sou · H6B363 · 2018-08-09 00:00:00 — sons fysiska, fysiologiska eller som tagits fram genom särskild teknisk behandling och som möj- liggör eller bekräftar unik identi- fiering av personen i fråga. En fysisk person som utses av att självständigt se till att person- enligt och på ett korrekt sätt. Personuppgifter som rör en per- genetiska kännetecken och som härrör från analys av ett spår av eller ett prov från personen i Den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av för- fattning utövar tillsyn, kontroll Varje upplysning om en identi- person som är i livet. Den som ensam eller tillsam- ändamålen med och medlen för behandlingen av personuppgifter. Den som, med stöd av ett skrift- ligt avtal eller annan skriftlig överenskommelse, behandlar per- sonuppgifter för den personupp- Någon annan än den som person- uppgiften rör, personuppgiftsan- svarige, dataskyddsombudet, per- personer som under den person- har rätt att behandla person- med hjälp av automatiserad be- handling är gemensamt tillgäng- 2 kap. Behandling av personuppgifter 1 § Personuppgifter får behandlas i Försvarets radioanstalts för- svarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunder- rättelseverksamhet och lagen (2008:717) om signalspaning i försvars- underrättelseverksamhet. 2 § De personuppgifter som har fått till- gång till i myndighetens försvarsunderrättelseverksamhet får fortsatt behandlas i den verksamheten, om det behövs för att fullgöra den. Vad som sägs i första stycket gäller endast om inget annat följer av denna lag eller förordning som regeringen har meddelat i anslut- ning till lagen. 3 § Personuppgifter som behandlas med stöd av 1 och 2 §§ får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1.i verksamhet hos berörda myndigheter som avses i 2 § första stycket lagen (2000:130) om försvarsunderrättelseverksamhet, 2.med anledning av samarbete med andra länder och interna- organisationer enligt lagen (2000:130) om försvarsunder- rättelseverksamhet och lagen (2008:717) om signalspaning i försvars- underrättelseverksamhet, 3.i utvecklingsverksamheten för de ändamål som anges i 4 §, 4.i informationssäkerhetsverksamheten för de ändamål som an- ges i 6 §, eller 5.för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. 4 § Om det är nödvändigt för försvarsunderrättelseverksamheten får behandla personuppgifter för att 1.följa förändringar i signalmiljön i omvärlden, den tekniska ut- vecklingen och signalskyddet, och 2.fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten. 5 § Personuppgifter som behandlas med stöd av 4 § får även be- handlas om det är nödvändigt för att tillhandahålla information som behövs 1.med anledning av samverkan med annan avseende utvecklings- verksamhet, 2.med anledning av samarbete om utvecklingsverksamhet med andra länder eller internationella organisationer enligt lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet, 3.i försvarsunderrättelseverksamheten för de ändamål som anges i1 och 2 §§, 4.i informationssäkerhetsverksamhet för de ändamål som anges i6 §, eller 5.för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. 6 § Personuppgifter får behandlas i Försvarets radioanstalts infor- mationssäkerhetsverksamhet om det är nödvändigt för att kunna skydda den egna myndigheten eller för att kunna stödja andra verk- samheter som är av betydelse för säkerhet. Uppgiften att lämna stöd till andra verksamheter ska följa av lag eller förordning eller regeringsbeslut i ett enskilt fall. 7 § Personuppgifter som behandlas med stöd av 6 § får även be- handlas om det är nödvändigt för att tillhandahålla information som behövs 1.i verksamhet hos den som tar emot uppgifter om informa- tionssäkerhet, 2.med anledning av samverkan med andra som verkar på infor- mationssäkerhetsområdet såväl inom som utom landet i den ut- sträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det, 3.i försvarsunderrättelseverksamheten för de ändamål som anges i1 § andra stycket 5 och 7 lagen (2008:717) om signalspaning i för- svarsunderrättelseverksamhet, eller 4.i utvecklingsverksamheten för de ändamål som anges i 4 §. 8 § Personuppgifter som utgör allmänt tillgänglig information får behandlas av om det är nödvändigt för de ända- mål som anges i 1, 2, 4 och 6 §§. 9 § får behandla personuppgifter för veten- skapliga, statistiska eller historiska ändamål inom denna lags tillämp- ningsområde. 10 § får behandla personuppgifter för att kunna tillgodose enskildas behov av information enligt 5 kap. och kunna lämna information vid tillsyn eller kontroll. 11 § Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprung- ligen behandlades. Författningsenlig och korrekt behandling 12 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. 13 § Personuppgifter som behandlas ska vara adekvata och rele- vanta i förhållande till ändamålen med behandlingen och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 14 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. När uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt för syftet med behandlingen. 15 § Biometriska uppgifter får behandlas endast om det är absolut nödvändigt för ändamålet för behandlingen. Genetiska uppgifter får inte behandlas. 16 § Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas som sökbegrepp om det är absolut nödvändigt för syftet med behandlingen. Detsamma gäller biometriska uppgifter. Om den som uppgifterna rör har offentliggjort uppgifterna 17 § Utan hinder av vad som föreskrivs i 14 och 15 §§ får person- uppgifter behandlas, om den som personuppgifterna rör på ett tyd- ligt sätt offentliggjort uppgifterna. Första stycket gäller inte genetiska uppgifter. Behandling av personuppgifter i vissa fall 18 § Hantering av information som innebär behandling av per- sonuppgifter ska inte anses oförenlig med bestämmelserna i 1, 4, 6, 8 och 11–15 §§ i det skede av behandlingen då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller. Längsta tid som personuppgifter får behandlas 19 § Personuppgifter som behandlas automatiserat får inte be- handlas än vad som behövs för något eller några av de ändamål som anges i 1–10 §§. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller i ett enskilt fall besluta att personuppgifter får behandlas under endast eller bevaras för historiska, statistiska eller vetenskapliga ändamål. 20 § Personuppgifter som behandlas med stöd av denna lag får föras över till en utländsk underrättelse- eller säkerhetstjänst, en utländsk organisation inom informationssäkerhetsområdet eller en interna- tionell organisation endast om sekretess inte hindrar det och det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för internationellt försvarsunderrättelse- och säkerhetssamarbete. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller i enskilt fall besluta att överföring får ske även i andra fall då det är nödvändigt för verksamheten vid . 21 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om regeringen har meddelat föreskrifter eller särskilt beslutat om det. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 2–6 §§. 3 kap. Gemensamt tillgängliga uppgifter Personuppgifter som får göras gemensamt tillgängliga 1 § Personuppgifter får göras gemensamt tillgängliga och behand- las i uppgiftssamlingar om det behövs för något av de ändamål som anges i 2 kap. 1–10 §§. Personuppgifter som endast ett fåtal personer har tillgång till anses inte som gemensamt tillgängliga. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller besluta i enskilda fall vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. 2 § Trots sekretess enligt 38 kap. 4 § offentlighets- och sekretess- lagen (2009:400) får Säkerhetspolisen och Försvarsmakten medges direktåtkomst till personuppgifter som utgör analysresultat inom försvarsunderrättelseverksamheten och som finns i uppgiftssamlingar. 3 § Om det behövs för samarbetet mot terrorism eller för annat internationellt säkerhetssamarbete får, i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det, en utländsk underrättelse- eller säkerhetstjänst medges direkt- åtkomst till personuppgifter som behandlas med stöd av 2 kap. 1 § och som finns i uppgiftssamlingar. 4 § Om det behövs för samarbetet mot it-relaterade hot mot sam- hällsviktiga system får, i den utsträckning det följer av lag eller för- ordning eller om regeringen i ett enskilt fall beslutar om det, en utländsk organisation inom informationssäkerhetsområdet medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 6 § och som finns i uppgiftssamlingar. Direktåtkomst i andra fall 5 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen med- dela föreskrifter eller särskilt beslut om vilka som i andra fall än i 2–4 §§ får ha direktåtkomst till uppgiftssamlingar. 6 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter eller beslut i enskilda fall om omfatt- ningen av direktåtkomsten, och 2.föreskrifter om behörighet och säkerhet vid sådan åtkomst. 4 kap. Skyldighet som personuppgiftsansvarig Åtgärder för att säkerställa författningsenlig behandling 1 § ska, genom lämpliga tekniska och orga- nisatoriska åtgärder, säkerställa att behandlingen av personuppgifter är författningsenlig och skydda rättigheterna för dem som uppgift- erna rör. 2 § ska säkerställa att det i uppgiftsamlingar förs loggar över personuppgiftsbehandling. Regeringen eller den myn- dighet regeringen bestämmer kan med stöd av 8 kap. 7 § regerings- formen meddela föreskrifter om loggar. 3 § Tillgången till personuppgifter ska alltid begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. 4 § ska vidta lämpliga tekniska och organi- satoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling eller förstöring och mot förlust eller annan oavsiktlig skada. 5 § ska inom myndigheten utse ett eller flera dataskyddsombud och anmäla dessa till tillsynsmyndigheten när dataskyddsombud utses och entledigas. 6 § Dataskyddsombudet ska 1.självständigt kontrollera att behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2.informera och ge råd till och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, 3.samråda med tillsynsmyndigheten, och 4.föra en förteckning över de kategorier av behandlingar som ansvarar för och som är helt eller delvis auto- matiserade. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vad en förteckning som avses i första stycket 4 ska innehålla. Om bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och rättelse inte vidtas, ska dataskyddsombudet anmäla det till tillsynsmyndigheten. 7 § får, om det är lämpligt, anlita person- uppgiftsbiträden för behandling av personuppgifter på Försvarets radioanstalts vägnar. Innan ett personuppgiftsbiträde anlitas, ska försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda rättigheterna för den som uppgifterna rör. 8 § Personuppgiftsbiträdets behandling av personuppgifter ska reg- leras i ett skriftligt avtal eller annan skriftlig överenskommelse. 9 § Ett personuppgiftsbiträde får inte anlita ett annat personupp- giftsbiträde utan skriftligt tillstånd av . 10 § Ett personuppgiftsbiträde eller den eller de personer som arbe- tar under biträdets eller ledning ska behandla personuppgifter i enlighet med instruktioner från Försvarets radio- anstalt. Om ett personuppgiftsbiträde, i strid med Försvarets radioanstalts instruktioner, bestämmer ändamålen med och medlen för behand- lingen, ska biträdet anses vara personuppgiftsansvarig enligt denna lag för den behandlingen. 11 § Det som sägs om Försvarets radioanstalts skyldigheter i 2–4 §§ gäller även för personuppgiftsbiträden som Försvarets radio- anstalt anlitar. 5 kap. Enskildas rättigheter 1 § ska göra följande allmänna information tillgänglig. 1.Myndighetens identitet och kontaktuppgifter. 2.Uppgifter om dataskyddsombudet. 3.Ändamålen med behandlingen. 4.Rätten enligt 2 § att begära att få information om behandling av personuppgifter och att få del av dem. 5.Rätten att begära rättelse, radering eller begränsning av be- handlingen enligt 5 §. Information som ska lämnas efter begäran 2 § är skyldig att utan onödigt dröjsmål en gång per kalenderår till den som begär det lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Behand- las sådana uppgifter ska sökanden få del av dem och få följande skriftliga information. 1.Vilka personuppgifter om den sökande som behandlas. 2.Varifrån personuppgifterna kommer. 3.Den rättsliga grunden för behandlingen. 4.Ändamålen med behandlingen. 5.Mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer. 6.Hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det. 7.Rätten att begära rättelse, radering eller begränsning av be- handlingen enligt 5 §. Utlämnande enligt första stycket behöver inte omfatta person- uppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. En ansökan enligt första stycket ska göras skriftligen hos För- svarets radioanstalt och vara undertecknad av den sökande själv. Infor- mation enligt första stycket ska lämnas inom en månad från det att Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Begränsning av rätten till information 3 § Informationsskyldigheten i 2 § gäller inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut. Om förutsättningarna i första stycket är uppfyllda, är inte skyldig att lämna ut skälen för beslut enligt första stycket eller beslut i fråga om rättelse, radering eller begränsning av behandlingen enligt 5 §. 4 § Informationsskyldigheten i 2 § gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjor- des eller som utgör minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna har läm- nats ut till tredje part, behandlas enbart för vetenskapliga, statistiska eller historiska ändamål eller arkivändamål av allmänt intresse eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats längre än . Rätten till rättelse, radering och begränsning av behandlingen 5 § ska på begäran av den som personupp- giften rör rätta, radera eller begränsa sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. ska också underrätta tredje part till vilken uppgifterna har lämnats ut om åtgärden, om den som personupp- giften rör begär det eller om en mera betydande skada eller olägenhet för denne skulle kunna undvikas genom en underrättelse. Någon underrättelse behöver dock inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en opropor- tionerligt stor arbetsinsats. 6 § Information enligt 1 § ska lämnas utan avgift. Information och uppgifter enligt 2 § ska lämnas utan avgift en gång per kalenderår. Om någon begär information och uppgifter enligt 2 § oftare än en gång per kalenderår, får avslå begäran. 1 § Den myndighet som regeringen bestämmer ska utöva allmän tillsyn över Försvarets radioanstalts behandling av personuppgifter enligt denna lag. ska ge råd och stöd till Försvarets radio- anstalt om myndighetens skyldigheter enligt lag eller annan författ- ning eller när det i övrigt är påkallat. 2 § I lagen (2008:717) om signalspaning i försvarsunderrättelse- verksamhet finns det särskilda bestämmelser om kontroll som rör Försvarets radioanstalts behandling av personuppgifter i försvars- underrättelse- och utvecklingsverksamheten. 3 § har rätt att av eller ett personuppgiftsbiträde på begäran få 1.tillgång till personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av per- sonuppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4.det biträde och annan information som behövs för tillsynen. 4 § Om tillsynsmyndigheten bedömer att det finns risk för att per- sonuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå eller personupp- giftsbiträdet att vidta åtgärder för att minska den risken. får utfärda en skriftlig varning för att plane- rad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riske- rar att stå i strid med lag eller annan författning. 5 § Om tillsynsmyndigheten konstaterar att personuppgifter be- handlas i strid med lag eller annan författning, eller att Försvarets radio- anstalt eller ett personuppgiftsbiträde annars inte fullgör sina skyl- digheter, får tillsynsmyndigheten 1.genom sådana åtgärder som anges i 4 § första stycket försöka förmå eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att upp- fylla andra skyldigheter, eller 2.förelägga eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att fullgöra andra skyldigheter. Om ett föreläggande utfärdas ska det av föreläggandet framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas. 1 § Den personuppgiftsansvarige ska ersätta den som personupp- giften rör för skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med denna lag, eller föreskrifter som har meddelats i anslutning till den. Ersättningsskyldigheten kan i den utsträckning det är skäligt, jäm- kas om den personuppgiftsansvarige visar att felet inte berodde på denne. 2 § Försvarets radioanstalts beslut om information som ska lämnas enligt 5 kap. 2 § och om rättelse och underrättelse till tredje part en- ligt 5 kap. 5 § får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. 3 § Av 6 kap. 8 § offentlighets- och sekretesslagen (2009:400) följer att beslut om sekretess överklagas till kammarrätt. 1.Denna lag träder i kraft . 2.Bestämmelsen i 4 kap. 2 § om loggning behöver inte tillämpas på uppgiftssamlingar som inrättats före ikraftträdandet förrän den 3.Ärenden om tillsyn eller granskning av Försvarets radioanstalts personuppgiftsbehandling som Datainspektionen eller Statens in- spektion för försvarsunderrättelseverksamheten inte har avgjort före ikraftträdandet handläggs enligt äldre föreskrifter. 1.3Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning Härigenom föreskrivs att 1 kap. 3 § lagen (2018:218) med komplet- terande bestämmelser till EU:s dataskyddsförordning ska ha föl- jande lydelse. Bestämmelserna i 2 § gäller inte i verksamhet som omfattas av 1. lagen (2007:258) om behand- 1. lagen (2019:000) om behand- ling av personuppgifter i Försvars- ling av personuppgifter vid Försvars- samhet och militära säkerhetstjänst, 2. lagen (2007:259) om behand- 2. lagen (2019:000) om behand- ling av personuppgifter i Försvarets ling av personuppgifter vid För- svarets radioanstalt, eller och utvecklingsverksamhet, eller (2010:361). (2010:361). Denna lag träder i kraft . 1.4Förslag till lag om ändring i lagen (2008:717) om signalspaning Härigenom föreskrivs att 2 a och 12 a §§ lagen (2008:717) om signal- spaning i försvarsunderrättelseverksamhet ska ha följande lydelser. Inhämtning får inte avse signaler mellan en avsändare och mot- tagare som båda befinner sig i . Om sådana signaler inte kan avskiljas redan vid inhämtningen, ska upptagningen eller uppteck- ningen förstöras så snart det står klart att sådana signaler har inhämtats. Första stycket tillämpas inte i Första stycket tillämpas inte i fråga om signaler mellan sändare fråga om signaler som utväxlas och mottagare på utländska stats- autonomt mellan tekniska system fartyg, statsluftfartyg eller mili- i sådana fall där signalerna inte stycket tillämpas inte heller i fråga om övriga signaler mellan sän- dare och mottagare på utländska statsfartyg, statsluftfartyg eller I lagen (2007:259) om be- I lagen (2019:000) om be- handling av personuppgifter vid ligare bestämmelser om behand- samhet finns ytterligare bestäm- lingen av inhämtade personupp- melser om behandlingen av in- Denna lag träder i kraft . 1.5Förslag till lag om ändring i brottsdatalagen (2018:1177) Härigenom föreskrivs att 1 kap. 4 § brottsdatalagen (2018:1177) ska ha följande lydelse. Lagen gäller inte vid behandling av person- uppgifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhets- Lagen gäller inte heller i sådan Lagen gäller inte heller i sådan verksamhet som omfattas av lagen verksamhet som omfattas av lagen (2007:258) om behandling av per- (2019:000) om behandling av per- sonuppgifter i Försvarsmaktens för- sonuppgifter vid Försvarsmakten. Denna lag träder i kraft . 1.6Förslag till förordning (2019:000) om behandling av personuppgifter vid Försvarsmakten Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § I denna förordning finns kompletterande föreskrifter till lagen (2019:000) om behandling av personuppgifter vid Försvarsmakten. Uttryck som används i förordningen har samma innebörd som i den lagen. 2 § Försvarsmakten får vara gemensamt personuppgiftsansvarig med Säkerhetspolisen, Nationella operativa avdelningen i Polismyn- digheten, Myndigheten för samhällsskydd och beredskap, , och Totalförsvarets rekryter- ingsmyndighet. 3 § När Försvarsmakten är gemensamt personuppgiftsansvarig med annan ska myndigheten säkerställa att de förpliktelser var och en har i egenskap av personuppgiftsansvarig regleras i en skriftlig överens- kommelse. Vid sådan överenskommelse kvarstår Försvarsmaktens författningsenliga skyldigheter.