sou · H6B363 · 2018-08-09 00:00:00 — 4.avser uppgifter lämnade under bikt eller enskild själavård, såvida det inte finns synnerliga skäl att behandla uppgifterna för syften som anges i 1 § andra stycket (de åtta kartläggningssyftena, se av- snitt 3.3.5). Förstöring av upptagningar eller uppteckningar enligt 7 § lagen om signalspaning i försvarsunderrättelseverksamhet ska enligt 5 § för- ordningen (2008:923) om signalspaning i försvarsunderrättelseverk- samhet ske på ett sådant sätt att uppgifterna inte kan återskapas. En bestämmelse om förstöringsplikt finns också i 2 a § nämnda lag. Enligt den bestämmelsen får inhämtning inte avse signaler mellan en avsändare och mottagare som båda befinner sig i . Om sådana signaler inte kan avskiljas redan vid inhämtningen, ska upp- tagningen eller uppteckningen förstöras så snart det står klart att sådana signaler har inhämtats. 2 § FM-PuL och FRA-PuL innehåller bestämmelser om straff för lämnande av osann uppgift vid vissa i bestämmelserna angivna fall och behandling av känsliga personuppgifter i strid med vad som anges i de respektive lagarna. Straffbestämmelserna infördes med be- aktande av 49 § personuppgiftslagen (se prop. 2006/07:46 s. 106–107). Av 6 kap. 3 § FM-PuL och FRA-PuL framgår att Försvarsmak- tens respektive Försvarets radioanstalts beslut om viss information som ska lämnas samt om rättelse och underrättelse till tredje man får Regleringen av personuppgiftsbehandling vid Försvarsmakten ... överklagas till allmän förvaltningsdomstol. Av bestämmelsen fram- går vidare att övriga beslut enligt FM-PuL och FRA-PuL inte får överklagas och att prövningstillstånd krävs vid överklagande till kam- marrätten. 6 Överväganden och förslag 6.1.1Reglering i två nya lagar Utredningens förslag: Två nya lagar bör reglera personuppgifts- behandlingar inom Försvarsmakten och : Lag om behandling av personuppgifter vid Försvarsmakten och Lag om behandling av personuppgifter vid . Skäl för utredningens förslag: Utredningen föreslår ett flertal för- ändringar av befintlig lagstiftning på området; nya författningsbestäm- melser, förändringar av befintliga författningar samt nya rubriker. Målet med utredningens arbete med en ändamålsenlig lagstiftning har inte bara varit att bestämmelserna i sig ska vara anpassade efter den tekniska och legala utvecklingen, utan att lagarna, även efter de föreslagna förändringarna, ska vara överblickbara med logisk struk- tur och innehålla begrepp och definitioner som i möjligaste mån stämmer överens med annan lagstiftning som reglerar hantering av personuppgifter. Med beaktande av att utredningen föreslår föränd- ringar av ett stort antal bestämmelser i lagen om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksam- het och militära säkerhetstjänst (FM-PuL) och lagen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet (FRA-PuL) och därtill helt nya bestäm- melser till följd av vidgade tillämpningsområden bör två nya lagar ersätta de befintliga lagarna. Utredningens förslag: De nya lagarna ska vara heltäckande och utformas så att de exklusivt gäller på de områden som anges i respektive lag. Skäl för utredningens förslag: Unionsrätten omfattar inte nationell säkerhet och försvar, vilket innebär att varken EU:s dataskydds- direktiv eller dataskyddsförordning omfattar behandling av person- uppgifter som rör dessa verksamheter. Den EU-rättsliga regleringen bygger emellertid på och vidareutvecklar dataskyddskonventionen som omfattar även dessa områden. är folkrättsligt bundet av konventionen med dess tilläggsprotokoll. Regleringen av Försvars- maktens och Försvarets radioanstalts personuppgiftsbehandling får således inte strida mot bestämmelserna i dataskyddskonventionen, vilket bl.a. innebär att personuppgifter som undergår automatisk databehandling ska lagras för särskilt angivna och lagliga ändamål och inte användas på ett sätt som är oförenligt med dessa ändamål (artikel 5). Avvikelser från konventionen får endast göras om sådana avvikelser medges i nationell lagstiftning och avvikelsen är nödvän- dig i ett demokratiskt samhälle för att bl.a. skydda statens säkerhet (artikel 9). Det är utredningens uppfattning att det förslag till lagstift- ning som här läggs fram är i överensstämmelse med konventionen. I lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) utvidgas tillämpningen av bestämmelserna i dataskyddsförordningen till att även gälla vid be- handling av personuppgifter som utgör led i verksamhet som inte omfattas av unionsrätten (1 kap. 2 §). Detta gäller dock inte verk- samhet som omfattas av FM-PuL eller FRA-PuL (1 kap. 3 §). Enligt den proposition som ligger till grund för dataskyddslagen förklarar regeringen att det med hänsyn till rikets säkerhet inte är lämpligt att dataskyddsförordningen blir tillämplig även inom de mest känsliga verksamhetsområdena innan den pågående översynen av författ- ningarna på försvarsområdet har avslutats (prop. 2017/18:105 s. 31). Av övergångsbestämmelserna framgår bl.a. att personuppgifts- lagen ska fortsätta att gälla i sådan verksamhet hos Försvarsmakten och som inte omfattas av unionsrätten och som inte heller omfattas av de särskilda lagarna om behandling av personuppgifter i Försvarsmaktens och Försvarets radioanstalts verk- samheter. Med utgångspunkt från att ämnet för den lagstiftning som här är aktuell ligger utanför unionsrätten bör den författningsreglering som utredningen föreslår därför vara heltäckande och utformas så att den exklusivt gäller på de områden som anges i respektive lag inom det aktuella området. Som anfördes i förarbetena till FM-PuL och FRA-PuL är de verk- samheter som de båda myndigheterna bedriver och som omfattades av de då aktuella förslagen, som gällde personuppgiftsbehandling i försvarsunderrättelseverksamhet och militär säkerhetstjänst, inte identiska och verksamheterna hade endast till viss del samma syfte. Av den anledningen föranledde regleringen av respektive myndighets personuppgiftsbehandling i flera avseenden olika rättsliga lösningar (prop. 2006/07:46 s. 47). Med hänsyn till de vidgade tillämpnings- områden som utredningen föreslår för regleringen av myndigheter- nas personuppgiftsbehandling blir detta förhållande än tydligare. Detta gäller särskilt för Försvarsmakten där tillämpningsområdet föreslås gälla myndighetens mycket omfattande huvuduppgifter. Med beaktande av detta utformas de föreslagna lagarna så att de så långt det är möjligt och lämpligt är lika och följer strukturen i likartad lagstiftning såsom i förslaget till Säkerhetspolisens datalag. Utredningens förslag: Syftet med lagarna ska vara att säkerställa att Försvarsmakten och kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. Utredningens bedömning: De föreslagna lagarna uppfyller kraven i 2 kap. 21 § regeringsformen. Skäl för utredningens förslag: Syftet med den nuvarande lag- stiftningen anges vara att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter i Försvars- maktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och i Försvarets radioanstalts försvarsunderrättelse- och utvecklings- verksamhet (1 kap. 2 § FM-PuL och FRA-PuL). Av andra bestämmel- ser i lagarna framgår att personuppgiftsbehandlingen ska vara nöd- vändig (1 kap. 8 §) och att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen (1 kap. 6 § 6 p FM-PuL och FRA-PuL). Enligt utredningens mening bör den särskilda bestämmelse som anger syftet med lagarna inne- hålla såväl kravet på ändamålsenlighet som intresset att skydda fysiska personers fri- och rättigheter. Skäl för utredningens bedömning: I avsnitt 4.3.2 tar utredningen upp de överväganden som ligger till grund för regleringen i 2 kap. 6 § andra stycket regeringsformen om skyddet gentemot det allmänna mot betydande intrång i den personliga integriteten. Som nämns i det avsnittet får en begränsning av grundlagsskyddet göras enligt 2 kap. 20 § regeringsformen genom lag. Begränsningen får endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får inte gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen. Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning (2 kap. 21 §). I förarbetena till bestämmelserna i 2 kap. 6 § regeringsformen angav regeringen att vid bedömningen av hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden, är det naturligt att stor vikt läggs vid upp- gifternas karaktär. Ju känsligare uppgifterna är desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. Även hantering av ett fåtal uppgifter kan innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär (prop. 2009/10:80 En reformerad grundlag s. 183). Den personuppgiftsbehandling som är aktuell i detta samman- hang utgör till en del betydande intrång i den personliga integriteten och kräver därför lagstöd. Särskilt gäller detta personuppgiftsbehand- lingen i försvarsunderrättelseverksamheten. I det sammanhanget bör dock erinras att den bara får avse utländska förhållanden. De svenska försvars- och säkerhetsintressen som lagstiftningen avser att stödja har alltid varit starka och de har vuxit i styrka mot bakgrund av den säkerhetspolitiska utvecklingen. Lagstiftningens ändamål får därför anses godtagbara i ett demokratiskt samhälle och uppfyller enligt utredningen mening även i övrigt kraven i 2 kap. 21 § regerings- formen. I tillämpningen av lagstiftningen åligger det myndigheterna att göra en avvägning mellan ändamålet med en avsedd personuppgifts- behandling å ena sidan och graden av intrång i den personliga integ- riteten å den andra. Detta följer av bestämmelserna om att person- uppgifter bara får behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Utredningen återkommer till detta i avsnitt 6.4.1. 6.2.2Tillämpningsområden för lagen om behandling av personuppgifter vid Försvarsmakten Utredningens förslag: Lagen om behandling av personuppgifter vid Försvarsmakten ska gälla Försvarsmaktens behandling av per- sonuppgifter som rör försvar och säkerhet. Skäl för utredningens förslag: Som framgått av avsnitt 6.1.2. faller frågor om försvar och nationell säkerhet utanför unionsrätten. Enligt dataskyddslagen ska personuppgiftslagen fortsätta att gälla i sådan verksamhet hos Försvarsmakten som inte omfattas av unions- rätten och som inte nu regleras i FM-PuL. Bakgrunden är att denna utredning bl.a. ska analysera vilket utrymme som finns för nationell reglering av den personuppgiftsbehandling i Försvarsmakten som regleras i personuppgiftslagen och utifrån den analysen bedöma om behandlingen helt eller delvis bör regleras särskilt. inne- bär detta att det som inte regleras särskilt kommer att omfattas av dataskyddsförordningen. Det är nämligen att förvänta att övergångs- regleringen kommer att ändras så att detta blir fallet. Utredningen utgår i sin analys från de uppgifter som Försvars- makten har. I avsnitt 3.1 finns en utförlig beskrivning av Försvarsmaktens upp- gifter. Här ska endast en kort återblick göras med betoning på myn- dighetens huvuduppgifter. Försvarsmakten ska upprätthålla och ut- veckla ett militärt försvar som ytterst kan möta ett väpnat angrepp. Grunden för Försvarsmaktens verksamhet är förmågan till väpnad strid. Försvarsmakten ska försvara och främja svensk säkerhet samt upptäcka och avvisa kränkningar av det svenska territoriet. Försvarsmakten ska dessutom kunna värna suveräna rättig- heter och svenska intressen samt kunna förebygga och hantera kon- flikter och krig såväl nationellt som internationellt. Försvarsmakten ska kunna utföra sina uppgifter självständigt eller i samverkan med andra myndigheter, länder och organisationer. Försvarsmakten ska vidare med myndighetens befintliga förmåga och resurser kunna lämna stöd till civil verksamhet. Vid höjd beredskap ska Försvarsmakten kunna krigsorganisera, mobilisera och använda alla krigsförband för att möta ett militärt hot mot och svenska intressen. Krigsförband ska kunna krigs- organiseras, även om höjd beredskap inte råder. Enligt utredningens mening är det uppenbart att de nu beskrivna uppgifterna ligger utanför unionsrätten med undantag för uppgiften att kunna lämna stöd till civil verksamhet. Uppgifterna har också en nära beröring med Försvarsmaktens försvarsunderrättelseverksam- het och militära säkerhetstjänst, verksamheter där personuppgifts- behandlingen är särreglerad genom FM-PuL och som enligt data- skyddslagen fortfarande ska var särreglerad med hänsyn till säkerhet. Som anförs i den proposition som låg till grund för lagen om försvarsunderrättelseverksamhet, ligger det i sakens natur att för- svarsunderrättelseverksamheten ska ses som ett led i Försvarsmaktens uppgifter i fred, under beredskap och i krig. I propositionen anförs vidare att försvarsunderrättelseverksamheten ska ge underlag för Försvarsmaktens beredskap, operativa verksamhet och förbands- produktion samt för krigsorganisationens utveckling och materiella förnyelse (prop. 1999/2000:25 s. 14 f.). Dataskyddsförordningen är, som nämnts, inte tillämplig på personuppgiftsbehandling som rör försvar och nationell säkerhet. Bestämmelserna i förordningen har därför inte utformats med beak- tande av försvar och nationell säkerhet. Utredningen kan heller inte se någon fördel med att låta dataskyddsförordningen helt eller delvis bli tillämplig på Försvarsmaktens ovan beskrivna huvuduppgifter, sär- skilt som det i denna verksamhet finns andra verksamheter integrerade som regleras särskilt när det gäller behandlingen av personuppgifter. Tvärtom innebär detta nackdelar som kan beskrivas enligt följande. Omvärldsbevakning behövs för att upptäcka och identifiera yttre hot mot och svenska intressen. Logistik behövs för att få fram resurser till förbandet, personaladministration för att se till att rätt personer finns på plats för att lösa uppgiften, underrättelser behövs för att lokalisera fientliga styrkor. Operationsplanering är nödvändig för att planera och genomföra en insats. Säkerhetstjänst behövs för att säkerställa att fienden inte får tillgång till operationsplaneringen och kan motverka den. Samband behövs för att uppnå en effektiv kommunikation inom förbandet och andra förband. Civil-militär samverkan är nödvändig för att undvika skador på civilbefolkning och infrastruktur. Ett internationellt samarbete är nödvändigt när det gäller försvarsunderrättelseverksamhet men också när det gäller annat internationellt försvarssamarbete för att Försvarsmakten ska få olika former av stöd från andra länder och internationella organisa- tioner. Inom alla dessa områden hanteras personuppgifter. I militär säkerhetstjänst och försvarsunderrättelseverksamhet till- lämpas FM-PuL, men inom logistik, samband och personaladminis- tration tillämpas personuppgiftslagen (1998:204). Omvärldsbevakning, operationsplanering, civil-militär samverkan, samt taktisk och operativ underrättelsetjänst bedrivs med stöd av antingen FM-PuL eller person- uppgiftslagen beroende på vem som hanterar uppgifterna och i vilket syfte. En personuppgift kopplad till exempelvis en specifik operation kan därför behandlas med olika personuppgiftslagstiftningar i samma databehandlingssystem. Att ha olika regleringar för behandlingen av uppgifterna kom- plicerar informationsutbytet mellan system och verksamheter. Det leder till att effektiviteten inom Försvarsmakten och därmed den samlade operativa effekten försämras. Med hänsyn till Försvarsmaktens stora betydelse för försvar och säkerhet är det enligt utredningens uppfattning viktigt att myndighetens huvuduppgifter omfattas av en svensk nationell reglering, vilket innefattar myndighetens behandling av personupp- gifter i verksamhet där uppgifterna fullgörs. En samlad reglering bedöms innebära en förenkling för Försvars- makten och därmed i förlängningen att integritetsskyddet stärks vid myndighetens behandling av personuppgifter. Utredningen anser alltså att den föreslagna lagen bör omfatta behandlingen av personuppgifter i Försvarsmaktens verksamhet av- seende försvar och säkerhet. I avsnitt 6.3.1 återkommer ut- redningen till hur detta närmare bör regleras. 6.2.3Tillämpningsområden för lagen om behandling av personuppgifter vid Utredningens förslag: Lagen om behandling av personuppgifter vid ska gälla behandling av personupp- gifter i myndighetens försvarsunderrättelse- och utvecklingsverk- samhet samt informationssäkerhetsverksamhet. Skäl för utredningens förslag: Försvarets radioanstalts försvars- underrättelse- och utvecklingsverksamhet är till för försvar och säkerhet och omfattas därmed inte av unionsrätten. För person- uppgiftsbehandlingen i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet gäller inte den bestämmelse i dataskydds- lagen som utvidgar dataskyddsförordningen tillämpningsområde (se härom avsnitt 6.1.2). Detta är ett uttryck för att denna verksamhet ligger utanför unionsrätten och att behandlingen av personuppgifter i verksamheten fortfarande ska vara särreglerad. Utredningen före- slår ingen ändring i detta avseende. Vidgat tillämpningsområde – informationssäkerhetsverksamhet I avsnitt 3.3.6 redovisar utredningen radioanstalts infor- mationssäkerhetsverksamhet. Någon särskild reglering av person- uppgiftsbehandlingen i den verksamheten finns inte. Enligt dataskyddslagen ska personuppgiftslagen fortsätta att gälla i sådan verksamhet hos som inte omfattas av unionsrätten och inte heller av FRA-PuL. Bakgrunden är att denna utredning bl.a. ska analysera vilket utrymme som finns för nationell reglering av den personuppgiftsbehandling i som regleras i personuppgiftslagen och utifrån den analysen bedöma om behandlingen helt eller delvis bör regleras särskilt (se härom avsnitt 6.1.2). innebär detta att det som inte regleras särskilt kommer att omfattas av dataskyddsförordningen. Som tidi- gare nämnts är det att förvänta att övergångsregleringen kommer att ändras så att detta blir fallet. Syftet med informationssäkerhetsverksamheten vid är att stödja verksamheter som har betydelse för säkerhet. Den omfattas därför inte av unionsrätten. Som framgår av avsnitt 3.3.6 har informationssäkerhetsverksamheten ett nära sam- band med signalspaningen. Enligt lagen (2008:717) om signalspa- ning i försvarsunderrättelseverksamhet får signalspaning ske i syfte att kartlägga bl.a. allvarliga yttre hot mot samhällets infrastruktur. Som utredningen utvecklar i avsnitt 3.3.6 innebär möjligheten till ut- byte av information mellan signalspaningen och informationssäker- hetsverksamheten ett viktigt verktyg för att kunna upprätthålla säkerhet. Dataskyddsförordningen är som nämnts i avsnitt 6.1.2 inte till- lämplig på försvar och nationell säkerhet och har därför inte utfor- mats med beaktande av detta. I likhet med vad som sägs i nämnda avsnitt kan utredningen inte heller se någon fördel med att göra dataskyddsförordningen helt eller delvis tillämplig på Försvarets radio- anstalts informationssäkerhetsverksamhet. Utredningen anser därför att behandlingen av personuppgifter i informationssäkerhetsverksam- heten bör vara särreglerad i likhet med behandlingen av personuppgifter iförsvarsunderrättelse- och utvecklingsverksamheten. Utredningen återkommer till ämnet i avsnitt 6.3.8. Till skillnad mot Försvarsmaktens huvuduppgifter med ett flertal olika verksamheter består uppgiften för av två områden: försvarsunderrättelseverksamhet och informations- säkerhetsverksamhet. Som tidigare nämnts bidrar denna skillnad till olika rättsliga lösningar för de båda myndigheterna. Det visar sig främst genom att den föreslagna lagen om behandling av personuppgifter vid Försvarsmakten kommer att avse behandlingen av sådana uppgifter rörande myndighetens personal (avsnitt 6.3.1). Något behov av en motsvarande reglering när det gäller behandlingen av personupp- gifter rörande personalen vid har utredningen inte funnit. 6.2.4Behandlingar som omfattas av de nya lagarna Utredningens förslag: De föreslagna lagarna ska gälla för sådan behandling av personuppgifter som är helt eller delvis auto- matiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Skäl för utredningens förslag: Bestämmelserna i 1 kap. 1 § FM-PuL och FRA-PuL gäller vid behandling av personuppgifter i Försvars- maktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och Försvarets radioanstalts försvarsunderrättelse- och utvecklings- verksamhet, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad sam- ling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. behandling i t.ex. regis- ter omfattas alltså av lagstiftningen om uppgifterna är tillgängliga för sökning eller sammanställning enligt mer än ett kriterium. Motiven finns i prop. 2006/07:46 s. 46–47. Utredningen anser att den nuvarande regleringen bör behållas. 6.2.5Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller inte personuppgiftsbehandling enligt de nya lagarna Utredningens förslag: I de föreslagna lagarna ska införas en bestämmelse med upplysning om att lagen (2018:218) med kom- pletterande bestämmelser till EU:s dataskyddsförordning inte gäller vid behandling av personuppgifter i verksamheter enligt respek- tive lag. Skäl för utredningens förslag: Som framgår av avsnitt 6.1.2 om- fattar unionsrätten inte nationell säkerhet och försvar. De föreslagna lagarna föreslås vara helt självständiga i förhållande till övrig lagstiftning på personuppgiftsområdet, bl.a. lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Nämnda lag innehåller en bestämmelse som anger att verksamhet som bedrivs med stöd av FM-PuL och FRA-PuL inte omfattas av lagen (1 kap. 3 §). Detta förhållande bör även komma till uttryck i lagarna om behandlingen av personuppgifter vid Försvarsmaktens och . 6.2.6Lagarnas förhållande till annan reglering Utredningens förslag: Bestämmelserna i de föreslagna lagarna ska inte tillämpas i den utsträckning det skulle inskränka skyldig- heten enligt 2 kap. tryckfrihetsförordningen att lämna ut person- uppgifter. Skäl för utredningens förslag: De grundläggande bestämmelserna om offentlighetsprincipen finns i 2 kap. tryckfrihetsförordningen (TF). I 2 kap. 1 § TF anges att varje svensk medborgare har rätt att ta del av allmänna handlingar. Denna rätt får enligt 2 kap. 2 § TF begränsas endast om det behövs med hänsyn till bl.a. rikets säkerhet eller dess förhållande till annan stat eller mellanfolklig organisation. Begränsningar i rätten att ta del av allmänna handlingar ska noga anges i en särskild lag eller annan lag som den särskilda lagen hänvisar till. Den särskilda lag som åsyftas är offentlighets- och sekretess- lagen (2009:400). Offentlighetsprincipen innebär således att myn- digheterna är skyldiga att – i den utsträckning sekretess inte hindrar det – lämna ut allmänna handlingar till den som begär det. En bestämmelse som i klargörande syfte upplyser att lagen inte tillämpas om det skulle inskränka Försvarsmaktens respektive För- svarets radioanstalts skyldighet enligt 2 kap. TF att lämna ut person- uppgifter finns i 1 kap. 3 § FM-PuL och FRA-PuL. Motiven framgår av prop. 2006/07:46 s. 49 f.