sou · H6B363 · 2018-08-09 00:00:00 — Behandlingen av personuppgifter vid Försvarsmakten Betänkande av Utredningen om behandlingen av personuppgifter vid Försvarsmakten SOU och Ds kan köpas från Juridiks kundservice. Beställningsadress: Juridik, Kundservice, 106 47 Ordertelefon: Webbadress: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2018 Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild ut- redare med uppdrag att göra en översyn av den lagstiftning som gäller för personuppgiftsbehandling inom Försvarsmakten och För- svarets radioanstalt. Syftet med uppdraget är att säkerställa att lag- stiftningen är anpassad till den tekniska och legala utvecklingen. Som särskild utredare förordnades f.d. generaldirek- tören och chefen för . Som sakkunniga i utredningen förordnades ämnes- rådet och biträdande enhetschefen , Försvars- departementet och kanslirådet , Försvars- departementet. Som experter att biträda utredningen förordnades chefsjuristen , , avdelnings- chefen , Försvarsmakten, sektionschefen , Försvarsmakten och avdelningsdirektören , . Som sekreterare anställdes hovrättsassessorn . Utredningen har antagit namnet Utredningen om behandlingen av personuppgifter vid Försvarsmakten och . Härmed överlämnas betänkandet Behandlingen av personuppgifter vid Försvarsmakten och (SOU 2018:63). Upp- draget är härmed slutfört. 1.1Förslag till lag (2019:000) om behandling av personuppgifter vid Försvarsmakten ................................ 1.2 Förslag till lag (2019:000) om behandling av personuppgifter vid ..................... 1.3Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s 1.4Förslag till lag om ändring i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet.................. 1.5Förslag till lag om ändring i brottsdatalagen (2018:1177) ............................................................................. 1.6Förslag till förordning (2019:000) om behandling av personuppgifter vid Försvarsmakten ................................ 1.7Förslag till förordning (2019:000) om behandling av personuppgifter vid ..................... 1.8Förslag till förordning om ändring i förordningen (2009:969) med instruktion för Statens inspektion för försvarsunderrättelseverksamheten .............. 1.9Förslag till förordning om ändring i förordningen (1995:1301) om handläggning av skadeståndsanspråk Utredningens uppdrag och arbete ................................ Genomförande av uppdraget ................................................. Försvarsmaktens och Försvarets radioanstalts Försvarets radioanstalts uppgifter ......................................... och militära säkerhetstjänst .................................... Försvarsmaktens militära säkerhetstjänst.............. Övrig militär underrättelseverksamhet.................. 3.3.5Försvarets radioanstalts signalspaning i försvarsunderrättelse- och 4.3Nationell reglering till skydd för den personliga Rätten till personlig integritet .............................. Offentlighets- och sekretesslagen ........................ vid Försvarsmakten och ........... När behandling av personuppgifter är tillåten ..... 5.1.4Behandling av personuppgifter hos i vissa fall ......................... för vissa andra ändamål.......................................... 5.1.7Elektroniskt utlämnande av och direktåtkomst 5.1.8Information till den enskilde, rättelse Säkerheten vid behandling .................................... Tillsyn och kontroll............................................... Gallring av personuppgifter .................................. Straff och överklagande......................................... Överväganden och förslag ......................................... Reglering i två nya lagar ........................................ Syftet med lagarna ................................................. 6.2.2Tillämpningsområden för lagen om behandling av personuppgifter 6.2.3Tillämpningsområden för lagen om behandling av personuppgifter Behandlingar som omfattas av de nya lagarna ..... 6.2.5Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller inte personuppgiftsbehandling enligt de nya lagarna ........................................................ Lagarnas förhållande till annan reglering............. Uttryck i lagen ...................................................... 6.3 Behandlingen av personuppgifter ........................................ 6.3.1Försvar och säkerhet som rättslig grund för behandling av personuppgifter hos 6.3.2Försvarsunderrättelseverksamhet som rättslig grund för behandling av personuppgifter hos 6.3.3Militär säkerhetstjänst som rättslig grund för behandling av personuppgifter hos 6.3.4Rättsliga grunder för behandling vid Försvarsmakten av personuppgifter som utgör allmänt tillgänglig information............................. Övriga rättsliga grunder för behandlingen av personuppgifter vid Försvarsmakten............... grund för behandling av personuppgifter grund för behandling av personuppgifter 6.3.8Informationssäkerhetsverksamhet som rättslig grund för behandling av personuppgifter 6.3.9Rättsliga grunder för behandling vid av allmänt tillgänglig information för vissa ändamål .............................. 6.3.10 Rättsliga grunder för behandling för vetenskapliga, statistiska eller 6.3.11Rättsliga grunder för behandling av personuppgifter för att tillgodose behov av information hos enskilda och behov av information vid tillsyn och kontroll ................ 6.4 Grundläggande krav på behandling av personuppgifter ..... Behandling av känsliga personuppgifter............... 6.4.4Behandling av personuppgifter om den som uppgifterna rör har offentliggjort uppgifterna eller lämnat sitt samtycke...................................... Behandling av personuppgifter i vissa fall ............ Längsta tid som personuppgifter får behandlas... 6.5 Gemensamt tillgängliga uppgifter........................................ 6.5.1Personuppgifter som får göras gemensamt 6.6 Skyldigheter som personuppgiftsansvarig........................... 6.6.1Författningsenlig behandling genom lämpliga tekniska och organisatoriska åtgärder .................. Myndigheterna ska föra loggar över 6.6.3Myndigheterna ska begränsa tillgången Säkerheten för personuppgifter ............................ bör inte införas....................................................... 6.7 Enskildas rättigheter............................................................. Allmän information som ska göras tillgänglig .... 6.7.2Enskilds rätt till personrelaterad information 6.7.3Enskilds rätt till personrelaterad information Begränsning av rätten till information ................. 6.7.5Rätten till rättelse, radering och begränsning 6.7.6Avgifter samt beslut om avslag vid upprepad 6.8 Tillsyn och kontroll.............................................................. uppgifter och befogenheter .................................. personuppgiftsincidenter bör inte införas i de nya lagarna ...................................................... Sanktionsavgift bör inte få tas ut ......................... Skadestånd och överklagande .............................................. Överklagande av en myndighets beslut i egenskap av personuppgiftsansvarig .................. 6.12 Ändringar i andra författningar till följd av utredningens förslag ........................................................ Ändring i lagen (2018:218) med Ändring i brottsdatalagen (2018:1177)................ Ändring i lagen (2008:717) om signalspaning 6.12.4Ändring i förordningen (2009:969) med instruktion för Statens inspektion 6.12.5Ändring i förordningen (1995:1301) om handläggning av skadeståndsanspråk Konsekvenser av förslagen ................................................... Två nya lagar men inga nya uppgifter................... Konsekvenser för den personliga integriteten ..... Konsekvenser i övrigt............................................ 8.1Förslaget till lag om behandling av personuppgifter 8.2Förslaget till lag om behandling av personuppgifter 8.3Förslaget till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s 8.4Förslaget till lag om ändring i brottsdatalagen (2018:1177) ........................................................................... 8.5Förslaget till lag om ändring i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet ......... Sedan nuvarande särskilda regler för personuppgiftsbehandling i För- svarsmaktens och Försvarets radioanstalts verksamheter trädde 2007 har det skett en omfattande utveckling och ett reformarbete på personuppgiftsområdet. Bl.a. har Europeiska unionen (EU) enats om en genomgripande dataskyddsreform som genomfördes . Reformen omfattade dels en allmän dataskyddsförord- ning, dels ett dataskyddsdirektiv som behandlar dataskyddet vid bl.a. brottsbekämpning, lagföring och straffverkställighet. En konse- kvens av EU:s reform är att den svenska personuppgiftslagen har upphävts och att all personuppgiftslagstiftning som anknyter till denna lag därför behöver ses över och anpassas. Verksamheter inom försvar och nationell säkerhet är uttryckligen undantagna från EU:s lagstiftningskompetens. Viss verksamhet vid Försvarsmakten och regleras emellertid av personuppgiftslagen, varför denna utredning fick i upp- drag bl.a. att göra en översyn av de författningar som reglerar per- sonuppgiftsbehandling inom Försvarsmakten och Försvarets radio- anstalt. Utredningen fick även i uppdrag att analysera huruvida rådande lagstiftning är ändamålsenlig för Försvarsmaktens och För- svarets radioanstalts verksamheter och om den är tillräcklig i fråga om skyddet för enskildas personliga integritet. Anpassningar och andra ändringar genom två nya lagar Utredningen föreslår att viss, särskilt angiven verksamhet hos För- svarsmakten och även fortsättningsvis ska sär- regleras i två nya heltäckande och självständiga lagar. Utredningen föreslår ett antal ändringar i förhållande till nuvarande reg- ler för personuppgiftsbehandling hos de båda myndigheterna. Bl.a. vidgas tillämpningsområdet för vilka verksamheter hos de båda myn- digheterna som omfattas av den särskilda lagregleringen. Tillåtna rättsliga grunder och behandling för nya ändamål Som anförts ovan föreslår utredningen vidgade tillämpningsområ- den för de båda nya lagarna jämfört med nuvarande lagstiftning. De nya lagarna innehåller emellertid också tydliga och uttömmande rättsliga grunder som anger vilka personuppgiftsbehandlingar som omfattas av de båda nya lagarna. För införs dessutom bestämmelser om s.k. preciserad finalitet, vilket innebär förbättrad förutsägbarhet om i vilka syften får vidarebehandla inhämtade uppgifter. Rättslig grund för Försvarsmakten – försvar och säkerhet Personuppgiftsbehandling inom Försvarsmaktens huvuduppgifter bör omfattas av en svensk nationell reglering. Försvarsmakten före- slås därför få behandla personuppgifter om det är nödvändig för att planera, förbereda och genomföra verksamhet som rör för- svar och säkerhet eller internationellt försvars- och säkerhetssamar- bete. Uppgiften att bedriva sådan verksamhet ska följa av lag, förord- ning eller ett särskilt beslut i vilket regeringen har uppdragit åt myndigheten att utföra uppgiften. Försvarsmakten har bl.a. i uppdrag att upprätthålla och utveckla ett militärt försvar som ytterst kan möta ett väpnat angrepp samt att försvara och främja svensk säkerhet. Vid höjd beredskap ska Försvarsmakten kunna krigsorganisera, mobilisera och använda alla krigsförband för att möta ett militärt hot mot och svenska intressen. och planeringen av denna innefattar personuppgiftsbehandling av anställda i Försvarsmakten och andra som på annat sätt är knutna till myndigheten. När Försvarsmakten planerar, förbereder och genomför militära operationer och öv- ningar behandlar myndigheten också uppgifter om de som deltar i operationerna och övningarna. Personuppgiftsbehandling inom under- rättelseverksamhet för att lösa Försvarsmaktens militära uppgifter, som inte utgör försvarsunderrättelseverksamhet eller militär säker- hetstjänst, omfattas av bestämmelsen om den rättsliga grunden, lik- som att pröva och anpassa teknisk utrustning och tekniska system. Den rättliga grunden ger Försvarsmakten det stöd för personupp- giftsbehandling enligt den föreslagna lagen som krävs inom bl.a. dessa verksamheter. Rättsliga grunder för Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst Med vissa ändringar innehåller den föreslagna lagen om behandling av personuppgifter vid Försvarsmakten i huvudsak samma rättsliga grunder för myndighetens försvarsunderrättelseverksamhet och mili- tära säkerhetstjänst som i nuvarande lagstiftning. Kravet att uppgif- ter om en person får behandlas i försvarsunderrättelseverksamheten endast om personen har anknytning till en preciserad inriktning för försvarsunderrättelseverksamheten tas dock bort. Rättsliga grunder för Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet Också för denna verksamhet innehåller den föreslagna lagen om be- handling av personuppgifter vid samma rätts- liga grunder som i nuvarande lagstiftning. Kravet att uppgifter om en person får behandlas i försvarsunderrättelseverksamheten endast om personen har anknytning till en preciserad inriktning för för- svarsunderrättelseverksamheten tas dock bort. Rättslig grund för Försvarets radioanstalts informationssäkerhetsverksamhet Av Försvarets radioanstalts instruktion framgår att Försvarets radio- anstalt har i uppdrag att vara statens resurs för teknisk informa- tionssäkerhet och ska ha hög kompetens inom informationssäker- hetsområdet. Förslaget till lag om behandling av personuppgifter vid innehåller en rättslig grund som innebär att personuppgifter får behandlas i Försvarets radioanstalts informa- tionssäkerhetsverksamhet om det är nödvändigt för att kunna skydda den egna myndigheten eller för att kunna stödja andra verksamheter som är av betydelse för säkerhet. Uppgiften att lämna stöd till andra verksamheter ska följa av lag eller förordning eller reger- ingsbeslut i ett enskilt fall. Det finns även ett antal tillkommande ändamål för vilka person- uppgifter som behandlas i informationssäkerhetsverksamheten bör få behandlas. Personuppgiftsbehandling föreslås få ske om det är nödvändigt för att tillhandahålla information som behövs hos den som tar emot uppgifter om informationssäkerhet samt om det är nödvändigt för att tillhandahålla information som behövs med an- ledning av samverkan med andra som verkar på informationssäker- hetsområdet såväl inom som utom landet. Detta bör dock bara få ske i den utsträckning det följer av lag eller förordning eller om reger- ingen i ett enskilt fall beslutar om det. En nära samverkan mellan försvarsunderrättelseverksamheten och informationssäkerhetsverksamheten är enligt utredningen av stor betydelse. För underrättelseverksamheten är det angeläget att kunna ta del av uppgifter från informationssäkerhetsverksamheten när det gäller att kartlägga allvarliga yttre hot mot samhällets infra- struktur och främmande underrättelseverksamhet. Personuppgifter förslås därför även få behandlas om det är nödvändigt för att till- handahålla information av detta slag. Informationssäkerhetsverksamheten är även av betydelse för ut- vecklingsverksamheten. Personuppgifter som får behandlas i infor- mationssäkerhetsverksamheten förslås därför även få behandlas om det är nödvändigt för att tillhandahålla information som behövs i utvecklingsverksamheten. Behandling av personuppgifter i allmänt tillgänglig information För att kunna bedriva en effektiv försvarsunderrättelseverksamhet utöver den information som inhämtas genom hemliga metoder be- höver både Försvarsmakten och också till- gång till allmänt tillgänglig information. Allmänt tillgänglig infor- mation kan vara personuppgifter som kan påträffas vid sökning på internet eller vid sökningar i öppna databaser. Uppgifterna kan vara gratis eller tillgängliga på kommersiell grund. Det kan också röra sig om uppgifter som t.ex. en abonnent på ett eller annat sätt har sam- tyckt att uppgifterna finns med i elektroniska telefonkataloger eller förteckningar över ip-adresser i olika länder Personuppgifter som utgör allmänt tillgänglig information före- slås därför få behandlas av Försvarsmakten om det är nödvändigt för planering, förberedelse och genomförande av verksamhet som rör försvar och säkerhet eller internationellt försvars- och säker- hetssamarbete, försvarsunderrättelseverksamheten, eller den militära säkerhetstjänsten. Motsvarande föreslås för om det är nödvändigt för de ändamål som anges för försvarsunder- rättelse- och utvecklingsverksamheten och informationssäkerhets- verksamheten. Behandling av känsliga personuppgifter De föreslagna lagarna, liksom de nuvarande, förbjuder behandling av personuppgifter som grundar sig enbart på känsliga personuppgifter. Författningarna innehåller undantag från förbudet genom att andra uppgifter får kompletteras med känsliga uppgifter och att känsliga personuppgifter får användas som sökbegrepp om det är absolut nöd- vändigt. Känsliga personuppgifter i form av biometriska uppgifter får emellertid behandlas självständigt, medan behandling av gene- tiska uppgifter föreslås vara helt förbjudet för båda myndigheterna. Känsliga personuppgifter föreslås emellertid få behandlas utan hinder av dessa regler om den som personuppgifterna rör har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort uppgifterna. Detta ska dock inte gälla genetiska uppgifter. Längsta tid för behandling De föreslagna lagarna reglerar längsta tid för behandling, men inne- håller inte – som de nuvarande – regler om bevarande och gallring. Lagarna syftar nämligen till att skydda den personliga integriteten och reglerar inte bevarande och gallring i arkivlagens mening. Jäm- fört med nuvarande bestämmelser har de därför formuleras om så att det framgår att det är fråga om dataskyddsbestämmelser. Regler- ingen ska utgå från hur länge personuppgifter får behandlas. Utökade möjligheter till elektroniskt utlämnande Regleringen av i vilken utsträckning personuppgifter får lämnas ut på medium för automatiserad behandling moderniseras för att möta de ökade behoven av att kunna kommunicera elektroniskt. För För- svarsmakten blir det tillåtet att lämna ut personuppgifter elektro- niskt på annat sätt än genom direktåtkomst om det inte är olämpligt, medan utlämnande från är fortsatt mer restriktivt. Försvarsmakten och ska få medge varandra och Säkerhetspolisen direktåtkomst till personuppgifter som har gjorts gemensamt tillgängliga och som behandlas för vissa syften. Även utländska underrättelse- och säkerhetstjänster kan få medges direktåtkomst till uppgifter som Försvarsmakten behandlar för vissa syften, om det t.ex. behövs för samarbetet mot terrorism. Sådan direktåtkomst ska dock endast få medges till personuppgifter i en avskild uppgiftssamling och endast om svenska intressen kan moti- vera det. Tillsyn över myndigheternas personuppgiftsbehandling Både Datainspektionen och Statens inspektion för försvarsunder- rättelseverksamheten ska på samma sätt som utöva tillsyn och kontroll över Försvarsmaktens och Försvarets radioanstalts person- uppgiftsbehandling. Konsekvenser för den personliga integriteten Sammantaget innebär förslagen att skyddet för den personliga integ- riteten kommer att vara på samma nivå som . I viss mån kan intrånget i personlig integritet öka genom de ökade möjlig- heterna till direktåtkomst som motiveras av starka försvars- och säker- hetsintressen. De nya författningarna och ändringarna i de befintliga författning- arna föreslås träda i kraft . Det krävs särskilda övergångsbestämmelser för bestämmelserna om loggning i uppgifts- samlingar. Till de nya lagarna krävs det också övergångsbestämmel- ser för ärenden om tillsyn eller granskning som rör behandlingen av personuppgifter som har påbörjats före ikraftträdandet men inte hunnit slutföras. dataskydds- och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, för- hindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF Brottsdatalagen (2018:1177) 95/46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän 1981 om skydd för enskilda vid automatisk Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- Rådets rambeslut /977/RIF av den om skydd av person- uppgifter som behandlas inom ramen för Europeiska domstolen för de mänskliga 1950 angående skydd för de mänskliga rättigheterna och de grundläggande Europeiska unionens stadga om de grund- följande sida/sidor förordningen (2007:260) om behandling av personuppgifter i Försvarsmaktens Lagen (2007:258) om behandling av förordningen (2007:261) om behandling av personuppgifter i Försvarets radioanstalts lagen (2007:259) om behandling av person- uppgifter i Försvarets radioanstalts lagen (2000:130) om försvarsunderrättelse- förordningen (1982:765) om Försvars- maktens ingripanden vid kränkningar av territorium under fred och personuppgiftslagen (1998:204) lagen (2008:717) om signalspaning Statens inspektion för försvarsunder- Tekniskt detekterings- och varningssystem Tryckfrihetsförordningen (1949:105) 1.1Förslag till lag (2019:000) om behandling av personuppgifter vid Försvarsmakten Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § Syftet med denna lag är att säkerställa att Försvarsmakten kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. 2 § Denna lag gäller vid Försvarsmaktens behandling av personupp- gifter som rör försvar och säkerhet. 3 § Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i eller är av- sedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier. 4 § Vid behandling av personuppgifter enligt denna lag gäller inte lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning. Förhållandet till annan reglering 5 § Bestämmelserna i denna lag ska inte tillämpas i den utsträck- ning det skulle inskränka skyldigheten enligt 2 kap. tryckfrihetsför- ordningen att lämna ut personuppgifter. 6 § Försvarsmakten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Personuppgiftsansvaret omfattar all behandling av personupp- gifter som utförs under myndighetens ledning eller på dess vägnar. 7 § Försvarsmakten får vara gemensamt personuppgiftsansvarig med annan endast i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. 8 § I denna lag används följande uttryck med nedan angiven be- tydelse. En åtgärd eller kombination av åtgärder som vidtas i fråga om per- av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, orga- nisering, strukturering, lagring, bearbetning eller ändring, fram- tagning, läsning, användning, ut- lämnande, spridning eller till- handahållande på annat sätt, justering, sammanföring, begräns- ning, radering eller förstöring. Personuppgifter som rör en per-