informationssäkerhetsverksamheten för de ändamål som anges i 6 §, eller 5.för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. Paragrafen behandlas i avsnitt 6.3.6. Paragrafen ger uttryckligt rättsligt stöd för vidarebehandling av inhämtad information på fem särskilt angivna områden. Behandling av personuppgifter på dessa områden har således genom denna bestämmelse uttryckligt rättsligt stöd (preciserad finalitet) utöver vad som framgår av den allmänt formulerade bestämmelsen i 2 kap. 11 § andra stycket (finalitetsprincipen). Om det är nödvändigt för försvarsunderrättelseverksamheten får För- svarets radioanstalt behandla personuppgifter för att 1.följa förändringar i signalmiljön i omvärlden, den tekniska utveck- lingen och signalskyddet, och 2.fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten. Paragrafen behandlas i avsnitt 6.3.7. Paragrafen anger de ändamål för vilka personuppgifter får behandlas hos i sådan utvecklingsverksamhet som bedrivs i syfte att skapa förutsättningar för försvarsunderrättelseverksamhe- ten. Motsvarande ändamål finns i 2 § tredje stycket lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. Personuppgifter som behandlas med stöd av 4 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1.med anledning av samverkan med annan avseende utvecklings- verksamhet, 2.med anledning av samarbete om utvecklingsverksamhet med andra länder eller internationella organisationer enligt lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet, 3.i försvarsunderrättelseverksamheten för de ändamål som anges i 1och 2 §§, 4.i informationssäkerhetsverksamhet för de ändamål som anges i 5.för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. Bestämmelsen behandlas i avsnitt 6.3.7. På samma sätt som 2 kap. 3 § innebär rättsligt stöd för vidare- behandling av uppgifter inom försvarsunderrättelseverksamheten, innebär denna bestämmelse rättsligt stöd för vidarebehandling av upp- gifter inom utvecklingsverksamheten på fem särskilt angivna områ- den (preciserad finalitet). Paragrafen ger således stöd för behandling utöver den allmänt formulerade bestämmelsen i 2 kap. 11 andra stycket (finalitetsprincipen). Personuppgifter får behandlas i Försvarets radioanstalts informations- säkerhetsverksamhet om det är nödvändigt för att kunna skydda den egna myndigheten eller för att kunna stödja andra verksamheter som är av betydelse för säkerhet. Uppgiften att lämna stöd till andra verksamheter ska följa av lag eller förordning eller regeringsbeslut i ett enskilt fall. Paragrafen behandlas i avsnitt 6.3.8. Paragrafen utgör rättslig grund för behandling av personupp- gifter i Försvarets radioanstalts informationssäkerhetsverksamhet. Behandling får ske om det är nödvändigt för att kunna skydda den egna myndigheten eller för att kunna stödja andra verksamheter som är av betydelse för säkerhet. Försvarets radioanstalts upp- drag att vara statens resurs för teknisk informationssäkerhet och stöd för myndigheter och statligt ägda bolag på informationssäker- hetsområdet och ha hög kompetens framgår av 4 § förordningen med instruktion för . Verksamheten bedrivs bl.a. med stöd av det tekniska detekterings- och varningssystemet (TDV) som beskrivs i avsnitt 3.3.6. Personuppgifter som behandlas med stöd av 6 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1.i verksamhet hos den som tar emot uppgifter om informations- säkerhet, 2.med anledning av samverkan med andra som verkar på infor- mationssäkerhetsområdet såväl inom som utom landet i den utsträck- ning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det, 3.i försvarsunderrättelseverksamheten för de ändamål som anges i 1 § andra stycket 5 och 7 lagen (2008:717) om signalspaning i försvars- underrättelseverksamhet, eller 4.i utvecklingsverksamheten för de ändamål som anges i 4 §. Paragrafen behandlas i avsnitt 6.3.8. På samma sätt som 2 kap. 3 § innebär rättsligt stöd för vidare- behandling av uppgifter inom försvarsunderrättelseverksamheten och 2 kap. 5 § inom utvecklingsverksamheten, innebär denna bestäm- melse rättsligt stöd för vidarebehandling av uppgifter inom informa- tionssäkerhetsverksamheten på fyra särskilt angivna områden (precise- rad finalitet). Paragrafen ger således stöd för behandling utöver den allmänt formulerade bestämmelsen i 2 kap. 11 andra stycket (finalitets- principen). Personuppgifter som utgör allmänt tillgänglig information får behand- las av om det är nödvändigt för de ändamål som anges i 1, 2, 4 och 6 §§. Bestämmelsen behandlas i avsnitt 6.3.9. För att kunna bedriva en effektiv försvarsunderrättelseverksam- het behöver , utöver den information som den inhämtar genom signalspaning, också ha god tillgång till allmänt tillgänglig information. Därigenom kan den på hemligt sätt inhäm- tade informationen på ett bättre sätt än annars sättas in i sitt rätta sammanhang. Av intresse här är information som utgörs av person- uppgifter som kan påträffas vid sökning på internet eller vid sök- ningar i öppna databaser. Uppgifterna kan vara gratis eller tillgäng- liga på kommersiell grund. Gemensamt för dem är att de är publikt tillgängliga. Det kan röra sig om uppgifter som t.ex. en abonnent på ett eller annat sätt har samtyckt att uppgifterna finns med i elek- troniska telefonkataloger eller förteckningar över ip-adresser i olika länder. I stället för att myndigheten exponerar sig kan databaserna anskaffas och läggas upp som referensdatabaser hos myndigheten där den kan göra sökningar. får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom denna lags tillämpningsområde. Bestämmelsen behandlas i avsnitt 6.3.10. Genom bestämmelsen ges möjlighet att behandla personuppgifter för historiska, statistiska eller vetenskap- liga ändamål. får behandla personuppgifter för att kunna till- godose enskildas behov av information enligt 5 kap. och kunna lämna information vid tillsyn eller kontroll. Bestämmelsen behandlas i avsnitt 6.3.11. Sökningar i uppgiftssamlingar och sammanställningar av upp- gifter som är nödvändig för att ska kunna tillmötesgå tillsynsmyndighetens och kontrollmyndighetens behov innebär att personuppgifter behandlas. Bestämmelsen utgör rättslig grund för denna personuppgiftsbehandling samt för den personupp- giftsbehandling som krävs för att tillmötesgå enskildas rätt till informa- tion enligt 5 kap. Enskildas rättigheter behandlas vidare i avsnitt 6.7.3. verksamhet behandlas i avsnitt 6.8. Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen behandlades. Bestämmelsen behandlas i avsnitt 6.4.1. Paragrafen sätter, tillsammans med bestämmelserna i 12 och 13 §§, vissa ramar för Försvarets radioanstalts personuppgiftsbehand- ling inom lagens verksamhetsområden. Bestämmelsen motsvarar 2 kap. 12 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hän- visas till den bestämmelsen. Författningsenlig och korrekt behandling Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. Bestämmelsen motsvarar 2 kap. 13 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hän- visas till den bestämmelsen. Personuppgifter som behandlas ska vara adekvata och relevanta i för- hållande till ändamålen med behandlingen och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Bestämmelsen motsvarar 2 kap. 14 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hän- visas till den bestämmelsen. Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. När uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt för syftet med behandlingen. Bestämmelsen motsvarar 2 kap. 15 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hän- visas till den bestämmelsen. Biometriska uppgifter får behandlas endast om det är absolut nödvändigt för ändamålet för behandlingen. Genetiska uppgifter får inte behandlas. Bestämmelsen motsvarar 2 kap. 16 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hän- visas till den bestämmelsen. Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas som sökbegrepp om det är absolut nödvändigt för syftet med behandlingen. Detsamma gäller biometriska uppgifter. Bestämmelsen motsvarar 2 kap. 17 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hän- visas till den bestämmelsen. Om den som uppgifterna rör har offentliggjort uppgifterna Utan hinder av vad som föreskrivs i 14 och 15 §§ får personuppgifter behandlas, om den som personuppgifterna rör på ett tydligt sätt offent- liggjort uppgifterna. Första stycket gäller inte genetiska uppgifter. Bestämmelsen motsvarar 2 kap. 19 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hän- visas till den bestämmelsen. Behandling av personuppgifter i vissa fall Hantering av information som innebär behandling av personuppgifter ska inte anses oförenlig med bestämmelserna i 1, 4, 6, 8 och 11–15 §§ i det skede av behandlingen då det inte har kunnat fastställas vilka per- sonuppgifter som informationen innehåller. Bestämmelsen motsvarar 2 kap. 20 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hän- visas till den bestämmelsen. Längsta tid som personuppgifter får behandlas Personuppgifter som behandlas automatiserat får inte behandlas än vad som behövs för något eller några av de ändamål som anges i 1–10 §§. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller i ett enskilt fall besluta att personuppgifter får behandlas under endast eller bevaras för historiska, statistiska eller vetenskapliga ändamål. Bestämmelsen motsvarar 2 kap. 21 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Personuppgifter som behandlas med stöd av denna lag får föras över till en utländsk underrättelse- eller säkerhetstjänst, en utländsk organisation inom informationssäkerhetsområdet eller en internationell organisation endast om sekretess inte hindrar det och det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för internatio- nellt försvarsunderrättelse- och säkerhetssamarbete. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller i enskilt fall besluta att överföring får ske även i andra fall då det är nödvändigt för verksamheten vid . Enligt paragrafen, som behandlas i avsnitt 6.4.8, får personuppgifter föras över till en utländsk underrättelse- eller säkerhetstjänst, en utländsk organisation inom informationssäkerhetsområdet eller en internationell organisation endast om sekretess inte hindrar det och det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för internationellt försvarsunderrättelse- och säkerhetssamarbete. Paragrafen är ägnad att uppfylla de krav på nationell lagstiftning som dataskyddskonventionen ställer när det gäller överföring av per- sonuppgifter till andra länder. Huruvida ett utlämnande ska ske eller inte måste i sin helhet avgöras efter en sekretessprövning och för- svars- och säkerhetspolitiska överväganden. Av bestämmelsen framgår vidare att begränsningarna av möjlig- heterna till överföring gäller såvida inte regeringen har meddelat föreskrifter eller beslut i enskilda fall om att överföring får ske även i andra fall då det är nödvändigt för verksamheten vid . Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direkt- åtkomst om regeringen har meddelat föreskrifter eller särskilt beslutat om det. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 2–6 §§. Paragrafen behandlas i avsnitt 6.4.8. Enligt första stycket får personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om regeringen har meddelat föreskrifter eller särskilt beslutat om det. 3 kap. Gemensamt tillgängliga uppgifter Personuppgifter som får göras gemensamt tillgängliga Personuppgifter får göras gemensamt tillgängliga och behandlas i upp- giftssamlingar om det behövs för något av de ändamål som anges i 2 kap. 1–10 §§. Personuppgifter som endast ett fåtal personer har till- gång till anses inte som gemensamt tillgängliga. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller besluta i enskilda fall vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. I paragrafen, behandlas i avsnitt 6.5.1, anges i första stycket genom en hänvisning till lagens syften vilka personuppgifter som får göras gemensamt tillgängliga och behandlas i uppgiftssamlingar. Genom hänvisningen omfattas även informationssäkerhetsverksamheten. En grundläggande förutsättning för att personuppgifter ska anses vara gemensamt tillgängliga är att de kan användas gemensamt av flera, dvs. att fler än en person har åtkomst till uppgifterna. Upp- gifter som endast ett fåtal personer har rätt att ta del av bör dock inte anses som gemensamt tillgängliga. Vad som utgör en uppgiftssam- ling definieras i 1 kap. 8 §. Av andra stycket framgår att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter eller besluta i enskilda fall vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. I förslaget till förordning finns i 3 kap. 1–7 §§ bestämmelser om uppgiftssamlingar för råmaterial, analyser, underrättelser, informa- tion om signalmiljön, företeelser mot vilka signalspaningen inriktas, information om teknik- och metodutveckling och signalskydd. Trots sekretess enligt 38 kap. 4 § offentlighets- och sekretesslagen (2009:400) får Säkerhetspolisen och Försvarsmakten medges direktåtkomst till per- sonuppgifter som utgör analysresultat inom försvarsunderrättelseverk- samheten och som finns i uppgiftssamlingar. Paragrafen, som behandlas i avsnitt 6.5.3, motsvarar 3 kap. 2 § i för- slaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Direktåtkomst enligt bestämmelsen är begränsad till person- uppgifter som utgör analysresultat inom försvarsunderrättelseverk- samheten och som finns i uppgiftssamlingar.