sou · H6B363 · 2018-08-09 00:00:00 — har i uppdrag att vara statens resurs för teknisk informationssäker- het och ska ha hög kompetens inom informationssäkerhetsområdet. Myndigheten får enligt samma bestämmelse efter begäran stödja myndigheter och statligt ägda bolag som hanterar information som bedöms vara känslig från sårbarhetssynpunkt eller i ett säkerhets- eller försvarspolitiskt avseende samt tilldela säkra kryptografiska funktioner till ett antal civila myndigheter och organisationer (se närmare om detta i avsnitt 3.2). Imotiven till FRA-PuL (prop. 2006/07:46 s. 30 f.) anfördes att denna konsultverksamhet främst har rört aktiva it-kontroller, som innebär att på uppdragsgivarens begäran söker efter och analyserar brister i säkerheten i datorsystemen. Den infor- mation som då erhåller bedömdes kunna innehålla personuppgifter, men att i så fall, med stöd av ett avtal med uppdragsgivaren, agerar personuppgifts- biträde vid behandling av dessa personuppgifter. Dessa personupp- gifterna skulle således komma att behandlas av Försvarets radio- anstalt helt i enlighet med uppdragsgivarens instruktioner och den information som får i samband med att upp- draget utförs skulle inte kunna användas i myndighetens försvars- underrättelse- eller utvecklingsverksamhet. Data innehållande bl.a. personuppgifter återsänds till uppdragsgivaren i samband med slut- rapport eller förstörs av . Denna beskrivning av konsultverksamheten är enligt utredningens uppfattning fortfarande aktuell. har verksamheten utvecklats genom det tekniska detekterings- och varningssystemet (TDV) som beskrivs i avsnitt 3.3.6. Utredningen vill även tillägga att när agerar personuppgiftsbiträde sker det inte bara i enlighet med uppdrags- givarens instruktioner utan också enligt de regler som gäller för denne. Vidare kan den information som får i samband med att ett uppdrag utförs användas i myndighetens egen verksamhet, om uppdragsgivaren medger det och då sker denna behandling av personuppgifter enligt bestämmelserna för behand- ling av personuppgifter vid . De personuppgiftsbehandlingar genom- för som personuppgiftsansvarig inom ramen för informationssäker- hetsverksamheten omfattas inte av FRA-PuL. Utredningen, som tidigare i avsnitt 6.2.3 konstaterat att verksamheten inte omfattas av unionsrätten, anser att det i den nya lagen bör föras in bestämmelser om behandlingen av personuppgifter i denna verksamhet. Den bör avse den behandling av personuppgifter i informationssäkerhets- verksamheten som är nödvändig för att kunna skydda den egna verk- samheten och för att kunna stödja andra verksamheter som är av betydelse för säkerhet. Det bör föreskrivas att uppgiften att lämna stöd till andra verksamheter ska följa av lag eller förordning eller regeringsbeslut i ett enskilt fall. Som utredningen har nämnt i avsnitten om radioanstaltens för- svarsunderrättelse- och utvecklingsverksamhet är det en fördel från integritetsskyddssynpunkt att i görligaste mån precisera i vilka fall personuppgiftsbehandling får ske för andra ändamål än det för vilket uppgifterna har samlats in. Det finns enligt utredningen ett antal tillkommande ändamål för vilka personuppgifter som behandlas i Försvarets radioanstalts infor- mationssäkerhetsverksamhet bör få behandlas. Det bör få ske om det är nödvändigt för att tillhandahålla information som behövs hos den som tar emot uppgifter om informationssäkerhet. Vidare bör det få ske om det är nödvändigt för att tillhandahålla information som behövs med anledning av samverkan med andra som verkar på infor- mationssäkerhetsområdet såväl inom som utom landet. Detta bör dock bara få ske i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. En nära samverkan mellan försvarsunderrättelseverksamheten och informationssäkerhetsverksamheten är av stor betydelse. För underrättelseverksamheten är det angeläget att kunna ta del av upp- gifter från informationssäkerhetsverksamheten när det gäller att kartlägga allvarliga yttre hot mot samhällets infrastruktur och främ- mande underrättelseverksamhet. Personuppgifter bör därför även få behandlas om det är nödvändigt för att tillhandahålla information av detta slag. har därvid att förhålla sig till de regler som gäller för försvarsunderrättelseverksamheten. Informationssäkerhetsverksamheten är även av betydelse för ut- vecklingsverksamheten. Personuppgifter som får behandlas i informa- tionssäkerhetsverksamheten bör därför även få behandlas om det är nödvändigt för att tillhandahålla information som behövs i utveck- lingsverksamheten. Den föreslagna regleringen innebär således som i de tidigare behandlade fallen att personuppgiftsbehandling för vissa ändamål uttryckligen regleras i lag, i stället för att, som tidigare, hanteras i enlighet med finalitetsprincipen. Avsikten är att åstadkomma tyd- lighet i de nu nämnda fallen. Finalitetsprincipen gäller därutöver. 6.3.9Rättsliga grunder för behandling vid av allmänt tillgänglig information för vissa ändamål Utredningens förslag: Personuppgifter som utgör allmänt till- gänglig information får behandlas av om det är nödvändigt för de ändamål som anges för försvarsunder- rättelse- och utvecklingsverksamheten och informationssäker- hetsverksamheten. Skäl för utredningens förslag: Liksom Försvarsmakten (se av- snitt 6.3.4.) bör ha ett tydligt stöd för att i s.k. referensdatabaser behandla sådana uppgifter om personer som är allmänt tillgängliga. Det gäller information som utgörs av person- uppgifter som kan påträffas vid sökning på internet eller vid sök- ningar i öppna databaser kan vara gratis eller tillgängliga på kommersiell grund. Gemensamt för dem är att de är publikt till- gängliga. Det kan röra sig om uppgifter som t.ex. en abonnent på ett eller annat sätt har samtyckt att uppgifterna finns med i elektroniska telefonkataloger eller förteckningar över ip-adresser i olika länder. Utöver de syften för sådan behandling som beskrivs i avsnittet om Försvarsmakten när det gäller försvarsunderrättelseverksamheten, som endast får avse utländska förhållanden, behöver Försvarets radio- anstalt behandla personuppgifter i sådana databaser för att kunna filt- rera bort signaler i sådana fall där både sändare och mottagare befinner sig i , t.ex. genom att bedöma vilka ip-adresser som avser datorer i . Som tidigare nämnts får enligt 2 a § lagen om signalspaning i för- svarsunderrättelseverksamhet inhämtning inte avse signaler mellan en avsändare och en mottagare som båda befinner sig i . Om sådana signaler inte kan avskiljas redan vid inhämtningen, ska upp- tagningen eller uppteckningen förstöras så snart det står klart att sådana signaler har inhämtats. Att i en referensdatabas behandla den typen av allmänt tillgängliga personuppgifter kan bidra till att minska antalet sådana inhämtningar. Även inom utvecklingsverksamheten kan det vara nödvändigt att kunna behandla personuppgifter som utgör allmänt tillgänglig infor- mation. Utvecklingsverksamheten syftar till att utveckla och vid- makthålla möjligheterna att bedriva försvarsunderrättelseverksam- het. För detta behöver personuppgifter behandlas t.ex. vid kartlägg- ning av signalmiljön, varvid allmänt tillgänglig information precis som i försvarsunderrättelseverksamheten behöver kunna användas i identifieringssyfte. Även utvecklingsverksamheten omfattas av 2 a § lagen om signalspaning i försvarsunderrättelseverksamhet, varvid behandling av allmänt tillgängliga personuppgifter kan bidra till att minska antalet inhämtningar som ej är tillåtna enligt den bestämmelsen. Likaså vad gäller informationssäkerhetsverksamheten kan all- mänt tillgängliga personuppgifter behöva behandlas. Bland behoven finns möjligheter att identifiera ursprunget till skadlig kod och att löpande kunna bevaka vad som redan är känt avseende sårbarheter i mjuk- och hårdvaror. I den till lagen anknutna förordningen bör föreskrivas att det för får finnas uppgiftssamlingar för allmänt till- gänglig information och att de endast får innehålla information som finns eller har funnits på internet eller i öppna databaser. Uppgifterna bör vara uppdaterade i enlighet med vad som föreslås i avsnitt 6.4.1. 6.3.10Rättsliga grunder för behandling för vetenskapliga, statistiska eller historiska ändamål Utredningens förslag: Försvarsmakten och Försvarets radio- anstalt får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom de föreslagna lagarnas tillämpnings- områden. Skäl för utredningens förslag: Möjligheten att bevara person- uppgifter som behandlas automatiserat, för historiska, statistiska eller vetenskapliga ändamål är enligt FM-PuL och FRA-PuL kopplad till regler om gallring. Enligt 6 kap. 1 § i dessa lagar ska personupp- gifter gallras så snart uppgifterna inte längre behövs för det ändamål för vilket de behandlas, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Enligt 12 § FM-PuF och FRA-PuF har denna rätt att besluta om bevarande. Ett sådant beslut får till följd att uppgifterna inte gallras. Utredningen bedömer att det även enligt de nya lagarna bör finnas utrymme att behandla personuppgifter för vetenskapliga, statistiska och historiska ändamål. 6.3.11Rättsliga grunder för behandling av personuppgifter för att tillgodose behov av information hos enskilda och behov av information vid tillsyn och kontroll Utredningens förslag: Försvarsmakten och Försvarets radio- anstalt får behandla personuppgifter för att kunna tillgodose enskil- das behov av information och kunna lämna information vid tillsyn och kontroll. Skäl för utredningens förslag: Datainspektionen är enligt 10 § FM- PuF och FRA-PuF tillsynsmyndighet enligt FM-PuL och FRA-PuL. Statens inspektion för försvarsunderrättelseverksamheten har enligt sin instruktion till uppgift att kontrollera försvarsunderrättelseverk- samheten hos de myndigheter som bedriver sådan verksamhet. Inspektionen är enligt sin instruktion även kontrollmyndighet enligt lagen om signalspaning i försvarsunderrättelseverksamhet. Enligt 10 a § i den lagen är kontrollmyndigheten skyldig att på begäran av en enskild kontrollera om hans eller hennes meddelanden har inhämtats i samband med signalspaning. Det ska här tilläggas att Riksrevisio- nen, ombudsmän och Justitiekanslern också kan utöva tillsyn. Något uttryckligt stöd för personuppgiftsbehandling med anled- ning av en enskilds behov av information eller behov av information vid tillsyn och kontroll finns inte i FM-PuL eller FRA-PuL. Utred- ningen bedömer emellertid att den personuppgiftsbehandling genom exempelvis sökningar i uppgiftssamlingar och sammanställningar av uppgifter som är nödvändig för att Försvarsmakten och ska kunna tillmötesgå enskildas och tillsynsmyndig- hetens och kontrollmyndighetens behov bör få direkt stöd i de före- slagna lagarna. Utredningen föreslår därför att det i de föreslagna lagarna tas in en bestämmelse om att respektive myndighet får behandla personuppgifter för att kunna tillgodose enskildas behov av information och behovet av information vid tillsyn och kontroll. Den föreslagna bestämmelsen utgör även den rättsliga grunden för personuppgiftshantering i Försvarsmaktens och Försvarets radio- anstalts loggfunktioner i de uppgiftssamlingar som hanterar person- uppgifter för de syften som framgår av denna bestämmelse. Bestäm- melser om myndigheternas loggfunktioner behandlas i avsnitt 6.6.2. 6.4Grundläggande krav på behandling av personuppgifter Utredningens förslag: Försvarsmakten och Försvarets radio- anstalt får behandla personuppgifter bara för särskilda, uttryck- ligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ur- sprungligen behandlades. Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. Personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. Skäl för utredningens förslag: Av 1 kap. 6 § 1–7 FM-PuL och FRA-PuL framgår att Försvarsmakten respektive Försvarets radio- anstalt ska se till att personuppgifter behandlas bara om det är lagligt, att de alltid behandlas på ett korrekt sätt och i enlighet med god sed, att de samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Vidare framgår att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna sam- lades in, att de är adekvata och relevanta i förhållande till ändamålen med behandlingen. Myndigheterna ska vidare se till att de person- uppgifter som behandlas är nödvändiga med hänsyn till ändamålen med behandlingen samt att de är riktiga och, om det är nödvändigt, aktuella. Motiven till bestämmelserna finns i avsnitt 8.4 i prop. 2006/07:46. Ut- redningen anser att samma föreskrifter bör tas in i de nya lagarna med vissa språkliga justeringar. En bestämmelse om att uppgifter som beskriver en persons ut- seende alltid ska utformas på ett objektivt sätt och med respekt för människovärdet finns i FM-PuL (1 kap. 12 § andra stycket andra meningen) och i FRA-PuL (1 kap. 11 § andra stycket andra meningen). Motivet till bestämmelsen finns i prop. 2006/07:46 s. 74 f. Utredningen anser att en sådan föreskrift bör tas in i de nya lagarna. 6.4.2Behandling av känsliga personuppgifter Utredningens förslag: Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. När uppgifter om en person behandlas får de dock komplet- teras med sådana uppgifter som avses i föregående stycke, om det är absolut nödvändigt för syftet med behandlingen. Biometriska uppgifter får behandlas endast om det är absolut nödvändigt för ändamålet för behandlingen. Genetiska uppgifter får inte behandlas. Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter. religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas som sökbegrepp om det är absolut nödvändigt för syftet med behandlingen. Detsamma gäller bio- metriska uppgifter. Skäl för utredningens förslag: Av 1 kap. 12 § FM-PuL och 1 kap. 11 § FRA-PuL framgår att uppgifter om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv får behandlas endast såsom komplement till personuppgifter som behandlas på annan grund. Detta förutsätter att behandlingen är absolut nödvändig med hänsyn till syftet med behandlingen. Vid sökning ska sådana känsliga personuppgifter få användas som sökbegrepp endast om det är absolut nödvändigt med hänsyn till syftet med behandlingen. Motiven till bestämmelserna finns i prop. 2006/07:46 s. 73 f. Utredningen anser att en motsvarande reglering bör införas i de nya lagarna med det tillägget att bestämmelserna även bör gälla sexuell läggning. Behandling av biometriska och genetiska uppgifter regleras inte i FM-PuL och FRA-PuL. Med biometriska uppgifter avses enligt den föreslagna defini- tionen i avsnitt 6.2.9 personuppgifter som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av personen i fråga. Försvarsmakten och behandlar biometriska uppgifter i sina för- svarsunderrättelseverksamheter. Inom signalspaningen får det betrak- tas som självklart att t.ex. en persons röstprofil, vilket är en bio- metrisk uppgift, behöver kunna behandlas i identifieringssyfte. Att kunna göra korrekta identifieringar är av avgörande betydelse vid bedömning av källors trovärdighet och informations sakriktighet. Regeln om att känsliga personuppgifter endast får behandlas såsom komplement till personuppgifter som behandlas på annan grund kan inte tillämpas när det gäller biometriska personuppgifter t.ex. oidenti- fierade avtryck eller spår. Det finns därför skäl att reglera behandlingen av biometriska uppgifter särskilt. Försvarsmakten och bör få behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Biometriska uppgifter bör också få behandlas vid sökning om det är absolut nödvändigt för syftet med behandlingen. Med genetiska uppgifter avses enligt den definition som föreslås i avsnitt 6.2.9 personuppgifter som rör sådana nedärvda eller för- värvade kännetecken för en fysisk person som kan tas fram ur ett prov från personen i fråga. Genetiska uppgifter är av synnerligen integritetskänslig natur. Försvarsmakten och har uppgett att de inte har behov av att behandla genetiska uppgifter. Utredningen anser att det av lagstiftningen bör framgå att sådan behandling inte är tillåten. 6.4.3Behandling av personnummer och samordningsnummer Utredningens förslag: I den föreslagna lagen om behandling av personuppgifter vid Försvarsmakten tas in en bestämmelse om att uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till ända- målet med behandlingen, vikten av en säker identifiering, eller något annat beaktansvärt skäl. Utredningens bedömning: Någon sådan bestämmelse bör inte införas i den föreslagna lagen om behandling av personuppgifter vid Skäl för utredningens förslag och bedömning: En bestämmelse om behandling av personnummer och samordningsnummer finns i 1 kap. 13 § i FM-PuL och 1 kap. 12 § i FRA-PuL. Av bestämmelsen fram- går att uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering, eller något annat beaktansvärt skäl. Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst respektive Försvarets radioanstalts försvarsunder- rättelse- och utvecklingsverksamhet baserar sig inte på samtycke från den enskilde. Försvarets radioanstalts verksamhet på försvarsunder- rättelse- och utvecklingsområdena är inriktad på utländska för- hållanden och behandlar därför i liten omfattning personnummer och samordningsnummer. Detsamma kan sägas om informations- säkerhetsverksamheten. Utredningen har konstaterat att en mot- svarande reglering inte finns med i förslaget till Säkerhetspolisens datalag. Utredningen anser sig kunna följa det exemplet när det gäller . Även Försvarsmaktens försvarsunderrättelseverksamhet är inrik- tad på utländska förhållanden och det är, precis som för , inte vanligt att personnummer och samordningsnum- mer behandlas inom denna verksamhet. För Försvarsmaktens del innebär dock det utökade tillämpnings- området i förhållande till FM-PuL att myndigheten kommer att behandla personnummer och samordningsnummer i stor utsträck- ning, bl.a. beträffande egen personal. Av den anledningen anser utred- ningen att regleringen bör behållas för Försvarsmakten. 6.4.4Behandling av personuppgifter om den som uppgifterna rör har offentliggjort uppgifterna eller lämnat sitt samtycke Utredningens förslag: Utan hinder av vad som föreskrivs i de föreslagna lagarna om känsliga personuppgifter och, såvitt gäller Försvarsmakten, personnummer, får personuppgifter behandlas, om den som personuppgifterna rör har offentliggjort personupp- gifterna på ett tydligt sätt. För Försvarsmaktens del ska detta gälla även i det fall samtycke till behandlingen har lämnats av den som uppgifterna rör. I inget av fallen bör det vara tillåtet att behandla genetiska uppgifter. Skäl för utredningens förslag: Förslaget till Säkerhetspolisens data- lag innehåller bestämmelser om att känsliga personuppgifter får be- handlas, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt har offentliggjort uppgifterna. I FM-PuL och FRA-PuL saknas sådana bestämmelser. Utredningen anser att en motsvarande reglering bör införas i de föreslagna lagarna, dock med den skillnad som framgår av det följande. I Försvarets radio- anstalts försvarsunderrättelse- och utvecklingsverksamhet och infor- mationssäkerhetsverksamhet blir några samtyckessituationer sällan aktuella, varför någon samtyckesbestämmelse inte behöver finnas för Försvarets radioanstalts del. Detsamma kan sägas om Försvarsmak- tens försvarsunderrättelseverksamhet. Däremot kan det förekomma i Försvarsmaktens övriga verksamhet, varför utredningen föreslår att Försvarsmakten får behandla personuppgifter vid de situationer ett samtycke från den som personuppgifterna rör har lämnats. I inget av fallen bör det vara tillåtet att behandla genetiska uppgifter. 6.4.5Behandling av personuppgifter i vissa fall Utredningens förslag: Hantering av information som innebär behandling av personuppgifter ska inte anses oförenlig med bestäm- melserna om tillåtlighet, grundläggande krav och känsliga person- uppgifter i det skede av behandlingen då det ännu inte har kunnat fastställas vilka personuppgifter som informationen innehåller. En bestämmelse om detta ska föras in i båda lagarna. Skäl för utredningens förslag: I 1 kap. 13 § FRA-PuL anges att Försvarets radioanstalts behandling av personuppgifter som innebär inhämtning av personuppgifter genom signalspaning, lagring av upp- gifter som sker därefter och bearbetning i form av krypto- forcering och språklig översättning inte ska anses som oförenlig med bestämmelserna om grundläggande krav, ändamål samt behandling av känsliga personuppgifter och personnummer. Så snart det har kunnat fastställas att informationen innehåller personuppgifter måste dock vidare behandling av sådana personuppgifter som förekommer i materialet ske i överenstämmelse med de nämnda bestämmelserna. Någon motsvarighet till 1 kap. 13 § FRA-PuL finns inte i FM-PuL. Försvarets radioanstalts inhämtning av signaler i tråd ska enligt 3 § lagen om signalspaning i försvarsunderrättelseverksamhet ske automatiserat och det föreskrivs vidare att sådan inhämtning endast får avse signaler som identifierats genom sökbegrepp. Även vid annan inhämtning ska sökbegrepp enligt paragrafen användas för identifieringen av signaler. Detta förfarande reducerar informations- mängden på ett ändamålsenligt sätt före själva inhämtningen och tillvaratar därmed också integritetsskyddsintresset. Behandling av personuppgifter omfattar enligt 1 kap. 4 § FRA-PuL all slags behand- ling, alltså även den som sker på automatisk väg. Personuppgifter behandlas redan i det tidiga skede när informationen i tillståndsgivna signalbärare genomgår urval med hjälp av sökbegrepp. Det innebär att personuppgiftsbehandling sker även för information som inte inhämtas. Många av de personuppgifter som behandlas automatiskt blir dessutom aldrig föremål för granskning. Därför är det inte möjligt att veta om de behandlas enligt bestämmelserna i om grundläggande krav, ändamål, känsliga personuppgifter och per- sonnummer. I tillämpningen har uppstått frågan om det är först när får klart för sig vilka personuppgifter som behandlas som det är möjligt för myndigheten att behandla dem enligt bestäm- melserna i 1 kap. 6 och 8–12 §§ FRA-PuL. I ett tillsynsbeslut tog Datainspektionen upp frågan om tolkningen av 1 kap. 13 § FRA-PuL efter det att Statens inspektion för försvarsunderrättelseverksamheten hade anmält frågan dit. Datainspektionen kom fram till att varken bestämmelsens ordalydelse eller förarbetena till FRA-PuL ger stöd för en sådan tolkning som anges ovan.