sou · H6B363 · 2018-08-09 00:00:00 — Utredningens förslag: Försvarsmakten och Försvarets radio- anstalt ska utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. 1.självständigt kontrollera att myndigheten behandlar person- uppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2.informera och ge råd till myndigheten och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, 3.samråda med tillsynsmyndigheten, och 4.föra en förteckning över de kategorier av behandlingar som myndigheten ansvarar för och som är helt eller delvis auto- matiserade. Regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om vad en förteckning som avses i 4 ska innehålla. Om Försvarsmakten eller bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och rättelse inte vidtas, ska dataskyddsombudet anmäla det till tillsynsmyndigheten. Skäl för utredningens förslag: Enligt 4 kap. 1 § FM-PuL och FRA- PuL ska Försvarsmakten och utse ett eller flera personuppgiftsombud och anmäla dessa till tillsynsmyndigheten. Personuppgiftsombudet har till uppgift att: •självständigt se till att Försvarsmakten respektive Försvarets radio- anstalt behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister för myndigheten, •anmäla till tillsynsmyndigheten om personuppgiftsombudet har anledning att misstänka att Försvarsmakten respektive bryter mot de bestämmelser som gäller för behand- lingen av personuppgifter och inte vidtar rättelse så snart det kan ske efter påpekande, •även i övrigt samråda med tillsynsmyndigheten vid tveksamhet om hur de bestämmelser som gäller för behandlingen av per- sonuppgifter ska tillämpas, •föra en förteckning över de behandlingar som Försvarsmakten respektive genomför och som är helt eller delvis automatiserade och •hjälpa registrerade att få rättelse när det finns anledning att miss- tänka att behandlade personuppgifter är felaktiga eller ofull- ständiga. Motiven finns i prop. 2006/07:46 s. 98. I den lagstiftning om behandling av personuppgifter som helt eller delvis bygger på unionsrätten har benämningen personuppgiftsombud ersatts av benämningen dataskyddsombud. Unionsrätten är som tidi- gare anförts inte tillämplig på den behandling av personuppgifter som omfattas av de lagförslag som utredningen lägger fram och utred- ningen anser inte att samma regler som gäller för dataskyddsombud enligt dataskyddsförordningen bör gälla på detta område. Dock finner utredningen att det är lämpligt att använda benämningen dataskydds- ombud i stället för personuppgiftsombud i de lagförslag som utred- ningen lägger fram. Dataskyddsombudet bör ha samma uppgifter som personupp- giftsombudet har enligt FM-PuL och FRA-PuL, med undantag av skyldigheten att hjälpa registrerade att få rättelse när det finns anled- ning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Den uppgiften bör ligga på den personuppgiftsansvarige. Utredningens förslag: Försvarsmakten respektive får, om det är lämpligt, anlita personuppgiftsbiträden för behandling av personuppgifter på Försvarsmaktens respektive Försvarets radioanstalts vägnar. Innan ett personuppgiftsbiträde anlitas, ska myndigheten försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda rättigheterna för den som uppgifterna rör. Personuppgiftsbiträdets behandling av personuppgifter ska reg- leras i ett skriftligt avtal eller annan skriftlig överenskommelse. Ett personuppgiftsbiträde får inte anlita ett annat personupp- giftsbiträde utan skriftligt tillstånd av myndigheten. Ett personuppgiftsbiträde eller den eller de personer som arbetar under biträdets eller myndighetens ledning ska behandla person- uppgifter i enlighet med instruktioner från myndigheten. Om ett personuppgiftsbiträde, i strid med myndighetens in- struktioner, bestämmer ändamålen med och medlen för behand- lingen, ska biträdet anses vara personuppgiftsansvarig enligt den föreslagna lagen för den behandlingen. Skyldigheten att säkerställa att det förs loggar ska också gälla för personuppgiftsbiträdet. Detsamma gäller kravet på att till- gången till personuppgifter sak begränsas till vad var och en behö- ver för att kunna fullgöra sina arbetsuppgifter. Personuppgiftsbiträdet ska också vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåtenbehandling eller förstöring och mot förlust eller annan oavsiktlig skada. Skäl för utredningens förslag: Enligt 3 kap. 1 § FM-PuL och FRA- PuL får ett personuppgiftsbiträde och den eller de personer som arbetar under biträdet eller respektive myndighets ledning behandla personuppgifter bara i enlighet med instruktioner från myndigheten. Det ska enligt bestämmelsen finnas ett skriftligt avtal om person- uppgiftsbiträdets behandling av personuppgifter för myndighetens räkning. I det avtalet ska särskilt anges att personuppgiftsombudet får behandla personuppgifterna bara i enlighet med instruktioner från myndigheten och att personuppgiftsbiträdet är skyldigt att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter som behandlas. När myndigheten anlitar ett personuppgiftsbiträde ska den enligt 3 kap. 2 § FM-PuL och FRA-PuL förvissa sig om att ett person- uppgiftsbiträde kan genomföra de säkerhetsåtgärder som måste vid- tas och se till att personuppgiftsbiträdet verkligen vidtar åtgärderna. Motiven till bestämmelserna finns i prop. 2006/07:46 s. 95. Utredningen anser att motsvarande reglering bör införas i de nya Följande föreskrifter bör dock läggas till. Ett personuppgiftsbiträde får inte anlita ett annat personupp- giftsbiträde utan skriftligt tillstånd från myndigheten. Om ett personuppgiftsbiträde, i strid med myndighetens instruk- tioner, bestämmer ändamålen med och medlen för behandlingen, ska personuppgiftsbiträdet vara personuppgiftsansvarig enligt den före- slagna lagen för den behandlingen. Skyldigheten att säkerställa att det förs loggar ska också gälla för personuppgiftsbiträdet. Detsamma gäller kravet på att tillgången till personuppgifter sak begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Personuppgiftsbiträdet ska också vidta lämpliga tekniska och orga- nisatoriska åtgärder för att skydda de personuppgifter som behand- las, särskilt mot obehörig eller otillåten behandling eller förstöring och mot förlust eller annan oavsiktlig skada. 6.6.7Bestämmelser om konsekvensbedömningar bör inte införas Utredningens bedömning: Särskilda regler om konsekvensbedöm- ningar bör inte införas i de föreslagna lagarna. Skäl för utredningens bedömning: Enligt förslaget till Säkerhets- polisens datalag ska Säkerhetspolisen bedöma konsekvenserna för skyddet av personuppgifter om en typ av ny behandling, eller bety- dande förändringar avseende redan pågående behandling, kan antas medföra särskild risk för intrång i registrerades personliga integritet. Bedömningen ska ske innan typen av behandling påbörjas eller för- ändringen genomförs. Om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behand- ling innebär särskild risk för intrång, ska Säkerhetspolisen samråda med tillsynsmyndigheten innan behandlingen påbörjas eller betydande förändringar genomförs (5 kap. 6 § förslaget till Säker- hetspolisens datalag). Reglerna om konsekvensbedömningar och skyldighet att sam- råda med tillsynsmyndigheten grundar sig på unionsrätten. I sam- manhanget vill utredningen peka på skäl 93 i dataskyddsförordningen om konsekvensbedömningar. Där sägs att medlemsstaterna kan anse det nödvändigt att genomföra en sådan bedömning i samband med antagande av medlemsstaters nationella rätt som ligger till grund för utövande av myndighetens eller det offentliga organets uppgifter och reglerar den aktuella specifika behandlingsåtgärden eller serien av åtgärder. Den lagstiftning som utredningen föreslår består till en icke ringa del av bedömningar av konsekvenserna för skyddet av personuppgifter. Utredningen konstaterar att unionsrätten inte gäller de behandlingar av personuppgifter vid Försvarsmakten och som utredningens lagförslag omfattar. att det inte heller finns några skäl att föreslå att det i lagförslagen förs in bestämmelser om konsekvensbedömningar. 6.7.1Allmän information som ska göras tillgänglig Utredningens förslag: Försvarsmakten och Försvarets radio- anstalt ska göra följande allmänna information tillgänglig: 1.Myndighetens identitet och kontaktuppgifter. 2.Uppgifter om dataskyddsombudet. 3.Ändamålen med behandlingen. 4.Rätten att begära att få information om behandling av per- sonuppgifter och att få del av dem. 5.Rätten att begära rättelse, radering eller begränsning av be- handlingen. Skäl för utredningens förslag: Några regler om att myndigheterna ska hålla information allmänt tillgänglig finns inte i FM-PuL och FRA-PuL. Utredningen föreslår att viss information om Försvars- makten och ska vara allmänt tillgänglig. Med allmän menas information som riktar sig till en obestämd krets av personer. I kravet på att information ska vara tillgänglig ligger att allmänheten i princip ska ha möjlighet att ta del av informationen när den önskar. Informationen kan t.ex. publiceras på myndigheternas webbplatser eller finnas i en broschyr eller annan informationsskrift. Utöver uppgifter om myndighetens identitet och kontaktupp- gifter föreslås i det följande att viss annan allmän information på områden som har anknytning till personuppgiftsbehandling ska göras allmänt tillgänglig av myndigheterna. Dataskyddsombud behandlas i avsnitt 6.6.5. I likhet med vad som föreslås i Säkerhetspolisens datalag anser utredningen att det finns skäl att i lag ha föreskrifter om att hålla vissa uppgifter om dataskyddsombudet allmänt tillgängliga. Det finns emellertid inte skäl att införa krav på att dataskyddsombudets identitet eller direkta kontaktuppgifter, exempelvis hans eller hennes e-postadress, ska göras allmänt tillgängliga, utan det är tillräckligt att det framgår att det finns ett dataskyddsombud och hur allmänheten kan kontakta honom eller henne. Den information som åsyftas i den föreslagna bestämmelsen avser, liksom de bestämmelser regeringen har föreslagit i brottsdatalagen (prop. 2017/18:232), att det är fråga om upplysningar av generell karaktär som gäller myndighetens personuppgiftsbehandling i all- mänhet. Det innebär att det inte är fråga om ändamålen för behand- ling i varje enskilt fall som avses utan för vilka kategorier av ändamål personuppgifter får behandlas. Det bör emellertid inte krävas en uttömmande uppräkning av för vilka ändamål personuppgifter behand- las, utan det bör vara tillräckligt att enskilda genom informationen får en god bild av den personuppgiftsbehandling som Försvarsmakten eller utför. Information om vissa rättigheter Som angetts ovan ska Försvarsmakten respektive Försvarets radio- anstalt vidta vissa åtgärder efter begäran av en enskild. Någon bestämmelse om att information om dessa rättigheter ska göra all- mänt tillgänglig finns inte i FM-PuL och FRA-PuL. Utredningen anser att informationen också ska avse rätten att få information om behandling av personuppgifter och att få del av dem liksom rätten att begära rättelse, radering eller begränsning av be- handlingen. 6.7.2Enskilds rätt till personrelaterad information hos Försvarsmakten Information som ska lämnas om uppgifterna samlas in från per- sonen själv. Om uppgifter om en person samlas in från personen själv, ska Försvarsmakten när personuppgifterna erhålls, självmant lämna följande information till den som uppgifterna rör: 1.uppgift om att det är Försvarsmakten som är personupp- giftsansvarig för behandlingen, 2.uppgift om ändamålen med behandlingen, och 3.all övrig information som behövs för att den som uppgifterna rör ska kunna ta till vara sina rättigheter i samband med behand- lingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om infor- mation och få rättelse. Information som ska lämnas efter begäran Försvarsmakten ska till den som begär det utan onödigt dröjsmål lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Behandlas sådana uppgifter ska sökanden få del av dem och få följande skriftliga information. 1.Vilka personuppgifter om sökanden som behandlas. 2.Varifrån personuppgifterna kommer. 3.Den rättsliga grunden för behandlingen. 4.Ändamålen med behandlingen. 5.Mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer. 6.Hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det. 7.Rätten att begära rättelse, radering eller begränsning av be- handlingen. Sådant utlämnande behöver inte omfatta personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. Ansökan ska göras skriftligen hos Försvarsmakten och vara undertecknad av den sökande själv. Information enligt första stycket ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Skäl för utredningens förslag: Bestämmelser om att lämna infor- mation finns i 2 kap. 1 och 2 §§ FM-PuL. Information som ska lämnas om uppgifterna samlas in från den som uppgifterna rör Om uppgifter om en person samlas in i den militära säkerhetstjänsten från den som personuppgifterna rör ska Försvarsmakten i samband med insamlingen självmant lämna den registrerade information om behandlingen av uppgifterna. Sådan information ska omfatta uppgift om att det är Försvarsmakten som är personuppgiftsansvarig för behandlingen, uppgift om ändamålen med behandlingen och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse (2 kap. 1 § FM-PuL). Av samma bestämmelse framgår att information inte behöver lämnas om sådant som den registrerade redan känner till. Motiven finns i prop. 2006/07:46 s. 86 f. Bestämmelsen tillämpas huvudsakligen i samband med säkerhetsprövning enligt säkerhets- skyddslagen inför bl.a. anställning, uppdrag och tjänstgöring inom Försvarsmakten. Information behöver inte lämnas om sådant som den person- uppgifterna rör redan känner till. Sådant som denne redan känner till kan vara sådant som han eller hon vet t.ex. på grund av att informa- tionen redan har lämnats i enlighet med annan lagstiftning eller när den personuppgiftsansvarige avser att fortlöpande samla in uppgifter om den uppgifterna rör. Information behöver då inte lämnas varje gång nya uppgifter samlas in, om den uppgifterna rör en gång har fått fullständig information och således redan känner till infor- mationen. Liksom vid personuppgiftsbehandling inom ramen för den mili- tära säkerhetstjänstens verksamhet förekommer situationer även inom andra av Försvarsmaktens verksamhetsområden där uppgifter inhämtas från den som personuppgifterna rör. Utredningen föreslår inte någon förändring beträffande den informationsskyldighet som enligt nuvarande bestämmelser omfattar verksamhet inom den militära säkerhetstjänsten. Som framgått i tidigare avsnitt föreslår emellertid utredningen att den nya lagen om personuppgiftsbehandling inom Försvarsmakten ska ha ett utvidgat tillämpningsområde. Även inom verksamhetsområdena försvar och säkerhet samt internatio- nellt säkerhets- och försvarssamarbete kan det förekomma situationer när Försvarsmakten behandlar personuppgifter som har lämnats av den enskilde själv. Det är därför inte lämpligt med lagens utvidgade tillämpningsområde att Försvarsmaktens informationsskyldighet begränsas till sådant som inhämtats inom ramen för den militära säkerhetstjänsten, utan Försvarsmakten bör även åläggas att lämna information om personuppgiftsbehandlingen som sker inom dessa tillkommande områden, dvs. försvar och säkerhet samt inter- nationellt säkerhets- och försvarssamarbete, när uppgifterna hämtas från den enskilde själv. Information som ska lämnas efter begäran Enligt 2 kap. 2 § FM-PuL är Försvarsmakten skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om huruvida personuppgifter som rör den sökande behandlas eller inte (ärenden om personrelaterad information). En sökandes rätt enligt bestämmelserna att få reda på om personuppgifter som rör honom eller henne behandlas av Försvarsmakten gäller inte i den utsträckning som sekretess hindrar att uppgifterna lämnas ut till den registrerade, vilket framgår av 2 kap. 4 § FM-PuL. I motiven till bestämmelsen (prop. 2006/07:46 s. 89) anges att den sekretess som gäller för Försvarsmaktens verksamheter inom de områden som regleras av FM-PuL innebär att information sällan kommer lämnas ut, men att bestämmelser om information fyller en viktig funktion i de fall där sekretess inte gäller för uppgifterna. Sekretessbestämmelser som begränsar den enskildes rätt till insyn gäller emellertid inte i förhållande till Datainspektionen, som ska utöva tillsyn över Försvarsmaktens personuppgiftsbehandling inom Försvarsmaktens försvarsunderrättelseverksamhet och militära säker- hetstjänst. Vid tillsyn har Datainspektionen rätt att få tillgång till de personuppgifter som behandlas, upplysningar om dokumentation av behandlingen av personuppgifter och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter (se närmare om detta i avsnitt 6.8.1). Försvarsmakten hanterar ärenden om begäran om infor- mation enligt FM-PuL3, vilka sällan leder till annat än besked om att uppgifter som behandlas inom Försvarsmaktens försvarsunderrät- telseverksamhet och militära säkerhetstjänst omfattas av sekretess om det kan antas att det skadar försvar eller på annat sätt vållar fara för rikets säkerhet om uppgifterna röjs. Även ett besked om att uppgifterna om en person inte förekommer i Försvarsmaktens för- svarsunderrättelseverksamhet eller militära säkerhetstjänst kan vålla sådan skada. Därutöver lämnar Försvarsmakten generell informa- tion om i vilka ärendehanteringssystem och andra administrativa system som personuppgifter kan komma att behandlas enligt per- sonuppgiftslagen. Utredningen bedömer att rätten att begära information fortsatt är en viktig del i den enskildes rätt att i möjligaste mån informera sig om hur och i vilka sammanhang dennes personuppgifter behandlas. Även om det står klart att en begäran om sådan information, i vart fall inom Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst, sannolikt inte leder till annat än besked om att redan det förhållandet huruvida den enskildes personuppgifter förekommer i dessa verksamheter eller inte omfattas av sekretess, finns skäl att behålla denna begränsade möjlighet till insyn för den enskilde. Den föreslagna lagstiftningens utvidgade tillämpningsområde gör att denna möjlighet till insyn omfattar fler områden . 3Att skilja från utlämningsärenden om allmänna handlingar. Försvarsmakten hanterade 43 ären- den 2015, 2016, 2017 och 8 . 6.7.3Enskilds rätt till personrelaterad information hos Utredningens förslag: är skyldig att till den som begär det utan onödigt dröjsmål en gång per kalenderår lämna skriftligt besked om personuppgifter som rör honom eller henne behandlas. Behandlas sådana uppgifter ska sökanden få del av dem och få följande skriftliga information. 1.Vilka personuppgifter om den sökande som behandlas. 2.Varifrån personuppgifterna kommer. 3.Den rättsliga grunden för behandlingen. 4.Ändamålen med behandlingen. 5.Mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer. 6.Hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det. 7.Rätten att begära rättelse, radering eller begränsning av be- handlingen. Sådant utlämnande behöver inte omfatta personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. Ansökan ska göras skriftligen hos och vara undertecknad av den sökande själv. Information enligt första stycket ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Skäl för utredningens förslag: På samma sätt som Försvarsmakten är enligt 2 kap. 1 § FRA-PuL skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om huruvida personuppgifter som rör den sökande behand- las eller inte. En sökandes rätt enligt bestämmelsen att få reda på om personuppgifter som rör honom eller henne behandlas av gäller inte i den utsträckning som sekretess hindrar att uppgifterna lämnas ut till den registrerade, se vidare härom i av- snitt 6.7.4. Ovan angivna motivuttalanden om sekretess gäller även för Försvarets radioanstalts verksamhet och innebär på samma sätt som för Försvarsmakten att information sällan kommer lämnas ut, men att bestämmelser om information fyller en viktig funktion i de fall där sekretess inte gäller för uppgifterna. har i samtliga ärenden om person- relaterad information som handlagts med stöd av FRA-PUL konsta- terat att sekretess enligt 15 kap. 2 § offentlighets- och sekretesslagen (försvarssekretess) föreligger. Även uppgifter om att en person inte förekommer hos har bedömts omfattas av nämnda sekretess. I samtliga dessa ärenden har sökanden således fått avslag på sin begäran, oavsett om det förekommer uppgifter om sökanden eller inte inom försvarsunderrättelse- och utvecklings- verksamheten. Enskilda har därmed inte kunnat kontrollera om eller i vilken omfattning det hos behandlas per- sonuppgifter om honom eller henne inom dessa verksamheter. Det kan mot denna bakgrund argumenteras för att bestämmelsen inte fyller den funktion som antagits under lagstiftningsprocessen vid införandet av FRA-PuL. I sammanhanget kan nämnas att Europa- domstolen i ett avgörande om lagstiftningen om signalspaning i försvarsunderrättelseverksamhet i denna sak har funnit att ”the Court cannot find that it has practical importance”. Av 5 kap. 1 § FRA-PuL och anslutande förordning framgår att Datainspektionen ska utöva tillsyn över Försvarets radioanstalts personuppgiftsbehandling inom försvarsunderrättelse- och utveck- lingsverksamheten. Vid tillsyn har Datainspektionen på samma sätt som hos Försvarsmakten rätt att få tillgång till de personuppgifter som behandlas, upplysningar om dokumentation av behandlingen av personuppgifter och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Mot bakgrund av den stränga sekretess som gäller för Försvarets radioanstalts verksamhet har det, utöver Datainspektionens tillsyn, införts särskild granskning till skydd för den personliga integriteten (prop. 2006/07:46 s. 101). Statens inspektion för försvarsunderrät- telseverksamheten (Siun) har till uppgift att granska Försvarets radio- anstalts personuppgiftsbehandling enligt FRA-PuL. Denna gransk- ning inskränker inte Datainspektionens övergripande ansvar utan utgör en särskild granskning i syfte att kompensera för enskildas begränsade möjlighet till insyn i personuppgiftsbehandlingen inom försvars- och utvecklingsverksamheten.