sou · H6B363 · 2018-08-09 00:00:00 — Med gemensamt tillgäng- liga uppgifter avses enligt dessa bestämmelser uppgifter som inte enbart ett fåtal har tillgång till. Liksom i förslaget till Säkerhetspolisens datalag bör regleringen om gemensamt tillgängliga uppgifter finnas i ett särskilt kapitel i respektive lag. Det bör enligt utredningen finnas en tydlig koppling till de tillåtna rättsliga grunderna för personuppgiftsbehandling. Detta innebär tydliga regler och underlättar den bedömning som ska ske vid tillsyn och kontroll om huruvida behandlingen av personuppgif- ter vilar på rättslig grund. En grundläggande förutsättning för att personuppgifter ska anses vara gemensamt tillgängliga är att de kan användas gemensamt av flera, dvs. att fler än en person har åtkomst till uppgifterna. Uppgif- ter som endast ett fåtal personer har rätt att ta del av bör dock inte anses som gemensamt tillgängliga. Försvarsmakten och bör kunna samarbeta med andra, företrädesvis myndigheter, och inom ramen för sådant samarbete behandla personuppgifter i gemensamma projekt. Bland annat för att möjliggöra ett sådant samarbete görs bedömningen i avsnitten 6.5.2 och 6.5.3 att vissa myndigheter bör kunna medges direktåtkomst till uppgifter som har gjorts gemensamt tillgängliga inom Försvarsmakten och . Syftet med att begränsa åtkomsten till gemensamt tillgängliga uppgifter är att per- sonuppgifter – och behandlingen av sådana uppgifter – bör kring- gärdas av ett extra skydd när de sprids till andra myndigheter än Försvarsmakten och . Konsekvensen av be- gränsningen blir att bestämmelserna om gemensamt tillgängliga uppgifter alltid blir tillämpliga i projekt med deltagare från andra myndigheter, oavsett antalet deltagare i projektet. Liksom angavs i lagstiftningsarbetet vid tillkomsten av FM-PuL och FRA-PuL, anser utredningen att det inte är möjligt att i lagstift- ningen ange någon exakt gräns för när en viss behandling ska anses ske i en uppgiftssamling och därmed omfattas av de särskilda bestämmelser som reglerar sådana samlingar. Myndigheterna måste i det enskilda fallet avgöra om uppgifter som behandlas automa- tiserat är gemensamma eller inte. En handläggare inom Försvars- makten eller torde i regel utan svårigheter kunna avgöra om han eller hon för tillfället arbetar med en uppgift direkt i en uppgiftssamling eller i ett ordbehandlingsdokument eller annat pro- gram där han eller hon ensam behandlar personuppgiften. Den personuppgiftsansvarige har emellertid ett ansvar för att gränsdrag- ningsproblem inte uppstår på grund av brister i den tekniska utform- ningen av ett datorsystem. Genom de höga säkerhetskrav som omgär- dar Försvarsmaktens och Försvarets radioanstalts informationssystem är det också nödvändigt att inom verksamheten ha klart för sig huru- vida en viss uppgift ingår i en uppgiftssamling eller inte. Den närmare regleringen av vilka kategorier av uppgifter som ska få behandlas bör även fortsättningsvis huvudsakligen regleras i för- ordning eller genom regeringsbeslut. För att undvika en alltför detaljerad reglering i lag bör regeringen meddela närmare föreskrifter eller beslut i enskilda fall om vilka upp- giftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive samling. Inom ramen för den personuppgiftsbehandling som sker av För- svarsmakten i försvarsunderrättelseverksamheten och den militära säkerhetstjänsten är risken för integritetsintrång för den enskilde typiskt sett större än vid annan personuppgiftsbehandling som om- fattas av förslaget till lag om behandling av personuppgifter vid Försvarsmakten. Det finns därför enligt utredningen skäl att även fortsättningsvis reglera behandling av personuppgifter i uppgiftssam- lingar i dessa verksamheter i lag. Beträffande personuppgiftsbehandling utanför försvarsunderrättelseverksamheten och den militära säkerhets- tjänsten gör utredningen emellertid följande bedömning. I stort sett samtliga personuppgifter som behandlas av Försvars- makten i de andra verksamheterna är av sådan karaktär att de kan betraktas som gemensamt tillgängliga. De uppgifter som personal hos Försvarsmakten har tillgång till begränsas dock genom krav på behörighet. Åtkomsten begränsas såtillvida att de som har behörig- het endast får tillgång till de delar av informationssystemen som de behöver för att kunna fullgöra sina arbetsuppgifter. Inloggning i Försvarsmaktens huvudsystem för ärendehantering, FM AP kan till exempel endast ske med hjälp av totalförsvarets elektroniska id-kort. Aktiviteter i systemen loggas och logguppföljning görs regelbundet av it-säkerhetschefen och verksamhetschefen. Personuppgiftsbehandlingen inom ramen för lagförslaget omgär- das av särskilda skyddsregler. Personuppgiftsbehandlingen kommer exempelvis att begränsas genom bestämmelser om lagens tillämp- ningsområde och särskilda ändamålsbestämmelser, om att tillgången till personuppgifter ska begränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. En begränsning följer också av att det föreslås en särskild reglering för när och hur direktåtkomst för andra aktörer får medges. Lagen föreslås även innehålla bestäm- melser om sökförbud. På detta sätt begränsas risken för otillbörlig spridning av uppgifterna. Mot denna bakgrund utgör de föreslagna skyddsreglerna ett tillräckligt integritetsskydd för den uppgiftsbehandling som omfattas av lagförslaget och som sker vid Försvarsmakten utanför försvars- underrättelseverksamheten och den militära säkerhetstjänsten. Något behov av en mer restriktiv särreglering finns därför inte. För behandling av personuppgifter avseende de nya ändamålen bör därför Försvars- makten få bestämma om uppgiftssamlingar ska införas och vad de i så fall ska innehålla. Detta bör anges i den nya förordningen om behandlingen av personuppgifter vid Försvarsmakten. I den förordning som ska knyta an till den föreslagna lagen föreslås följande när det gäller uppgiftssamlingar hos Försvarsmakten. Vid Försvarsmakten får det finnas uppgiftssamlingar för försvars- underrättelseverksamhet som innehåller personuppgifter. Uppgifts- samlingarna år endast innehålla uppgifter som är nödvändiga för att Försvarsmakten ska kunna bedriva verksamhet enligt lagen (2000:130) om försvarsunderrättelseverksamhet. En uppgiftssamling för försvarsunderrättelseverksamhet får endast innehålla 2.uppgifter om de omständigheter och händelser som ger anledning att anta att den som behandlingen rör har betydelse för för- svarsunderrättelseverksamheten, 3.upplysningar om varifrån uppgiften kommer och om en uppgifts- lämnares trovärdighet, och 4.allmänt tillgänglig information som finns på internet eller i öppna databaser. När personuppgifter som avses ovan och som finns i rapportunder- lag och underrättelserapporter inte längre behövs för de ändamål för vilka de behandlas, ska de bevaras för historiska, statistiska eller vetenskapliga ändamål. Vid Försvarsmakten får det finnas uppgiftssamlingar för säker- hetsunderrättelsetjänst som innehåller personuppgifter. Uppgifts- samlingarna får endast innehålla uppgifter som är nödvändiga för att upptäcka och klarlägga säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen samt allmänt tillgänglig information som finns på internet eller i öppna databaser. När personuppgifter som avses ovan och som finns i rapport- underlag och underrättelserapporter inte längre behövs för de ända- mål för vilka de behandlas, ska de bevaras för historiska, statistiska eller vetenskapliga ändamål. Vid Försvarsmakten får det finnas uppgiftssamlingar för säker- hetsskyddstjänst som innehåller personuppgifter. Uppgiftssamlingarna får endast innehålla uppgifter som är nödvändiga för att förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvars- makten och dess säkerhetsintressen. Vid Försvarsmakten får det finnas uppgiftssamlingar för signal- kontroll som innehåller personuppgifter. Uppgiftssamlingarna får endast innehålla uppgifter som är nödvändiga för att förhindra obehörig insyn i och påverkan av totalförsvarets telekommunika- tions- och informationssystem. I avsnitt 6.4.6 föreslår utredningen inga tidsfrister för behand- lingen av personuppgifter i uppgiftssamlingarna för säkerhetsunder- rättelsetjänst och för säkerhetsskydd. Personuppgifter i en uppgifts- samling för signalkontroll föreslås, i likhet med vad som gäller, inte få behandlas längre än efter det att behandlingen på- börjades. På samma sätt som för Försvarsmakten föreslås för Försvarets radio- anstalts behandling av personuppgifter ett kapitel om personupp- gifter som får göras gemensamt tillgängliga. Enligt förslaget till ny reglering bör personuppgifter få göras gemensamt tillgängliga och behandlas i uppgiftssamlingar om det behövs för något av de syften som anges i lagens andra kapitel. Således omfattas, utöver försvars- underrättelse- och utvecklingsverksamheten, även informationssäker- hetsverksamheten av den nya regleringen. I den förordning som ska knyta an till lagen om behandling av personuppgifter vid föreslår utredningen följande förändringar när det gäller uppgiftssamlingar. Enligt 3 § FRA-PuF ska rapportunderlag finnas i uppgiftssamlingar för analy- ser. Uppgiftssamlingarna för underrättelser får enligt utredningens förslag innehålla rapportunderlag på grund av det nära sambandet mellan rapportunderlag och underrättelserapporter. bedömningar i underrättelserapporter bygger på information i rapport- underlagen är det logiskt att underlagen behandlas enligt samma regler som de resulterande underrättelserapporterna. När personuppgifter i rapportunderlag och underrättelserappor- ter inte längre behövs för de ändamål för vilka de behandlas ska de bevaras för historiska, statistiska eller vetenskapliga ändamål. Där- med säkerställs bl.a. möjligheterna att i ljuset av ny information vid behov ompröva tidigare analyser och bedömningar. Detta torde vara ett grundläggande krav på all underrättelserapportering som kan ligga till grund för sådana aktiviteter som rapportmottagarna kan komma att genomföra baserade på rapporteringen. Vid får det finnas uppgiftssamlingar för informationssäkerhetsverksamhet som innehåller personuppgifter. De får endast innehålla information om uppdragsgivare, information som rör it-angrepp samt bearbetningsunderlag och analysresultat. Vidare får det finnas uppgiftssamlingar för allmänt tillgänglig information som innehåller personuppgifter. De får endast innehålla information som finns eller har funnits på internet eller i öppna databaser. Slutligen får det finnas uppgiftssamlingar för loggar som förs med stöd av bestämmelser i den föreslagna lagen. 6.5.2Direktåtkomst till personuppgifter hos Försvarsmakten Utredningens förslag: Säkerhetspolisen och Försvarets radio- anstalt får medges direktåtkomst till personuppgifter som utgör bearbetningsunderlag och analysresultat inom försvarsunderrät- telseverksamheten och som finns i uppgiftssamlingar. Detta ska gälla även om uppgifterna omfattas av sekretess enligt 38 kap. 4 § offentlighets- och sekretesslagen (uppgifter om enskilds perso- nliga och ekonomiska förhållanden). Om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhets- samarbete får, i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutat om det, en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till per- sonuppgifter som behandlas i försvarsunderrättelseverksamheten och som finns i uppgiftssamlingar. Regeringen kan meddela föreskrifter eller särskilt beslut om vilka som i andra fall får ha direktåtkomst till gemensamt till- gängliga uppgifter. Regeringen, eller den myndighet som regeringen bestämmer, kan meddela 1.ytterligare föreskrifter eller beslut i enskilda fall om omfatt- ningen av direktåtkomsten, och 2.föreskrifter om behörighet och säkerhet vid sådan åtkomst. Skäl för utredningens förslag: Direktåtkomst innebär att någon har direkt tillgång till en uppgiftssamling och kan söka efter information i denna, utan att kunna påverka innehållet i uppgiftssamlingen. Mottagare med direktåtkomst kan i regel också kopiera informa- tionen och därefter bearbeta den. Informationsöverföringen sker utan att den som ansvarar för uppgiftssamlingen i det enskilda fallet tar ställning till om informationen ska lämnas ut. Direktåtkomst innebär således att den myndighet som har sådan åtkomst fritt kan avgöra vilka uppgifter den vill ta del av med den begränsning som följer av offentlighets- och sekretesslagens bestämmelser. Om en myndighet har direktåtkomst till uppgifter får dessa därför anses utlämnade i och med att ett system för direktåtkomst upprättats. Det saknar betydelse om myndigheten faktiskt använder sig av en viss uppgift eller inte. Eftersom bestämmelser om direktåtkomst inte har någon sekretessbrytande verkan i sig, förutsätter direkt- åtkomst att de aktuella uppgifterna inte omfattas av sekretess eller att det finns en skyldighet enligt lag eller förordning att lämna ut de aktuella uppgifterna till den som får ha direktåtkomst. Direktåtkomst för Säkerhetspolisen och Av 1 kap. 15 § första stycket FM-PuL framgår att Försvarsmakten får medge Säkerhetspolisen och direktåtkomst till sådana uppgifter i en uppgiftssamling för försvarsunderrättelse- verksamhet som behövs för att myndigheterna, inom ramen för myndighetsöverskridande samverkan, ska kunna göra bedömningar på strategisk nivå av terrorhotet mot och svenska intressen. Denna samverkan mellan de tre myndigheterna sker vid Nationellt centrum för terrorhotbedömning (NCT). Tillgången till sådana uppgifter ska enligt den bestämmelsen vara förbehållen de personer inom myndigheterna som på grund av sina arbetsuppgifter inom sådan samverkan behöver ha tillgång till upp- gifterna. Enligt samma bestämmelse får regeringen meddela före- skrifter om vilka myndigheter som i andra fall får ha direktåtkomst till uppgiftssamlingar. Vidare får regeringen, eller den myndighet som regeringen bestämmer, meddela ytterligare föreskrifter eller beslut i enskilda fall om omfattningen av direktåtkomsten. Enligt bestäm- melsen gäller möjligheten att meddela föreskrifter även föreskrifter om behörighet och säkerhet vid sådan åtkomst. Enligt 1 kap. 15 a § FM-PuL har de berörda myndigheterna rätt att ta del av sådana uppgifter som avses i 15 § första stycket trots sekretess enligt 38 kap. 4 § offentlighets- och sekretesslagen. Sekretess gäller enligt den paragrafen hos Försvarsmakten i försvarsunder- rättelseverksamheten och den militära säkerhetstjänsten för uppgift om enskilds personliga eller ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. I motiven till bestämmelserna i anförde regeringen att eftersom direktåtkomst innebär att den mottagande myndigheten fritt kan avgöra vilka uppgifter – inom ramen för den beviljade direktåtkomsten – den vill ta del av, blir uppgifterna att anse som utlämnade i och med att direktåtkomst medges. En myndighet kan därför inte tillåta en annan myndighet direktåtkomst till uppgifter, som vid en sekretessprövning, den senare myndigheten inte med säkerhet skulle ha rätt att ta del av. Eftersom de uppgifter som myn- digheterna inom ramen för samarbetet mot terrorism har för avsikt att lämna ut till varandra genom direktåtkomst omfattas av sekretess behövde sekretessen enligt regeringen sekretessen således på för- hand brytas. Regeringen konstaterade att det för Försvarsmaktens del finns en bestämmelse om uppgiftsskyldighet i 2 § lagen om försvarsunder- rättelseverksamhet. Där anges att underrättelser ska rapporteras till berörda myndigheter. Denna uppgiftsskyldighet omfattar enligt regeringen dock inte den typ av uppgifter som myndigheterna inom samarbetet har behov av att utbyta och som de skulle få tillgäng- liggöra genom direktåtkomst. Efter en genomgång av skilda sekretessbestämmelser fann reger- ingen att bestämmelsen i 38 kap. 4 § offentlighets- och sekretess- lagen om sekretess för uppgifter om enskildas personliga och ekono- miska för hållanden som har ett omvänt skaderekvisit borde brytas genom en bestämmelse om uppgiftsskyldighet. Utlämnande av upp- gifter som rör enskildas personliga och ekonomiska förhållanden torde i den aktuella situationen vara till skada eller men för den enskilde (prop. 2017/18:36 s. 29 f.). Som nämnts avser bestämmelserna om direktåtkomst i 1 kap. 15 § första stycket FM-PuL sådana uppgifter som behövs för att Försvarsmakten, och Säkerhetspolisen, inom ramen för myndighetsöverskridande samverkan, ska kunna göra bedömningar på strategisk nivå av terrorhotet mot och svenska intressen (NCT). Försvarsmakten och har även på andra områden ett nära samarbete med varandra när det gäller yttre militära hot mot landet, förutsättningar för svenskt deltagande i freds- främjande och humanitära insatser eller hot mot säkerheten för svenska intressen vid genomförande av sådana insatser, konflikter utomlands med konsekvenser för internationell säkerhet och främ- mande makts agerande eller avsikter av väsentlig betydelse för svensk utrikes-, säkerhets- och försvarspolitik. och Försvarsmakten samarbetar vidare med varandra och med Säkerhetspolisen när det gäller kartläggning av verksamhet som rör strategiska förhållanden avseende internatio- nell terrorism och annan grov gränsöverskridande brottslighet som kan hota väsentliga nationella intressen, utveckling och spridning av massförstörelsevapen, krigsmateriel, och produkter som avses i lagen (2000:1064) om kontroll av produkter med dubbla använd- ningsområden och av tekniskt bistånd, allvarliga yttre hot mot sam- hällets infrastruktur och främmande underrättelseverksamhet mot svenska intressen. Detta samarbete har stor betydelse för försvar och säkerhet, inte minst mot bakgrund av den säkerhetspolitiska utveck- ling som har ägt rum under de . Samarbetet leder till att myndigheterna delger varandra underrättelser. Några sekretess- hinder föreligger normalt inte för sådan delgivning. Samarbetet ställer emellertid krav på att myndigheterna på ett arbetsbesparande sätt kan ta del även av andra uppgifter hos varandra som de behöver för sin underrättelse- och säkerhetstjänst. Hos Försvarsmakten bör direktåtkomsten för Säkerhetspolisen och avse personuppgifter som utgör bearbetningsunderlag och analys- resultat inom försvarsunderrättelseverksamheten och som finns i uppgiftssamlingar. En del av dessa uppgifter kan röra uppgifter om enskilds per- sonliga och ekonomiska förhållanden och kan därför inte göras tillgängliga för direktåtkomst utan ett särskilt stöd i lag. Bestäm- melsen bör därför uttryckligen ge ett stöd för att bryta sekretessen i 38 kap. 4 § offentlighets- och sekretesslagen. Direktåtkomst i internationellt försvars- och säkerhetssamarbete Utvecklingen i och i omvärlden skärper kraven på förmåga att värna sin säkerhet. Detta gäller inte minst på området försvarsunderrättelse- och säkerhetstjänst, där internationell sam- verkan i många fall är helt nödvändig för att Försvarsmakten och ska kunna lösa sina uppgifter på detta område. Samarbete sker i flera fall genom att ses och utbyta information i mötesform och/eller genom elektroniskt utlämnande av meddelan- den och rapporter. I de fall där samarbete sker med stora behov av skyndsamhet, samt i de fall där samarbete syftar till att gemensamt följa ett skeende, är det i vissa fall nödvändigt att inom ramen för samarbetet tillgängliggöra information genom direktåtkomst. Behov av skyndsamhet kan exempelvis uppstå inför ett förmodat förestående terrordåd. Behov av att kunna medge direktåtkomst kan även uppstå på andra områden såsom när Försvarsmakten eller följer ett underrättelsemässigt intressant skeende tillsammans med en internationell partner. I sådana fall är det angeläget att kunna tillgängliggöra ett samlat kunskapsläge , vilket lämpligen görs genom att Försvars- makten medger en partner direktåtkomst till en uppgiftssamling som etablerats specifikt för detta samarbete. För Försvarsmaktens del föreslås därför en bestämmelse som innebär att en utländsk underrättelse- eller säkerhetstjänst får med- ges direktåtkomst till personuppgifter som behandlas i försvars- underrättelseverksamheten och som finns i uppgiftssamlingar. Som förutsättning bör gälla att det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhetssamarbete. Vidare bör det bara få ske i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutat om det. Utredningen anser att i den förordning som knyter an till lagen bör föras in ytterligare föreskrifter om direktåtkomst enligt vad som framgår av det följande och som till en del kommenteras. får medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 1 § lagen (2019:000) om behandling av personuppgifter vid Försvarsmakten. Direktåtkomsten får endast avse personuppgifter som rör Försvarsmaktens materiel- och logistik- försörjning och som har gjorts gemensamt tillgängliga. För finns ett behov av direktåtkomst med anledning av uppdraget att materiel- och logistikförsörja Försvars- makten. Dessa gemensamt tillgängliga uppgifter innehåller uppgifter om anställda vid och samt uppgifter om personer hos leverantörer. 2.Totalförsvarets rekryteringsmyndighet får medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 1 § lagen (2019:000) om behandling av personuppgifter vid Försvarsmakten. Direktåtkomsten får endast avse personuppgifter som rör totalförsvarspliktiga och Försvars- maktens krigsorganisation och som har gjorts gemensamt tillgängliga. För Totalförsvarets rekryteringsmyndighet finns behovet med anled- ning av uppdraget avseende totalförsvarspliktiga. Försvarsmakten har direktåtkomst till system hos Totalförsvarets rekryteringsmyndighet. 3.Finlands försvarsmakt får medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 1 § lagen (2019:000) om behandling av personuppgifter vid Försvarsmakten om det behövs för planering, för- beredelser och genomförande av stöd inom ramen för lagen (2019:000) om operativt militärt stöd mellan och . Direktåtkomsten får endast avse personuppgifter som har gjorts gemensamt tillgängliga. I betänkandet SOU 2018:31 föreslås en lag om operativt militärt stöd mellan och . I betänkandet föreslås vidare en förordning om utlämnande av sekretessbelagda uppgifter vid opera- tivt stöd inom försvarssamarbetet mellan och . Uppgift för vilken sekretess gäller enligt 15 kap. 2 § offentlighets- och sekretesslagen (2009:400) får enligt förslaget lämnas ut av Försvars- makten, och Totalförsvarets forskningsinsti- tut till en finsk myndighet avseende planering, förberedelser och genomförande av stöd inom ramen för den föreslagna lagen om operativt militärt stöd mellan och . Bestämmelserna föreslås träda i kraft . För ett effektivt planerings- och förberedelsearbete liksom för ett effektivt genomförande av sam- arbetet är finsk direktåtkomst till uppgifter hos Försvarsmakten viktig. Uppgifterna kan innehålla personuppgifter, bl.a. personal hos Försvarsmakten men framför allt om personer hos motståndare eller andra aktörer. 1.Regeringskansliet, Säkerhetspolisen, Nationella operativa avdelningen i , , , , Myndigheten för sam- hällsskydd och beredskap och får medges direktåtkomst till personuppgifter som utgör analysresultat och underrättelser och som finns i uppgiftssamlingar för försvarsunderrättelseverksamhet. En motsvarande bestämmelse finns för i 9 § FRA-PuL och tas in i den förordning som ska knyta an till den föreslagna lagen om behandling av personuppgifter vid . 2.Om det behövs för samarbetet mot terrorism eller vid svenskt del- tagande i annat internationellt underrättelse- och säkerhetssamarbete