sou · H6B363 · 2018-08-09 00:00:00 — Inspektionen konstaterade vidare att bestäm- melsen enligt sin ordalydelse i praktiken inte går att förena med inhämtning genom signalspaning på det sätt som det förefaller ha förutsetts genom införandet av lagen om signalspaning. Det var enligt Datainspektionen således uppenbart att bestämmelsen inte är anpassad till för de behov och förutsättningar som gäller för För- svarets radioanstalts verksamhet . Frågan om hur bestämmelsen ska tolkas borde enligt Datainspektionen ha tagits upp vid införan- det av lagen om signalspaning. Det var Datainspektionens uppfattning att bestämmelsen behöver ses över och anpassas till det mandat lagstiftaren har gett genom lagen om signalspaning. Datainspektionen fann mot den angivna bakgrunden anledning att uppmärksamma reger- ingen på detta behov och sände en kopia av beslutet till Försvars- departementet. Utredningen kan konstatera att bestämmelsen enligt sin orda- lydelse innebär att den inte undantar tillämpning av de nämnda före- skrifterna om grundläggande krav, ändamål, känsliga personupp- gifter och personnummer i de fall då man redan från början vet att informationen innehåller personuppgifter. Praktiskt taget all infor- mation som innehållande kommunikation mellan människor som inhämtar innehåller personuppgifter. Innan uppgifterna har översatts, forcerats och bedömts av analytiker är det okänt vilka specifika personuppgifter som behandlas. Många av de personuppgifter som behandlas på automatisk väg blir aldrig föremål för granskning. Det är därför en omöjlighet för att, såvida inte en analytiker bearbetat och bedömt per- sonuppgifterna, hävda att personuppgifterna har behandlats i enlig- het med bestämmelserna om grundläggande krav, ändamål, känsliga personuppgifter och personnummer. Som Datainspektionens beslut ger uttryck för står bestämmelsen därmed i konflikt med den personuppgiftsbehandling som lagen om signalspaning i försvarsunderrättelseverksamhet förutsätter ska ske hos efter inhämtningsskedet. Utredningen föreslår därför att bestämmelsen utformas så att den tar sikte på det skede då det inte har kunnat fastställas vilka personuppgifterna är. Den närmare utformningen bör anpassas till den föreslagna lagen om behandling av personuppgifter vid . Även i Försvarets radioanstalts informationssäkerhetsverksam- het förekommer personuppgifter. Vilka dessa är kan visa sig först i ett senare skede av hanteringen. Den föreslagna bestämmelsen kom- mer att medge hantering av information som innebär behandling av personuppgifter i ett tidigt skede då det inte har kunnat fastställas vilka personuppgifterna är. Motsvarande behov av legala förutsättningar för behandling av material innan det är klarlagt vilka personuppgifter materialet inne- håller finns även hos Försvarsmakten. Exempel på sådana situationer anges i det följande. För att Försvarsmakten ska kunna bedriva en effektiv verksamhet är det nödvändigt att använda sig av information som t.ex. delges till Försvarsmakten av andra myndigheter. När sådan information tas in i myndighetens tekniska system är det inte möjligt för Försvars- makten att i förväg veta vad som rapporteras och vilka personupp- gifter som förekommer i handlingen. Det är därför heller inte möj- ligt att i förekommande fall veta om personuppgifterna behandlas enligt bestämmelserna om grundläggande krav. När Försvarsmakten får in en rapport från en annan myndighet som rör försvarsunderrättelseverksamhet eller militär säkerhets- tjänst tas denna rapport normalt in i Försvarsmaktens informations- system för underrättelse- och säkerhetstjänsten. I samband med att rapporten läses in i systemet och diarieförs görs en notering om det förekommer personuppgifter i handlingen. Detsamma gäller om Försvarsmakten får in en handling om exempelvis försvarsplanering. Rapporten läses in i Försvarsmaktens informationssystem för ärende- hantering. Någon prövning utifrån bestämmelserna om grundläggande krav, tillåtlighet och känsliga personuppgifter görs dock inte förrän personuppgifterna bearbetas i respektive verksamhet. Det är först när personuppgifterna behandlas i verksamheten som en bedömning kan göras om de är nödvändiga för densamma. 6.4.6Längsta tid som personuppgifter får behandlas Utredningens förslag: Personuppgifter som behandlas automa- tiserat får inte behandlas än vad som behövs för något eller några av de ändamål för vilka Försvarsmakten eller enligt de föreslagna lagarna får behandla personuppgifter. I lagarna tas in en upplysningsföreskrift om att regeringen eller den myndighet regeringen bestämmer kan meddela föreskrifter eller i ett enskilt fall besluta att personuppgifter får behandlas endast eller bevaras för historiska, statistiska eller veten- skapliga ändamål. Skäl för utredningens förslag: Hur länge personuppgifter får beva- ras enligt FM-PuL och FRA-PuL regleras i bestämmelserna om gall- ring i 6 kap. 1 § FM-PuL och FRA-PuL. Av bestämmelserna framgår att personuppgifter som behandlas automatiserat ska gallras så snart uppgifterna inte längre behövs för det ändamål för vilket de behand- las, om inte regeringen eller den myndighet som regeringen bestäm- mer har meddelat föreskrifter eller i enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Utredningen anser att samma reglering bör gälla i de föreslagna lagarna med en viss språklig justering som bl.a. innebär att uttrycket gallring inte används. I stället föreslås en föreskrift om längsta tid som personuppgifter får behandlas. Bestämmelsen hindrar inte att Försvarsmakten och arkiverar och bevarar all- männa handlingar eller lämnar arkivmaterial till en arkivmyndighet. I den förordning som ska knyta an till den föreslagna lagen om behandling av personuppgifter vid Försvarsmakten bör tas in före- skrifter om bevarande av personuppgifter i uppgiftssamlingar i för- svarsunderrättelseverksamheten och den militära säkerhetstjänsten och som finns i rapportunderlag och underrättelserapporter. Om dessa personuppgifter inte längre behövs för de ändamål för vilka de behandlas, ska de enligt utredningens förslag bevaras för historiska, statistiska eller vetenskapliga ändamål. I FM-PuF finns bestämmelser om uppgiftssamlingar för försvars- underrättelsetjänst, säkerhetsunderrättelsetjänst, säkerhetsskyddstjänst och signalkontroll. En redovisning av dem finns i avsnitt 5.1.5. I av- snitt 5.1.12 redovisas föreskrifter om gallring, såvitt avser uppgifts- samlingarna för säkerhetsunderrättelsetjänst, säkerhetsskyddstjänst och signalkontroll. Huvudregeln innebär att personuppgifter ska gallras när de inte längre behövs för det ändamål för vilket de behandl- as. Datainspektionen har pekat på att det ska vara en fortlöpande pröv- ning om en personuppgift ska behandlas eller inte. Det är därför heller inte av integritetsskyddsskäl nödvändigt med särskilda gallringsfris- ter inom delar av den militära säkerhetstjänsten. Där kan personupp- gifter i likhet med vad som är fallet i försvarsunderrättelseverksam- heten behöva behandlas . I den förordning som knyter an till lagen föreslår utredningen därför inga tidsfrister för behandlingen av personuppgifter i uppgiftssamlingarna för säkerhets- underrättelsetjänst och för säkerhetsskydd. Personuppgifter i en upp- giftssamling för signalkontroll får dock inte behandlas längre än efter det att behandlingen påbörjades. Detta innebär igen ändring. Utredningen föreslår vidare att det i förordningen tas in ett bemyn- digande för att, efter samråd med Försvarsmakten, med- dela föreskrifter om att personuppgifter som inte längre får behand- las ska bevaras. Enligt 4 § FRA-PuF ska det vid finnas upp- giftssamlingar för underrättelser som innehåller personuppgifter. Upp- giftssamlingarna får endast innehålla färdiga underrättelserapporter. I den förordning som ska knyta an till den föreslagna lagen föreslår utredningen att uppgiftssamlingarna för underrättelser även får inne- hålla rapportunderlag. Utredningen återkommer till den frågan i av- snitt 6.5.1. När personuppgifter i rapportunderlag och underrättelse- rapporter inte längre behövs för de ändamål för vilka de behandlas ska de enligt utredningens förslag bevaras för historiska, statistiska eller vetenskapliga ändamål. I FRA-PuF finns bestämmelser om uppgiftssamlingar för bl.a. råmaterial, information om signalmiljön och företeelser mot vilka signalspaningen inriktas (2, 5 och 6 §§). I bestämmelserna finns före- skrifter om gallring. En redovisning av dem finns i avsnitt 5.1.12. I den förordning som ska knyta an till lagen om behandling av personuppgifter vid föreslår utredningen föreskrifter när det gäller hur länge uppgifter får behandlas. Person- uppgifter i en uppgiftssamling för råmaterial får inte behandlas längre än efter det att behandlingen påbörjades. Detta innebär ingen ändring. När det gäller uppgiftssamlingar för information om signalmiljön och företeelser mot vilka signalspaningen inriktas föreslår utredningen av samma anledning som redovisats beträffande den militära säker- hetstjänsten däremot inga särskilda tidsfrister för behandlingen. Utredningen föreslår vidare att det i förordningen tas in ett bemyn- digande för att, efter samråd med Försvarets radio- anstalt, meddela föreskrifter om att personuppgifter som inte längre får behandlas ska bevaras. Detta ska dock inte gälla uppgiftssam- lingar för råmaterial. 6.4.7Försvarsmaktens utlämnande av personuppgifter Utredningens förslag: Personuppgifter som behandlas med stöd av den föreslagna lagen får föras över till andra länder eller inter- nationella organisationer endast om sekretess inte hindrar det och det är nödvändigt för att Försvarsmakten ska kunna fullgöra sina uppgifter inom ramen för det internationella försvars- och säkerhetssamarbetet. Regeringen kan meddela föreskrifter eller i enskilt fall besluta att överföring får ske även i andra fall, om det är nödvändigt för verksamheten vid Försvarsmakten. Försvarsmakten får lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. Regeringen kan meddela föreskrifter som begränsar denna möjlighet. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i den föreslagna lagen. Skäl för utredningens förslag: Utlämnande till andra länder Enligt 1 kap. 17 § FM-PuL får personuppgifter som behandlas med stöd av den lagen föras över till andra länder eller mellanfolkliga organisationer endast om sekretess inte hindrar det och det är nöd- vändigt för att Försvarsmakten ska kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säker- hetssamarbetet, om inte regeringen meddelat föreskrifter eller i ett enskilt fall beslutat om att överföring får ske även i andra fall då det är nödvändigt för verksamheten i Försvarsmakten. Motiven finns i prop. 2006/07:46 s. 80 f. Det kan här erinras om bestämmelsen i 3 § förordningen om försvarsunderrättelseverksamhet. Enligt den bestäm- melsen får de myndigheter som bedriver försvarsunderrättelseverk- samhet samarbeta i underrättelsefrågor med andra länder och inter- nationella organisationer endast under förutsättning att syftet med samarbetet är att tjäna den svenska statsledningen och det svenska totalförsvaret. De uppgifter som myndigheterna lämnar till andra länder och internationella organisationer får inte vara till skada för svenska intressen. Vad som avses med svenska intressen anges inte närmare. I tillämpningen har utöver svenska statens intressen även avsetts intressen hos svenska företag och enskilda. Utredningen anser att en bestämmelse som motsvarar 1 kap. 17 § FM-PuL bör tas in i den nya lagen. Med hänsyn till det vidgade till- lämpningsområdet för behandlingen av personuppgifter vid Försvars- makten bör dock ”försvarsunderrättelse- och säkerhetssamarbetet” ersättas med ”försvars- och säkerhetssamarbetet”. Enligt 1 kap. 14 § FM-PuL får endast enstaka personuppgifter läm- nas ut på medium för automatiserad behandling, om inte regeringen har meddelat föreskrifter eller i ett enskilt fall beslutat om att uppgifter får lämnas ut på sådant medium även i andra fall. Motiven finns i prop. 2006/07:46 s. 77 f. I princip anses allt elektroniskt utlämnande som inte görs genom direktåtkomst utlämnat på medium för automatiserad behandling. Sådant utlämnande kan göras på många olika sätt. Det kan vara fråga om att personuppgifter lämnas t.ex. via e-post eller dvd-skiva eller genom direkt överföring från ett datasystem till ett annat via elektro- niska kommunikationsnät. Utlämnande på medium för automatiserad behandling innebär som regel att informationen lämnas ut i elektronisk form på ett sådant sätt att mottagaren kan bearbeta informationen. Detta inne- bär effektivitetsvinster för mottagaren, som det kan inne- bära risker för den personliga integriteten. Regeringen ansåg därför i motiven till bestämmelsen i FM-PuL att möjligheten till utläm- nande av personuppgifter på medium för automatiserad behandling skulle vara begränsad (prop. 2006/07:46 s. 78). Regeringen har utnyttjat bemyndigandet att meddela föreskrifter genom att föreskriva att utlämnande på medium för automatiserad behandling får omfatta fler än enstaka uppgifter, om uppgifterna lämnas ut till en annan statlig myndighet (7 § FM-PuF). Elektroniskt utlämnande ger effektivitetsvinster Myndigheter som arbetar med bl.a. underrättelse- och säkerhets- verksamhet har stora behov av att kommunicera med andra myndig- heter. Det kan röra sig om att både begära, lämna eller utbyta infor- mation. Huvuddelen av all lagring och kommunikation av information sker numera elektroniskt på olika sätt som ger effektivitetsvinster, vilket som angetts ovan även uppmärksammats vid tillkomsten av FM-PuL och FRA-PuL. I takt med den generella utvecklingen av informationstekniken har även myndigheters möjligheter att på olika sätt dela och ta del av information ökat. , som hade i uppdrag att generellt se över frågor om elektroniskt utlämnande, framhöll att frågan om hur den bästa effektiviteten kan uppnås inte synes handla så mycket om vilken elektronisk utläm- nandeform som bör väljas utan mer om myndigheternas möjlighet att överhuvudtaget åstadkomma det informationsutbyte som reger- ingen eller de själva vill ska förekomma. Problemen med att uppnå önskad effektivisering förefaller enligt den utredningen till viss del handla om legala förutsättningar för ett visst informationsutbyte (SOU 2015:39 s. 148). Risker med elektroniskt utlämnande Utlämnande av personuppgifter på medium för automatiserad be- handling medför risker från integritetssynpunkt. Sådant utlämnande innebär nämligen som regel att mottagaren kan bearbeta informa- tionen, t.ex. genom att samköra den mot elektroniska uppgifter som har hämtats från andra informationskällor. Det ökar risken för att uppgifterna behandlas i strid med de grundläggande kraven på data- skydd. I detta sammanhang bör emellertid beaktas att en begräns- ning av möjligheter att överföra information elektroniskt i praktiken får begränsad betydelse eftersom modern teknik enkelt kan om- vandla text på papper till elektroniska uppgifter. Bestämmelserna om elektronisk informationsöverföring behöver moderniseras I förslaget till Säkerhetspolisens datalag föreslås att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt (1 kap. 19 §). Det anges vidare att regeringen kan meddela föreskrifter som begränsar möjligheten att lämna ut personuppgifter på det sättet (1 kap. 22 § 2). I motiven till förslaget anges effektivitetsskäl. Det anförs att även om det förekommer integritetskänsliga uppgifter måste riskerna med att överföra sådana uppgifter elektroniskt vägas mot behovet av en snabb och effektiv säker kommunikation (SOU 2017:74 s. 374). Sättet att hantera stora volymer information, inbegripet person- uppgifter, har genomgått stora förändringar sedan tillkomsten av FM-PuL. Huvuddelen av all informationsöverföring mellan Försvars- makten och andra myndigheter sker elektroniskt, vilket talar för att behandlingen huvudsakligen bör regleras direkt i lag. I likhet med vad som har föreslagits när det gäller Säkerhetspolisens behand- ling av personuppgifter anser utredningen att Försvarsmakten bör kunna få lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. Utredningen anser i likhet med vad som föreslås för Säkerhetspolisen att regeringen kan meddela föreskrifter som begränsar möjligheten att lämna ut person- uppgifter på annat sätt än genom direktåtkomst. Bestämmelser om direktåtkomst behandlas särskilt i avsnitt 6.5.2. 6.4.8Försvarets radioanstalts utlämnande av personuppgifter Utredningens förslag: Personuppgifter som behandlas med stöd av den föreslagna lagen får föras över till en utländsk underrättelse- eller säkerhetstjänst, en utländsk organisation inom informations- säkerhetsområdet eller en internationell organisation endast om sekretess inte hindrar det och det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet. Regeringen kan meddela föreskrifter eller i enskilt fall besluta att överföring får ske även i andra fall då det är nödvändigt för verksamheten vid . Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om regeringen har meddelat föreskrifter eller särskilt beslutat om det. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i den föreslagna lagen. Skäl för utredningens förslag: Enligt 1 kap. 17 § FRA-PuL får personuppgifter som behandlas enligt den lagen föras över till andra länder eller mellanfolkliga organisationer endast om sekretess inte hindrar det och det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet, om inte regeringen. har meddelat föreskrifter eller i ett enskilt fall beslutat att överföring får ske även i andra fall då det är nödvändigt för verksamheten vid . Motiven finns i prop. 2006/07:47 s. 80 f. I den föreslagna lagen bör enligt utredningens mening en mot- svarande föreskrift tas in. Dock bör den krets till vilken överföringen får ske anges vara utländsk underrättelse- eller säkerhetstjänst, en utländsk organisation inom informationssäkerhetsområdet eller en internationell organisation. I den förordning som ska knyta an till lagen bör föreskrivas att personuppgifter får föras över i sådana fall, om överföringen tjänar den svenska statsledningen eller det svenska totalförsvaret och att överföringen av uppgifter inte får vara till skada för svenska intressen. Som tidigare nämnts har i tillämpningen som svenska intressen avsetts, utöver svenska statens intressen, även intressen hos svenska företag och enskilda. Enligt 1 kap. 14 § FRA-PuL får endast enstaka personuppgifter lämnas ut på medium för automatiserad behandling, om inte reger- ingen har meddelat föreskrifter eller i ett enskilt fall beslutat att uppgifter får lämnas på sådant medium i andra fall. Motiven finns i prop. 2006/07:46 s. 77 f. I 8 § FRA-PuF har regeringen föreskrivit att utlämnande på medium för automatiserad behandling får omfatta fler än enstaka uppgifter, om uppgifterna lämnas ut till en annan statlig myndighet. Som tidigare nämnts finns liknande bestämmelser för Försvarsmakten i FM-PuL och FM-PuF. Utredningen har, som framgått, för Försvarsmaktens del föreslagit en bestämmelse som innebär att utlämnande elektroniskt på annat sätt än genom direktåtkomst får ske, om det inte är olämpligt. Som utredningen konstaterat där har en liknande bestämmelse tagits in i förslaget till Säkerhetspolisens datalag. Skäl för en sådan bestäm- melse kan även anföras när det gäller . Arten av och antalet uppgifter som det är fråga om vid Försvarets radio- anstalt gör att integritetsskyddsaspekterna enligt utredningens mening emellertid talar för en mer restriktiv lagreglering. Till skillnad mot Försvarsmakten har inte heller önskat någon förändring av bestämmelsen. Utredningen föreslår att det i den föreslagna lagen tas in en före- skrift enligt vilken personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om regeringen har meddelat före- skrifter eller särskilt beslutat om det. I förordningen till lagen bör regeringen föreskriva att personuppgifter får lämnas ut till statliga myndigheter på annat sätt än genom direktåtkomst. Den föreslagna regleringen blir därmed lika restriktiv som den nuvarande. 6.5.1Personuppgifter som får göras gemensamt tillgängliga Utredningens förslag: Särskilda bestämmelser ska gälla för behand- ling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Dessa bestämmelser samlas i ett eget kapitel i respek- tive lag. Personuppgifter får göras gemensamt tillgängliga om det behövs för något av de ändamål för vilka Försvarsmakten får behandla personuppgifter. Personuppgifter som görs gemensamt tillgäng- liga inom Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst ska även fortsättningsvis behandlas i upp- giftssamlingar. Personuppgifter som endast ett fåtal personer har tillgång till ska inte anses som gemensamt tillgängliga. Regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter eller beslut i enskilda fall vilka uppgifts- samlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. Personuppgifter får göras gemensamt tillgängliga och behandlas i uppgiftssamlingar om det behövs för något av de ändamål som anges i lagen. Personuppgifter som endast ett fåtal personer har tillgång till anses inte som gemensamt tillgängliga. Regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter eller beslut i enskilda fall vilka upp- giftssamlingar som får finnas och vilka uppgifter som får behand- las i respektive uppgiftssamling. Skäl för utredningens förslag: Enligt 1 kap. 4 § FM-PuL och FRA- PuL är en uppgiftssamling en samling med uppgifter som med hjälp av automatiserad behandling används gemensamt. Enligt 1 kap. 7 § FM-PuL och FRA-PuL får, under de förutsättningar som anges i dessa lagar, personuppgifter behandlas i uppgiftssamlingar för För- svarsmaktens försvarsunderrättelseverksamhet och militära säkerhets- tjänst samt Försvarets radioanstalts försvarsunderrättelse- och utveck- lingsverksamhet. Enligt bestämmelserna får regeringen meddela före- skrifter eller beslut i enskilda fall om vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive samling. Motiven finns i prop. 2006/07:46 s. 59 f. Avgörande för när automatiserat behandlade uppgifter ska anses ingå i en uppgiftssamling är enligt förarbetena att uppgifterna används gemensamt av Försvarsmakten eller i en viss verksamhet för de ändamål som ska styra behandlingen av uppgifter inom verksamheten. När en handläggare arbetar med ordbehandling lagras uppgifter elektroniskt på hårddisken i en dator eller i en server hos Försvarsmakten eller . Uppgiften är då normalt åtkomlig endast för handläggaren själv och systemadmi- nistratören vid myndigheten. En sådan uppgift kan därför inte anses vara gemensamt tillgänglig. Syftet med sådan tillfällig behandling är inte att uppgifterna som lagras i datorn ska användas av andra än den som utför behandlingen. När en uppgift behandlas tillfälligt i en dator för att senare tillföras en uppgiftssamling och göras gemensam utgör den inte heller en del av uppgiftssamlingen. Gemensamt tillgängliga uppgifter – ny reglering Utöver de bestämmelser som behandlats ovan angående uppgifts- samlingar finns inte i FM-PuL och FRA-PuL några bestämmelser som reglerar behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga. Sådana bestämmelser finns i förslaget till Säkerhetspolisens datalag (SOU 2017:74).