sou · H6B363 · 2018-08-09 00:00:00 — Siun är även kontrollmyn- dighet enligt lagen om försvarsunderrättelseverksamhet och lagen om signalspaning i försvarsunderrättelseverksamhet. Efter FRA-PuL:s tillkomst har det genom 10 a § lagen om signal- spaning i försvarsunderrättelseverksamhet införts en möjlighet för enskilda att begära att Siun ska kontrollera om hans eller hennes meddelanden har inhämtats i samband med signalspaning och, om så är fallet, huruvida inhämtningen och behandlingen av inhämtade uppgifter har skett i enlighet med lag. Lagenligheten ska inte endast bedömas med utgångspunkt från lagen om signalspaning i försvars- underrättelseverksamhet utan också från vad som är föreskrivet i fråga om behandling av personuppgifter (prop. 2008/09:201 s. 92). Kontrollen som Siun utför påminner om de sökningar som utför efter ansökan enligt 2 kap. 1 § FRA-PuL. Siun ska underrätta den enskilde om att kontrollen har utförts. har mottagit få ansökningar om personal- relaterad information. Varje ansökan innebär emellertid en resurs- krävande arbetsinsats vars resultat inte kommer att redovisas för den sökande med hänsyn till sekretess. Siuns kontroll enligt 10 a § lagen om signalspaning i försvarsunderrättelseverksamhet innebär också att Försvarets radioanstalts it-system söks igenom. Därutöver till- kommer att Försvarets radioanstalts personuppgiftsbehandling är föremål för tillsyn av Datainspektionen och särskild granskning av Siun. Detta talar för att behandlingen av personuppgifter inom är föremål för en så omfattande och oberoende statlig kontroll att det kan ifrågasättas om möjligheten för enskilda att ansöka om personrelaterad information inom försvarsunderrättelse- och utvecklingsverksamhet bör vara kvar. Att inte behålla möjligheten för enskilda att begära registerutdrag från skulle dock innebära en inskränkning i, den i praktiken mycket begränsade, rätten att få del av information om myndighetens personuppgiftsbehandlingar. Att rätten sällan utnyttjas eller tillämpningen inte har lett till något resultat för den enskilde bör inte föranleda att denna rättighet inskränks. Eftersom tillämpningsområdet för den nya lagen föreslås utökas till att även avse informationssäkerhetsverksamheten, bör den före- slagna bestämmelsen även omfatta enskildas rätt till information som behandlar inom denna verksamhetsgren. 6.7.4Begränsning av rätten till information Utredningens förslag: Informationsskyldigheten gäller inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut. Om den förutsättningen är uppfylld är Försvarsmakten respektive inte skyldig att lämna ut skälen för beslut om att inte lämna ut dessa uppgifter. Samma sak gäller beslut i fråga om rättelse, radering eller begränsning av behandlingen. Informationsskyldigheten avseende information som ska lämnas om uppgifterna samlas in från personen själv samt information som ska lämnas efter begäran, gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Informationsskyl- digheten gäller dock om uppgifterna har lämnats ut till tredje part, behandlas enbart för vetenskapliga, statistiska eller histo- riska ändamål eller arkivändamål av allmänt intresse eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats längre än . Skäl för utredningens förslag: Enskildas rätt till information begränsas av bestämmelser om sekretess (2 kap. 4 § FM-PuL och 2 kap. 3 § FRA-PuL). Motiven finns i prop. 2006/07:46 s. 89. Liksom anför- des av regeringen i motiven till de nuvarande bestämmelserna om enskildas rätt till information, är många uppgifter som behandlas i Försvarsmaktens och Försvarets radioanstalts verksamheter till skydd för rikets säkerhet eller dess förhållande till andra stater eller mellanfolkliga organisationer (15 kap. 1 och 2 §§ offentlighets- och sekretesslagen). Den informationsskyldighet som föreslås i detta betänkande ska därför, på motsvarande sätt som enligt FM-PuL och FRA-PuL, inte gälla i den utsträckning sekretess hindrar att upp- gifterna lämnas ut till den som uppgifterna rör. Eftersom skälen för beslut om sekretess kan ge ledning om uppgifternas innehåll, ska inte heller skälen för beslut om sekretess lämnas till den som gett in begäran. Redan uppgiften om huruvida en enskilds personuppgifter behandlas av Försvarsmakten eller kan således omfattas av sekretess. Detsamma gäller frågor som rör rättelse, radering eller begränsning av behandling av personuppgifter i dessa sammanhang. Av 2 kap. 3 § FM-PuL och 2 kap. 2 § FRA-PuL framgår att infor- mation som har begärts av en enskild inte behöver lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller lik- nande. Detta gäller dock inte om uppgifterna har lämnats ut till tredje man eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Motiven finns i prop. 2006/07:46 s. 87 f. Motsvarande bestämmelser bör införas även i de nya lagarna. 6.7.5Rätten till rättelse, radering och begränsning av behandlingen Utredningens förslag: Försvarsmakten och Försvarets radio- anstalt ska på begäran av den som personuppgiften rör rätta, radera eller begränsa sådana personuppgifter som inte har behandlats i enlighet med de föreslagna lagarna eller föreskrifter som har meddelats med stöd av dessa lagar. Försvarsmakten och ska också under- rätta tredje part till vilken uppgifterna har lämnats ut om åtgär- den, om den som personuppgiften rör begär det eller om en mera betydande skada eller olägenhet för denne skulle kunna undvikas genom en underrättelse. Någon underrättelse till tredje part behöver dock inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle inne- bära en oproportionerligt stor arbetsinsats. Skäl för utredningens förslag: Av 2 kap. 5 § FM-PuL och 2 kap. 4 § FRA-PuL framgår att Försvarsmakten respektive Försvarets radio- anstalt är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behand- lats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. Myndigheterna ska också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registre- rade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. finns i prop. 2006/07:46 s. 89 f. I det i avsnitt 6.7.3 beskrivna avgöran- det av har domstolen uttalat att ”that remedy must be deemed to be ineffective i practice”. Vad som gäller enligt FM-PuL och FRA-PuL föreslås trots detta även gälla enligt de nya lagarna. 6.7.6Avgifter samt beslut om avslag vid upprepad begäran Utredningens förslag: Allmän information som Försvarsmakten och ska göra tillgänglig samt information som Försvarsmakten ska lämna om uppgifterna samlas in från personen själv, ska lämnas av respektive myndighet utan avgift. Information som Försvarsmakten och ska lämna efter begäran från den som uppgiften rör ska lämnas utan avgift en gång per kalenderår. Om någon begär sådan information om uppgifter oftare än en gång per kalenderår, får Försvars- makten och avslå begäran. Skäl för utredningens förslag: Som angetts i avsnitt 6.7.2 och 6.7.3 är Försvarsmakten respektive skyldig att till var och som ansöker om det, en gång per kalenderår gratis lämna besked om huruvida personuppgifter som rör den sökande behandlas eller inte (2 kap. 2 § FM-PuL och 2 kap. 1 § FRA-PuL). Hur en upprepad begäran inom samma kalenderår bör behandlas framgår emellertid inte av regeringens motiv till bestämmelserna. Utred- ningen anser att motsvarande bestämmelser ska införas även i de nya lagarna. De nya bestämmelserna bör dock göra det möjligt för Försvarsmakten respektive att avslå upp- repad begäran om registerutdrag, dvs. begäran som inkommer till myndigheterna oftare än en gång per kalenderår. En sådan begräns- ning inskränker inte rätten att begära ut allmänna handlingar. Ett beslut om avslag på grund av att begäran är upprepad bör inte kunna överklagas, se vidare avsnitt 6.9.2. 6.8.1Tillsynsmyndighetens funktion, uppgifter och befogenheter Utredningens förslag: Den myndighet som regeringen bestäm- mer ska utöva allmän tillsyn över Försvarsmaktens och Försvarets radioanstalts behandling av personuppgifter. ska ge råd och stöd till Försvarsmakten och om respektive myndighets skyldig- heter enligt lag eller annan författning eller när det i övrigt är påkallat. har rätt att av Försvarsmakten eller För- svarets radioanstalt eller ett personuppgiftsbiträde på begäran få 1.tillgång till personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4.det biträde och annan information som behövs för tillsynen. Om tillsynsmyndigheten bedömer att det finns risk för att per- sonuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå Försvarsmakten eller Försvarets radio- anstalt eller personuppgiftsbiträdet att vidta åtgärder för att minska den risken. får utfärda en skriftlig varning för att planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behand- ling riskerar att stå i strid med lag eller annan författning. Om tillsynsmyndigheten konstaterar att personuppgifter be- handlas i strid med lag eller annan författning, eller att Försvars- makten eller eller ett personuppgiftsbiträde annars inte fullgör sina skyldigheter, får tillsynsmyndigheten 1.genom sådana åtgärder som anges i det föregående försöka förmå Försvarsmakten eller eller per- sonuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter, 2.förelägga Försvarsmakten eller eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att fullgöra andra skyldigheter. Om ett föreläggande utfärdas ska det av föreläggandet framgå när åtgärderna senast ska vara genomförda, och om det är lämpligt, vilka åtgärder som ska vidtas. I förslaget till lag om behandling av personuppgifter vid För- svarets radioanstalt ska det tas in en bestämmelse som upplyser om att det i lagen (2008:717) om signalspaning i försvarsunder- rättelseverksamhet finns särskilda bestämmelser om kontroll som rör Försvarets radioanstalts behandling av personuppgifter i försvarsunderrättelse- och utvecklingsverksamheten. Skäl för utredningens förslag: Bestämmelser om tillsynsmyndig- hetens funktion, uppgifter och befogenheter finns i 5 kap. 1–4 §§ FM-PuL och FRA-PuL. har rätt att för sin tillsyn på begäran få, 1.tillgång till personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av person- uppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. 4.Om tillsynsmyndigheten konstaterar att personuppgifter behand- las eller kan komma att behandlas på ett olagligt sätt, ska myn- digheten genom påpekanden eller liknande förfarande en försöka åstadkomma rättelse. får hos förvaltningsrätten inom vars domkrets tillsynsmyndigheten är belägen ansöka om att sådana personuppgifter som har behandlats olagligt ska utplånas. Beslut om utplånande får inte meddelas om det är oskäligt. Motiven finns i prop. 2006/07:46 s. 99 ff. Utredningen anser att de bestämmelser som reglerar tillsyns- och kontrollmyndigheternas funktion, uppgifter och befogenheter enligt nuvarande lagstiftning bör föras in i de nya lagarna med undantag av möjligheten att hos förvaltningsrätten ansöka om utplåning av personuppgifter. Såvitt är känt för utredningen har något sådant inte förekommit eller varit aktuellt. I stället föreslår utredningen att om tillsynsmyndigheten i sin tillsyn uppmärksammar förhållanden som kan utgöra brott, ska myndigheten anmäla det till Åklagarmyndig- heten. Bestämmelser om detta kan tas in i de förordningar som ska knyta an till lagarna. Härutöver föreslår utredningen några tillägg i lagstiftningen. Det bör uttryckligen framgå att tillsynsmyndigheten ska ge råd och stöd till Försvarsmakten och om myn- digheternas skyldigheter enligt lag eller annan författning eller när det i övrigt är påkallat. Det bör även framgå att tillsynsmyndigheten på begäran ska få upplysningar om och dokumentation av behand- lingen av personuppgifter och säkerhets- och skyddsåtgärder vid behandlingen. Vidare bör tillsynsmyndigheten utöver rätten till till- träde till sådana lokaler som har anknytning till behandling av per- sonuppgifter även få tillgång till utrustning och andra medel för behandling av personuppgifter. Slutligen bör tillsynsmyndigheten få det biträde och annan information som behövs för tillsynen. Om tillsynsmyndigheten bedömer att det finns risk för att per- sonuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå den personuppgiftsansvarige att vidta åtgärder för att minska den risken. Om en pågående eller planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning får tillsyns- myndigheten utfärda en skriftlig varning. Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning, eller att den personuppgifts- ansvarige annars inte fullgör sina skyldigheter, får tillsynsmyndig- heten försöka förmå eller förelägga den personuppgiftsansvarige att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla eller fullgöra andra skyldigheter. 6.8.2Rapporteringsskyldighet för personuppgiftsincidenter bör inte införas i de nya lagarna Utredningens bedömning: Bestämmelser om särskild rapporter- ingsskyldighet av personuppgiftsincidenter till tillsynsmyndig- heten och den som personuppgifterna rör, bör inte införas i de nya lagarna. Skäl för utredningens bedömning: Personuppgiftsincident är ett nytt begrepp som varken har funnits i tidigare personuppgiftslagar eller FM-PuL respektive FRA-PuL. Bestämmelser om rapporter- ingsskyldighet och hantering av personuppgiftsincidenter finns där- för inte. En personuppgiftsincident är enligt artikel 3.11 data- skyddsdirektiv en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Begreppet definieras följaktligen på samma sätt i de lagar som föreslagits med anledning av direktivet; bl.a. brottsdatalagen. I brottsdatalagen regleras den personuppgiftsansvariges skyldig- heter vid en personuppgiftsincident. Där föreskrivs bl.a. att sådana incidenter ska anmälas till tillsynsmyndigheten och att den registrerade i vissa fall ska underrättas om incidenten. Enligt de föreslagna bestämmelserna ska anmälningsskyldigheten inte gälla om personuppgiftsincidenten rör nationell säkerhet (3 kap. 9–11 §§). En- ligt förslaget till Säkerhetspolisens datalag ska sådan rapporterings- skyldighet inte heller gälla för Säkerhetspolisen (SOU 2017:74 s. 684). I 1 kap. 4 § dataskyddslagen har regleringen rörande rapportering av dataskyddsincidenter i dataskyddsförordningen (art. 33 och 34) undan- tagits ifråga om personuppgiftsincidenter som rapporteras enligt säkerhetsskyddslagen eller föreskrifter som meddelats i anslutning till den lagen. Detta innebär att sådana incidenter som ska rappor- teras enligt 10 a § första stycket säkerhetsskyddsförordningen ska anmälas till den myndighet som utövar tillsyn över säkerhets- skyddet, dvs. Försvarsmakten eller Säkerhetspolisen, inte också ska rapporteras till tillsynsmyndigheten enligt dataskyddsförordningen. Personuppgiftsincidenter som inträffar i Försvarsmaktens och Försvarets radioanstalts informationssystem och som drabbar per- sonuppgifter som behandlas med stöd av de föreslagna lagarna kom- mer att röra nationell säkerhet. Sådana personuppgiftsincidenter hos Försvarsmakten och kommer således att rapporteras i enlighet med vad som framgår av säkerhetsskyddsför- ordningen. Något behov av att införa särskilda bestämmelser om rapportering av personuppgiftsincidenter i de nya lagarna finns där- med inte. 6.8.3Sanktionsavgift bör inte få tas ut Utredningens bedömning: Det bör inte tas in bestämmelser om sanktionsavgift i de nya lagarna om personuppgiftshantering hos Försvarsmakten och . Skäl för utredningens bedömning: Av dataskyddsdirektiv följer att medlemsstaterna ska föreskriva sanktioner för överträ- delser av de bestämmelser som genomför direktivet och att sanktio- nerna ska vara effektiva, proportionerliga och avskräckande. I brotts- datalagen införs ett nytt system med administrativa sanktionsavgifter där tillsynsmyndigheten ska fatta beslut om sanktionsavgift. Även EU:s dataskyddsförordning föreskriver att administrativa sanktionsavgifter ska kunna tas ut vid överträdelse av bestämmelser om personuppgiftsbehandling som sker inom ramen för verksamhet som regleras av denna förordning. Enligt 6 kap. 2 § dataskyddslagen kan tillsynsmyndigheten även ta ut en sanktionsavgift av en myn- dighet vid överträdelse av dataskyddsförordningen. Huvudskälet till att Utredningen om 2016 års dataskyddsdirektiv föreslog att sanktionsavgift ska kunna tas ut av bl.a. Polismyndig- heten, , och domstolarna, är att motsvarande sanktionssystem gäller enligt dataskyddsförordningen och att för flera av myndigheterna kommer sannolikt en större del av person- uppgiftsbehandlingen att regleras av dataskyddsförordningen. Utred- ningen ansåg att det var svårt att motivera att helt olika sanktions- system ska gälla beroende på om brottsdatalagen eller förordningen var tillämplig vid överträdelser som är likartade och som därför kan antas motivera samma sanktion (SOU 2017:29 s. 492). föreslog dock inte att sanktionsavgifter skulle kunna tas ut av Säkerhetspolisen. Som skäl anfördes att Säkerhetspolisens verksamhet rör nationell säkerhet och därmed inte omfattas av vare sig dataskydds- direktivets eller dataskyddsförordningens tillämpningsområde Till en början kan konstateras att de krav på sanktionsavgifter som unionsrätten ställer inte gäller för de behandlingar av person- uppgifter som regleras i den lagstiftning som utredningen lägger fram i detta betänkande. Dataskyddskonventionen (se avsnitt 4.2.1) som även omfattar personuppgiftsbehandling som rör nationell säkerhet, ställer krav på att det ska finnas lämpliga sanktioner och rättsmedel för överträ- delser av bestämmelser om dataskydd, men anger inte närmare vilka krav som ställs på sådana sanktioner. Den nuvarande regleringen ger möjlighet till skadestånd. Utred- ningen föreslår ingen ändring i detta avseende. Vidare kan straffrättsligt ansvar utkrävas enligt . Utöver Datainspektionens till- synsverksamhet kontrollerar Statens inspektion för försvarsunder- rättelseverksamheten (Siun) försvarsunderrättelseverksamheten och granskar behandlingen av personuppgifter i Försvarsmaktens försvars- underrättelseverksamhet och militära säkerhetstjänst samt Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet När det gäller signalspaningen finns bestämmelser som är av intresse i detta sammanhang i lagen om signalspaning i försvarsunderrättelse- verksamheten. () ska ansöka om tillstånd hos Försvarsunderrättelsedomstolen för signalspaning (4 a §). (Siun) får besluta att viss inhämtning ska upphöra eller att upptagning eller uppteckning av inhämtade uppgifter ska förstöras, om det vid kontroll fram- kommer att inhämtningen inte är förenlig med tillstånd som har meddelats enligt lagen (10 §). Vidare är kontrollmyndigheten skyl- dig att på begäran av en enskild kontrollera om hans eller hennes meddelanden har inhämtats i samband med signalspaning och, om så är fallet, huruvida inhämtningen och behandlingen har skett i enlig- het med lag (10 a §). Mot bakgrund av den tillsyn, kontroll och granskning som gäller för de verksamheter som de föreslagna lagarna omfattar anser utredningen att konventionens krav på lämpliga sank- tioner och rättsmedel är uppfyllda. Enligt utredningens mening är de sanktionsmöjligheter som före- slås gälla i fortsättningen tillräckliga. Utredningen anser därför att det inte bör införas någon möjlighet att ta ut sanktionsavgift vid överträdelse av bestämmelser i de nya lagarna. Utredningens förslag: Den personuppgiftsansvarige ska ersätta den som en personuppgift rör för den skada och kränkning av den personliga integriteten som orsakats av behandling av person- uppgiften i strid med de föreslagna lagarna, eller föreskrifter som har meddelats i anslutning till dem. Ersättningsskyldigheten kan jämkas i den utsträckning det är skäligt, om den personuppgiftsansvarige visar att felet inte be- rodde på denne. Skäl för utredningens förslag: Enligt 2 kap. 6 § FM-PuL och 2 kap. 5 § FRA-PuL ska staten ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av per- sonuppgifter i strid med dessa lagar eller föreskrifter som har med- delats med stöd av lagarna har orsakat. Enligt bestämmelsens andra stycke kan ersättningsskyldigheten i den utsträckning det är skäligt jämkas, om Försvarsmakten respektive visar att felet inte berodde på myndigheten. Motiven finns i prop. 2006/07:46 s. 90 ff. Utredningen anser att motsvarande bestämmelser bör införas i de nya lagarna. Av bestämmelserna i och FRA-PuL framgår att det är staten som ska ersätta den drabbade vid felaktig behandling av per- sonuppgifter. Enligt 3 § förordningen (1995:1301) om handläggning av skade- ståndsanspråk mot staten handlägger Justitiekanslern anspråk på ersättning enligt 2 kap. 6 § FM-PuL och 2 kap. 5 § FRA-PuL. Detta innebär att Försvarsmakten och ska över- lämna ersättningsanspråk med anledning av personuppgiftshanter- ing enligt FM-PuL och FRA-PuL till Justitiekanslern för vidare hantering och beslut. För det fall den som personuppgifterna rör vänder sig till domstol för Justitiekanslern statens talan i saken. Oavsett om Justitiekanslern eller domstolen fattar beslut om ersätt- ning överlämnar Justitiekanslern med stöd i 2 a § förordningen (1975:1345) med instruktion för Justitiekanslern, till den myndighet som är berörd i skaderegleringsärendet att ansvara för att ersätt- ningsbelopp betalas ut till motparten. 6.9.2Överklagande av en myndighets beslut i egenskap av personuppgiftsansvarig Utredningens förslag: Försvarsmaktens och Försvarets radio- anstalts beslut om information som ska lämnas efter begäran av en enskild och om rättelse och underrättelse till tredje part samt Försvarsmaktens beslut om information som ska lämnas om uppgifter samlas in från personen själv, får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt lagen får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Beslut i frågor om sekretess överklagas till kammarrätt. Skäl för utredningens förslag: Försvarsmaktens respektive Försvarets radioanstalts beslut beträffande information som ska lämnas om uppgifterna samlas in från personen själv (endast Försvarsmakten) samt efter begäran (Försvarsmakten och ) och om rättelse och underrättelse till tredje man får enligt 6 kap. 3§ FM-PuL och FRA-PuL överklagas hos allmän förvaltningsdom- stol. Andra beslut som har meddelats med stöd av respektive lag får inte överklagas. Som har anförts bör fysiska personer av integritetsskydds- skäl ha vissa grundläggande rättigheter som rör behandlingen av uppgifter om dem.