sou · H6B363 · 2018-08-09 00:00:00 — Uppgifter om brottsmisstanke är särskilt käns- liga ur integritetssynpunkt och det föreskrivs därför att i de fall behandlingen av en personuppgift inte föranleds av antagande om att personen utövar brottslig verksamhet ska detta särskilt anges, om det inte klart framgår på annat sätt. På motsvarande sätt ska anges om det inte heller kan antas att personen bedriver säkerhetshotande verksamhet som inte utgör brott. Utgångspunkten är att särskilda upplysningar inte behövs när det av sammanhanget inte kan uppstå några tvivel om varför uppgifterna i fråga behandlas och det därför inte föreligger risk för att någon av misstag kan uppfattas utöva brottslig eller på annat sätt säkerhetshotande verksamhet. I andra stycket föreskrivs att uppgifter om att en person som avses ipunkterna 1–3 ska förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Detta innebär att en särskild upplysning i förekommande fall ska lämnas om vilken tro- värdighet som tillmäts t.ex. den som lämnat ett tips till säkerhets- tjänsten. Om möjligt ska också anges hur korrekt uppgiften är, t.ex. om det är en obekräftad gissning eller ett belagt faktum. Trots vad som sägs i 5 och 6 §§ får personuppgifter som ingår i eller har uppkommit i samband med användning av totalförsvarets tele- kommunikations- och informationssystem behandlas för att förhindra obehörig insyn i och påverkan av dessa system. Det gäller även sådana uppgifter som avses i 15, 16, 18 och 19 §§. Behandling som särskilt syftar till att identifiera en person får dock endast utföras om be- stämmelserna i 5 § första stycket 1, 2 eller 3 tillämpas. Bestämmelsen, som behandlas i avsnitt 6.3.3, innebär att person- uppgifter som ingår i eller har uppkommit i samband med använd- ning av totalförsvarets telekommunikations- och informations- system – även sådana som omfattas av särskilda restriktioner – får behandlas i syfte att förhindra obehörig insyn i och påverkan av dessa system. Den omständigheten att sådan behandling genom signal- kontroll utförs utan att förekomsten av relevanta personuppgifter på förhand kan avgöras utgör följaktligen inte något hinder för verk- samheten. När säkerhetshotande företeelser upptäcks och det erfordras särskild behandling för att identifiera en person, t.ex. genom att en viss kommunikationsenhet härleds till en individualiserad användare, gäller dock att behandlingen endast får utföras om det finns grundad anledning att anta att det beträffande personen föreligger sådant förhållande som avses i 5 § första stycket 1, 2 eller 3. Personuppgifter som utgör allmänt tillgänglig information får behand- las av Försvarsmakten om det är nödvändigt för de ändamål som anges i 1, 2 och 4 §§. Bestämmelsen behandlas i avsnitt 6.3.4. För att kunna bedriva en effektiv försvarsunderrättelseverksam- het behöver Försvarsmakten, utöver den information som den inhämtar genom hemliga metoder, också ha god tillgång till allmänt tillgänglig information. Därigenom kan den på hemligt sätt inhäm- tade informationen på ett bättre sätt än eljest sättas in i sitt rätta sammanhang. Av intresse här är information som utgörs av person- uppgifter som kan påträffas vid sökning på internet eller vid sök- ningar i öppna databaser. Uppgifterna kan vara gratis eller tillgäng- liga på kommersiell grund. Gemensamt för dem är att de är publikt tillgängliga. Det kan röra sig om uppgifter som t.ex. en abonnent på ett eller annat sätt har samtyckt att uppgifterna finns med i elek- troniska telefonkataloger eller förteckningar över ip-adresser i olika länder. I stället för att myndigheten exponerar sig kan databaserna anskaffas och läggas upp som referensdatabaser hos myndigheten där den kan göra sökningar. Bestämmelsen gör det också möjligt att behandla personupp- gifter på det beskrivna sättet när det gäller planering, förberedelse och genomförande av verksamhet som avser försvar och säkerhet eller internationellt försvars- och säkerhetssamarbete lik- som när det gäller verksamhet inom den militära säkerhetstjänsten. Personuppgifter får behandlas av Försvarsmakten om det är nödvändigt för diarieföring, arkivering, handläggning av ett ärende eller för att utföra annan liknande uppgift som åligger myndigheten. Bestämmelsen behandlas i avsnitt 6.3.5. Genom bestämmelsen har den behandling av personuppgifter som uppkommer i de i avsnittet beskrivna verksamheterna direkt stöd i lag. Försvarsmakten får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom denna lags tillämpningsområde. Bestämmelsen behandlas i avsnitt 6.3.10. Genom bestämmelsen ges Försvarsmakten möjlighet att behandla personuppgifter för historiska, statistiska eller vetenskapliga ändamål. Försvarsmakten får behandla personuppgifter för att kunna tillgodose enskildas behov av information enligt 5 kap. och kunna lämna infor- mation vid tillsyn eller kontroll. Bestämmelsen behandlas i avsnitt 6.3.11. Datainspektionen är tillsynsmyndighet för Försvarsmaktens per- sonuppgiftsbehandling. Även Statens inspektion för försvarsunder- rättelseverksamheten (Siun) har till uppgift att kontrollera försvars- underrättelseverksamheten hos de myndigheter som bedriver sådan verksamhet, däribland vilka personuppgifter som behandlas i denna verksamhet. Sökningar i uppgiftssamlingar och sammanställningar av uppgifter som är nödvändig för att Försvarsmakten ska kunna till- mötesgå tillsynsmyndighetens och kontrollmyndighetens behov inne- bär att personuppgifter behandlas. Bestämmelsen utgör rättslig grund för denna personuppgiftsbehandling samt för den personuppgifts- behandling som krävs för att tillmötesgå enskildas rätt till informa- tion enligt 5 kap. Enskildas rättigheter behandlas vidare i avsnitt 6.7.2. verksamhet behandlas i avsnitt 6.8. Bestämmelsen utgör även den rättsliga grunden för personupp- giftshantering i Försvarsmaktens loggfunktioner för de syften som framgår av denna bestämmelse. Bestämmelser om myndigheternas loggfunktioner behandlas vidare i avsnitt 6.6.2. Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen behandlades. Bestämmelsen behandlas i avsnitt 6.4.1. Paragrafen sätter, tillsammans med bestämmelserna i 13 och 14 §§, vissa ramar för Försvarsmaktens personuppgiftsbehandling inom lagens verksamhetsområden. Bestämmelsen ställer i första stycket krav på att varje personupp- giftsbehandling ska ha koppling till de ändamål som anges i lagen, dvs. vara relevant i de verksamheter som utgör rättsliga grunder för personuppgiftsbehandling och är ägnade att lösa Försvarsmaktens uppgifter enligt lag eller annan författning. Detta innebär att ända- målen med en behandling av personuppgifter måste bestämmas redan när uppgifterna samlas in. Paragrafens andra stycke ger uttryck för den generella s.k. finali- tetsprincipen, dvs. att fortsatt behandling av personuppgifter inte få ske för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen behandlades. Vad som ska anses vara oförenliga ändamål måste avgöras från fall till fall, men de ändamål som anges i lagen är att betrakta som förenliga för fortsatt behandling. Den innebär att den personuppgiftsansvarige måste hålla reda på för vilka ändamål varje person- uppgift har samlats in. 2006/07:46 s. 56 f. Författningsenlig och korrekt behandling Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. Paragrafen behandlas i avsnitt 6.4.1. Personuppgifter får enligt bestämmelsen bara behandlas om det är författningsenligt, dvs. enligt lag eller annan författning. Vad som är ett korrekt sätt för behandling styrs emellertid inte bara av bestämmelser i författning och den praxis som utbildas kring dem. allmänna råd och uttalanden i fråga om personuppgiftsbehandling har också betydelse, liksom myndighe- ternas interna regler. Personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen och, om det är nödvän- digt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Paragrafen behandlas i avsnitt 6.4.1. Enligt första stycket ska de behandlade uppgifterna vara adekvata och relevanta i förhållande till ändamålet med behandlingen. Detta innebär bl.a. att ovidkommande uppgifter inte får behandlas. En prövning av om en personuppgift är nödvändig för behandlingen ska göras kontinuerligt av den behöriga myndigheten, inte bara när uppgiften registreras eller på annat sätt samlas in. Även vid en senare behandling ska personuppgiften behövas för just den behandlingen, annars är kravet på adekvans och relevans inte uppfyllt. De person- uppgifter som behandlas behöver vara uppdaterade, om det är nödvändigt. Frågan om det är nödvändigt att de är uppdaterade får avgöras med hänsyn till ändamålen med behandlingen. Enligt andra stycket ska uppgifter som beskriver en persons ut- seende ska utformas på ett objektivt sätt med respekt för män- niskovärdet. Syftet med bestämmelsen är att förhindra att personers utseende beskrivs i ordalag som kan vara kränkande för individen. Utformningen av bestämmelsen innebär att myndigheten alltid är oförhindrad att, när den får ett tips från allmänheten eller en sam- arbetspartner om en person som kan misstänkas för verksamhet som exempelvis innebär säkerhetshot mot Försvarsmaktens intressen, göra de anteckningar som är nödvändiga för att underlätta identi- fieringen av personen, t.ex. anteckningar om fysiska kännetecken. Anteckningarna måste dock utformas på ett objektivt sätt. I anslut- ning till dessa anteckningar får även sådana känsliga personuppgifter som avses i 15 § antecknas, om det är absolut nödvändigt för det arbete som tipset bör föranleda. Enligt tredje stycket får inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Vad som utgör nödvändig behandling får avgöras av den personupp- giftsansvarige vid varje behandling. Att uppgifterna inte får vara fler än nödvändigt understryker kravet på att en fortlöpande bedömning görs. Sammantaget måste det vid all behandling prövas om det går att utelämna personuppgifter, eller i vart fall att endast använda upp- gifter som indirekt går att hänföra till en viss person. Om fullständig avidentifiering är ett fullgott alternativ till att använda direkta eller indirekta personuppgifter är förutsättningarna för att behandla per- sonuppgifterna inte uppfyllda. Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. När uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt för syftet med behandlingen. Paragrafen reglerar tillsammans med 16 och 17 §§ i vilken utsträck- ning känsliga personuppgifter får behandlas. Att uppgifterna beteck- nas som känsliga personuppgifter framgår av rubriken. Paragrafen behandlas i avsnitt 6.4.2. Enligt första stycket får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning inte behandlas. Det innebär att det inte är tillåtet att föra register över eller på annat sätt göra anteckningar om enskilda på den grunden att de utifrån etniskt ursprung, politiska åsikter eller något annat i paragrafen angivet förhållande kan hänföras till en viss kate- gori av människor. En uppgift om utseende är normalt inte en känslig personuppgift och den får alltså behandlas, med den begränsning som följer av 14 § andra stycket. Om en sådan uppgift innebär uppgift om etniskt ursprung omfattas den dock av förbudet. Bestämmelsen hindrar inte att uppgifter om en persons nationalitet behandlas, eftersom en sådan uppgift normalt inte ger upplysning om etniskt ursprung (se prop. 2009/10:85 s. 325). Uppgifter om att en viss person kommer från en viss världsdel eller ett visst land faller också som regel utanför förbudet mot behandling av känsliga person- uppgifter. Skulle en sådan personuppgift i det enskilda fallet t.ex. avslöja etniskt ursprung är dock förbudet tillämpligt. I andra stycket görs undantag från huvudregeln att känsliga per- sonuppgifter inte får behandlas. Uppgifter om en person som behand- las på annan grund får kompletteras med känsliga personuppgifter, om det är absolut nödvändigt för ändamålet med behandlingen. Det innebär att om andra uppgifter om en person samlas in får de kom- pletteras med uppgifter om exempelvis religiös övertygelse eller etniskt ursprung om det är av stor betydelse för syftet med behand- lingen. Med hänsyn till den restriktivitet som ligger i uttrycket ”absolut nödvändigt” måste dock behovet av att göra sådana kom- pletteringar prövas noga i det enskilda fallet. Känsliga personuppgifter kan också förekomma i Försvarsmaktens verksamhet på grund av att någon har lämnat en sådan uppgift i ett tips eller förhör. Det kan vara fråga om helt grundlösa påståenden. Eftersom Försvarsmakten inte kan hindra någon från att yttra sig vare sig muntligen eller skriftligen på dessa sätt, kan känsliga per- sonuppgifter komma att behandlas. Behandlingen av den känsliga personuppgiften omfattas i dessa fall av undantaget i andra stycket. Biometriska uppgifter får behandlas endast om det är absolut nödvändigt för ändamålet för behandlingen. Genetiska uppgifter får inte behandlas. Paragrafen reglerar i vilken utsträckning biometriska uppgifter får behandlas. Paragrafen behandlas i avsnitt 6.4.2. Med biometriska uppgifter avses enligt definitionen i 1 kap. 8 § personuppgifter som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken som tagits fram genom särskild tek- nisk behandling och som möjliggör eller bekräftar unik identifiering av personen i fråga. Bestämmelsen möjliggör användning av särskild teknisk behand- ling för att bekräfta unik identifiering av en person. Det innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelse- mönster kan användas för att identifiera en person. Behovet av att behandla biometriska uppgifter måste prövas noga i ett enskilt ärende. Försvarsmakten får inte behandla genetiska uppgifter. Uttrycket definieras i 1 kap. 8 §. Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning an- vändas som sökbegrepp om det är absolut nödvändigt för syftet med behandlingen. Detsamma gäller biometriska uppgifter. Paragrafen reglerar i vilken utsträckning känsliga personuppgifter får användas som sökbegrepp. Paragrafen behandlas i avsnitt 6.4.2. Paragrafen gäller generellt, dvs. såväl personuppgifter som har gjorts gemensamt tillgängliga som personuppgifter som inte har det. Bestämmelsen gör det möjligt att utföra sökning i syfte att få fram ett personurval grundat på känsliga personuppgifter, t.ex. i syfte att få fram ett urval av personer som t.ex. har viss politisk åskådning eller religiös övertygelse etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen är absolut nödvändig för de syften som utgör rättslig grund för Försvarsmaktens person- uppgiftsbehandlingar. Försvarsmakten kan behöva söka på uppgifter som rör politiska åsikter, religiös övertygelse eller etniskt ursprung, eftersom det ingår i Försvarsmaktens uppdrag att kartlägga sådan verksamhet som kan komma att hota försvar och säkerhet. Sådan sökning kan även behöva göras t.ex. för att förebygga, förhindra eller utreda angrepp mot svensk personal vid insatser utomlands. Kravet på att det ska vara absolut nödvändigt att göra sökningen gör att utrymmet för sådana sökningar är begränsat och att rutinmässiga sökningar på känsliga uppgifter inte är tillåtna. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 15 §. Rätten att göra sökning medför således inte en generell rätt att fortsätta att behandla uppgifterna. Uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till 1.ändamålet med behandlingen, 2.vikten av en säker identifiering, eller 3.något annat beaktansvärt skäl. Paragrafen reglerar i vilken omfattning personnummer får behandlas vid Försvarsmakten. Paragrafen behandlas i avsnitt 6.4.3. Om den som uppgifterna rör har offentliggjort uppgifterna eller lämnat sitt samtycke Utan hinder av vad som föreskrivs i 15, 16 och 18 §§ får person- uppgifter behandlas, om den som personuppgifterna rör har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort uppgifterna. Första stycket gäller inte genetiska uppgifter. Paragrafen behandlas i avsnitt 6.4.4. Paragrafen ger Försvarsmakten möjlighet att behandla känsliga personuppgifter, om den som personuppgifterna rör har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort upp- gifterna. Samtyckessituationer kan exempelvis förekomma i Försvars- maktens militära säkerhetstjänst vid säkerhetsprövningar. Paragra- fen ger även Försvarsmakten möjlighet att behandla personuppgifter som tydligt har offentliggjorts genom att de exempelvis tillkänna- getts på internet. Bestämmelsen gäller inte genetiska uppgifter. Behandling av personuppgifter i vissa fall Hantering av information som innebär behandling av personuppgifter ska inte anses oförenlig med bestämmelserna i 1, 2, 4, 5, 7, 8 och 12–16 §§ i det skede av behandlingen då det inte har kunnat fastställas vilka per- sonuppgifter som informationen innehåller. Paragrafen behandlas i avsnitt 6.4.5. Bestämmelsen innebär att hantering av information som innebär behandling av personuppgifter inte ska anses oförenlig med bestäm- melserna om tillåtlighet, ändamål, författningsenlig och korrekt behandling, personuppgifternas kvalitet och känsliga personuppgifter i det skede av behandlingen då det ännu inte har kunnat fastställas vilka personuppgifter som informationen innehåller. När det står klart att informationen innehåller personuppgifter, samt vilka personuppgifterna är, ska Försvarsmakten behandla per- sonuppgifterna enligt övriga bestämmelser i lagen. Längsta tid som personuppgifter får behandlas Personuppgifter som behandlas automatiserat får inte behandlas än vad som behövs för något eller några av de ändamål som anges i 1–11 §§. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller i ett enskilt fall besluta att personuppgifter får behandlas under endast eller bevaras för historiska, statistiska eller vetenskapliga ändamål. Paragrafen, som behandlas i avsnitt 6.4.6, innehåller en generell bestäm- melse om hur länge Försvarsmakten får behandla personuppgifter. Enligt första stycket får personuppgifter som behandlas automa- tiserat enligt bestämmelsen inte behandlas än vad som behövs för något eller några av de ändamål för vilka Försvars- makten får behandla personuppgifter (1–11 §§). Det som avses är ändamålet i det enskilda fallet. behandlas personuppgifter för flera olika ändamål. Att det inte längre finns behov av att behandla personuppgiften för ett visst ändamål medför inte att behandlingen av den måste upphöra för alla andra ändamål . Å andra sidan innebär det förhållandet att personuppgiften fortfarande behövs för ett visst ändamål inte att den får fortsätta att behandlas för alla ändamål . Finns det inte längre behov av att behandla upp- gifterna för något av ändamålen får de bara behandlas för arkiv- ändamål. Behovet av att fortsätta att behandla uppgifterna måste därför prövas kontinuerligt. Om det är tillräckligt att behandla avidentifierade uppgifter är det inte längre tillåtet att behandla personuppgifterna. Bestämmelsen ger även stöd för fortsatt behandling av person- uppgifter i ett avslutat ärende om uppgifterna bedöms ha ett allmänt värde för exempelvis Försvarsmaktens försvarsunderrättelseverk- samhet eller militära säkerhetstjänst. En grundläggande förutsätt- ning för fortsatt behandling är att Försvarsmakten bedömer att upp- gifterna behöver finnas tillgängliga ytterligare för något av de ändamål för vilka Försvarsmakten får behandla personupp- gifter. När det gäller ostrukturerad underrättelseinformation kan det vara särskilt svårt att bedöma det fortsatta behovet av behandling. Bedömningen måste innan bearbetningen är genomförd göras på ett mer övergripande plan och i större utsträckning utgå från sanno- likheten av att personuppgifterna kan komma att behövas i verksam- heten än en reell bedömning av den enskilda uppgiften. Bestämmelsen hindrar inte att Försvarsmakten med stöd i annan författning arkiverar och bevarar allmänna handlingar eller att arkiv- material lämnas till en arkivmyndighet. I andra stycket finns en upplysningsföreskrift om att regeringen eller den myndighet regeringen bestämmer kan meddela föreskrifter eller i ett enskilt fall besluta att personuppgifter får behandlas endast eller bevaras för historiska, statistiska eller veten- skapliga ändamål. Personuppgifter som behandlas med stöd av denna lag får föras över till andra länder eller internationella organisationer endast om sekretess inte hindrar det och det är nödvändigt för att Försvarsmakten ska kunna fullgöra sina uppgifter inom ramen för internationellt försvars- och säkerhetssamarbete. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller i enskilt fall besluta att överföring får ske även i andra fall om det är nödvändigt för verksamheten vid Försvarsmakten. Enligt paragrafen, som behandlas i avsnitt 6.4.7, får personuppgifter föras över till andra länder eller internationella organisationer endast om sekretess inte hindrar det och det är nödvändigt för att Försvars- makten ska kunna fullgöra sina uppgifter inom ramen för det interna- försvarsunderrättelse- och säkerhetssamarbetet. Paragrafen är ägnad att uppfylla de krav på nationell lagstiftning som dataskydds- konventionen ställer när det gäller överföring av personuppgifter till andra länder. Huruvida ett utlämnande ska ske eller inte måste i sin helhet avgöras efter en sekretessprövning och försvars- och säker- hetspolitiska överväganden. Av bestämmelsen framgår vidare att begränsningarna av möjlig- heterna till överföring gäller såvida inte regeringen har meddelat föreskrifter eller beslut i enskilda fall om att överföring får ske även i andra fall då det är nödvändigt för verksamheten vid Försvars- makten. Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 2–4 §§. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt första stycket. Paragrafen, som behandlas i avsnitt 6.4.7, reglerar elektroniskt ut- lämnande. Bestämmelsens första stycke innebär att en större mängd person- uppgifter kan lämnas ut elektroniskt, om det inte är olämpligt. I princip anses allt elektroniskt utlämnande som inte görs genom direktåtkomst utlämnat på medium för automatiserad behandling. Sådant utlämnande kan göras på många olika sätt.