sou · H6B363 · 2018-08-09 00:00:00 — Samma skäl som tidigare gör sig fortfarande gällande och utred- ningen föreslår därför att även de nya lagarna ska innehålla en mot- svarande upplysning. Bestämmelsen föreslås bli neutralt formulerad, men innehåller inte några förändringar i sak i förhållande till nu- varande lydelse. Utredningens förslag: Försvarsmakten respektive ska vara personuppgiftsansvariga för den behandling som respektive myndighet utför. Personuppgiftsansvaret omfattar all behandling av personuppgifter som utförs under myndighe- tens ledning eller på dess vägnar. Skäl för utredningens förslag: Av 1 kap. 5 § i FM-PuL och FRA- PuL framgår att Försvarsmakten respektive är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Motiven framgår av prop. 2006/07:46 s. 52 f. Med personuppgiftsansvarig avses den som ensam eller tillsam- mans med andra bestämmer ändamålen med och medlen för behand- ling av personuppgifter. Av FM-PuL och FRA-PuL framgår för vilka ändamål behandling av personuppgifter får ske. I personuppgiftsansvaret ingår att bestämma medlen för och, inom ramen för dessa ändamål, de närmare ända- målen med behandlingen av personuppgifterna. Försvarsmakten respektive är personuppgiftsansvariga för den behandling av personuppgifter som utförs inom respektive myn- dighets verksamhet. Personuppgiftsansvaret innebär bl.a. att Försvars- makten och har ansvaret för att uppgifter som behandlas i t.ex. ett datorsystem är korrekta och att de inte behandlas på ett sätt som strider mot lagstiftningen eller de före- skrifter som meddelats med stöd av denna. Motsvarande bestäm- melser föreslås ingå även i de nya lagarna. Utredningens förslag: Försvarsmakten och Försvarets radio- anstalt får vara gemensamt personuppgiftsansvarig med annan endast i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. Skäl för utredningens förslag: Begreppet gemensamt personupp- giftsansvar finns i både dataskyddsförordningen (artikel 26) och dataskyddsdirektiv (artikel 21). framgår att om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de vara gemensamt personuppgiftsansvariga. Enligt förordningen ska gemen- samt personuppgiftsansvariga under öppna former fastställa sitt respektive ansvar för att fullgöra de skyldigheter som framgår av för- ordningen, särskilt vad gäller utövandet av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla information, i den mån detta inte framgår av förordningen. Inom ramen för arrange- manget får en gemensam kontaktpunkt för de personuppgiftsansvariga utses. Detta arrangemang ska på lämpligt sätt återspegla de gemen- samt personuppgiftsansvarigas respektive roller och förhållanden gentemot registrerade och det väsentliga innehållet i arrangemanget ska också göras tillgängligt för den registrerade. Oavsett formerna för de gemensamt personuppgiftsansvarigas arrangemang får den registrerade utöva sina rättigheter emot var och en av de person- uppgiftsansvariga. Även enligt dataskyddsdirektiv avses att två eller flera personuppgiftsansvariga har gemensamt ansvar för registrerade upp- gifter, om de gemensamt fastställer behandlingens ändamål och medel och på samma sätt som de enligt förordningen fastställer sitt respektive ansvar för regelefterlevnaden, särskilt vad gäller utövan- det av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla viss information. På samma sätt som enligt data- skyddsförordningen får den registrerade utöva sina rättigheter med avseende på var och en av de personuppgiftsansvariga. En bestämmelse om gemensamt personuppgiftsansvar finns i för- slaget till Säkerhetspolisens datalag (SOU 2017:74). Enligt den får Säkerhetspolisen vara gemensamt personuppgiftsansvarig med annan i den utsträckning det följer av lag eller förordning eller om reger- ingen i ett enskilt fall beslutar om det (1 kap. 8 §). Med anledning av Försvarsmaktens och Försvarets radioanstalts nära samarbete dels med varandra, dels med Säkerhetspolisen, bedö- mer utredningen att det bör införas en möjlighet att ha gemensamt personuppgiftsansvar. Liksom i förslaget till Säkerhetspolisens datalag bör gemensamt personuppgiftsansvar endast få förekomma i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. I den förordning som ska knyta an till lagen om behandling av personuppgifter vid Försvarsmakten bör föreskrivas att Försvars- makten får vara gemensamt personuppgiftsansvarig med Säkerhets- polisen, Nationella operativa avdelningen i , Myn- digheten för samhällsskydd och beredskap, , och Totalförsvarets rekryteringsmyndighet. I den förordning som ska anknyta till lagen om behandling av personuppgifter vid bör anges att får ha gemensamt personuppgiftsansvar med Försvars- makten och Säkerhetspolisen inom ramen för myndighetsövergri- pande samverkan mellan myndigheterna för att kunna kartlägga 1.yttre militära hot mot landet, 2.förutsättningar för svenskt deltagande i fredsfrämjande och huma- nitära insatser eller hot mot säkerheten för svenska intressen vid genomförande av sådana insatser 3.strategiska förhållanden avseende internationell terrorism som kan hota väsentliga nationella intressen, 4.allvarliga yttre hot mot samhällets infrastruktur, samt 5.främmande underrättelseverksamhet mot svenska intressen. I förordningarna bör det vidare föreskrivas att när respektive myn- dighet är gemensamt personansvarig med annan ska myndigheten säkerställa att de förpliktelser var och en har i egenskap av person- uppgiftsansvarig regleras i en skriftlig överenskommelse Vid en sådan överenskommelse ska respektive myndighets författningsenliga skyl- digheter kvarstå. I förordningarna bör slutligen föreskrivas att den som personuppgiften rör får, trots en sådan överenskommelse, utöva sina rättigheter gentemot var och en av de personuppgiftsansvariga. Utredningens förslag: Vissa uttryck som används i de föreslagna lagarna ska definieras. Skäl för utredningens förslag: Sedan FM-PuL:s och FRA-PuL:s tillkomst 2007 har det skett vissa förändringar på de tekniska och legala områdena vilket har påverkat vissa begrepps innebörd. Ut- vecklingen innebär också att vissa begrepp har tillkommit medan andra har tagits bort eller bytts ut. Med anledning av EU:s dataskyddsför- ordning och de lagar och lagändringar som är en följd av dataskyddsdirektiv förekommer vissa begrepp både i lagstiftning som faller under och utanför . I den mån samma begrepp används bör de i möjligaste mån ha samma betydelse även i lagstift- ning som reglerar verksamhet utanför . Nedan följer en genomgång av begreppens definitioner samt huru- vida begreppen är nytillkomna, förändrade, oförändrade eller inte längre ska förekomma i lagtexten. Behandling av personuppgifter definieras i FM-PuL och FRA-PuL som varje åtgärd eller serie av åtgärder som vidtas i fråga om person- uppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insam- ling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översän- dande, spridning eller annat tillhandahållande av uppgifter, samman- ställning eller samkörning, blockering, utplåning eller förstöring. Utredningen föreslår att behandling av personuppgifter i de nya lagarna definieras som ”En åtgärd eller kombination av åtgärder som vidtas i fråga om personuppgifter eller uppsättningar av personupp- gifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, organisering, strukturering, lagring, bearbetning eller tillhandahållande på annat sätt, justering, sammanföring, begränsning ändring, framtagning, läsning, användning, utlämnande, spridning eller, radering eller förstöring.” Den föreslagna lydelsen, som har samma lydelse som förslagen till motsvarande definitioner i Säkerhetspolisens datalag och brotts- datalagen, innebär språkliga skillnader jämfört med dataskyddsför- ordningen och vissa ändringar i de uppräknade exemplen jämfört med FM-PuL och FRA-PuL; återvinning, inhämtande, blockering och utplåning tas bort, medan strukturering, framtagning, läsning, juster- ing, sammanföring, begränsning och radering tillkommer. Beträffande begreppen radering och förstöring kan följande note- ras. Radering finns med i uppräkningen i dataskyddsförordningens artikel 4 som alternativ till bl.a. förstöring, men någon närmare förklaring till vad radering innebär finns inte utöver att raderingen (enligt artikel 17) kopplas till ”rätten att bli bortglömd”. Radering/ rätten att bli bortglömd antyder att radering enligt dataskyddsför- ordningen innebär att personuppgifterna ska raderas/tas bort per- manent från alla databärare/informationssamlingar, dvs. på ett sådant sätt att informationen inte kan återskapas vid senare tillfälle (se även SOU 2017:29 s. 727 och SOU 2017:39 s. 317), dvs. samma betydelse som utplåna enligt FM-PuL och FRA-PuL (jfr. SOU 1997:39 s. 402 f.). Begreppet radering kan jämföras med förstöring, som är det begrepp som används i lagen om signalspaning i försvarsunderrättelseverk- samhet (2 a, 7 och 10 §§). Enligt 5 § förordningen om signalspaning i försvarsunderrättelseverksamhet ska förstöring ske på ett sådant sätt att uppgifterna inte kan återskapas. Båda begreppen syftar alltså till att data ska raderas/förstöras på ett sådant sätt att den inte kan återskapas. Hur dessa processer går till får förändras i takt med den tekniska utvecklingen. Beträffande begreppet begränsning kan följande noteras. Enligt 1 kap. 4 § FM-PuL och FRA PuL är blockering en åtgärd som vidtas för att personuppgifterna ska vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte ska lämnas ut till tredje man annat än med stöd av 2 kap. TF. Definitionen stämmer väl överens med beskriv- ningen av begränsning, dvs. att den personuppgiftsansvarige vidtar en åtgärd med personuppgifterna som visar att behandlingen har be- gränsats. Hur begränsningen bör göras får bedömas med utgångs- punkt i vad som är lämpligt i det enskilda fallet. En naturlig åtgärd kan vara att avskilja uppgifterna från det datasystem där de behand- las. Begränsningen kan också ha formen av en teknisk begränsning. En tredje möjlighet att begränsa behandlingen är att inskränka till- gången till uppgifterna. Utredningen föreslår att en definition av begreppet Biometriska upp- gifter bör införas i de nya lagarna och definieras som ”Personuppgifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av personen i fråga.” Begreppet har inte definierats i FM-PuL och FRA-PuL. Den före- slagna definitionen stämmer överens med förslaget till Säkerhets- polisens datalag och i huvudsak med dataskyddsförordningen. Bio- metriska uppgifter behandlas under avsnitt 6.4.2. Personuppgiftsombud definieras i FM-PuL och FRA-PuL som den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Funktionen som enligt nuvarande lag benämns personuppgifts- ombud föreslås fortsättningsvis benämnas dataskyddsombud och definieras som en fysisk person som utses av den personuppgifts- ansvarige för att självständigt se till att personuppgifter behandlas författningsenligt och på ett korrekt sätt. Motiven för ändringen utvecklas under avsnitt 6.6.5. Utredningen föreslår att en definition av begreppet Genetiska upp- gifter bör införas i de nya lagarna och definieras som ”Personupp- gifter som rör en persons nedärvda eller förvärvade genetiska känne- tecken och som härrör från analys av ett spår av eller ett prov från personen i fråga”. Begreppet har inte definierats i FM-PuL och FRA-PuL. Den föreslagna definitionen stämmer överens med förslaget till lagen om behandling av personuppgifter vid och i huvudsak med dataskyddsförordningen. Genetiska uppgifter behandlas under avsnitt 6.4.2. Logg definieras inte i FM-PuL och FRA-PuL. Utredningen föreslår att en logg definieras som en behandlingshistorik som sparas . Loggning och logguppföljning behandlas under avsnitt 6.6.2. Mottagare definieras i FM-PuL och FRA-PuL som den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut från För- svarsmakten eller för att en annan myndighet ska kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte den myndigheten som mottagare. Mottagare definieras på samma sätt, något annorlunda uttryckt, i brottsdatalagen och förslaget till Säkerhetspolisens datalag (SOU 2017:74 s. 36) som ”den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision.” Utredningen föreslår att mottagare i de nya lagarna ska definieras på samma sätt som i förslaget till Säkerhetspolisens datalag. Änd- ringen i förhållande till FM-PuL och FRA-PuL är endast av språklig karaktär. Personuppgifter definieras i FM-PuL och FRA-PuL som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Utredningen föreslår att personuppgifter i de nya lagarna definie- ras som ”Varje upplysning om en identifierad eller identifierbar fysisk person som är i livet”, i likhet med bl.a. dataskyddsförordningen. Den nya lydelsen innebär inte någon ändring i sak, men gör defini- tionen enhetlig med övriga lagar på personuppgiftsområdet. Utredningen föreslår att en definition av begreppet Personuppgifts- ansvarig införs i de nya lagarna och definieras som ”Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter”. Begreppet har inte definierats i FM-PuL och FRA-PuL. Den föreslagna definitionen stämmer överens med förslaget till Säker- hetspolisens datalag. Utredningen föreslår att definitionen av begreppet Personuppgifts- biträde ska definieras i de nya lagarna som ”den som, med stöd av ett skriftligt avtal eller annan skriftlig överenskommelse, behandlar personuppgifter för den personuppgiftsansvariges räkning”. Den föreslagna definitionen, som stämmer överens med förslaget till Säkerhetspolisens datalag, innehåller även ett uttryckligt krav på skriftligt avtal, vilket saknas i definitionen i FM-PuL och FRA-PuL (krav på skriftligt avtal framgår emellertid av 3 kap. 1 § FM-PuL och FRA-PuL). Den föreslagna lydelsen avviker från dataskyddsför- ordningens definition som inte innehåller krav på skriftligt avtal. Tredje man definieras i FM-PuL och FRA-PuL som någon annan än den registrerade, den personuppgiftsansvarige, personuppgiftsom- budet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har befogenhet att behandla personuppgifter. Utredningen föreslår att termen ska ändras till tredje part med oförändrad lydelse i övrigt. Skälen för förslaget är att det saknas skäl att hålla fast vid man i detta sammanhang när betydelsen är helt frikopplad från ordets egentliga betydelse. Även dataskyddsför- ordningen, som flertalet övriga svenska myndigheter, företag och organisationer kommer att tillämpa, anger numera tredje part. Inte heller man i betydelsen människa utgör skäl att behålla man i nu aktuella lagar eftersom en utomstående i sammanhanget likaväl kan vara en myndighet, sammanslutning eller organisation. Förslaget av- viker i denna del från förslaget till Säkerhetspolisens datalag. Uppgiftssamling definieras i FM-PuL och FRA-PuL som en samling med uppgifter som med hjälp av automatiserad behandling används gemensamt. Utredningen föreslår att definitionen ska införas i de nya lagarna med den ändringen att används gemensamt” byts ut mot ”är gemen- samt tillgängliga”. Begreppets innebörd behandlas i avsnitt 6.5.1. 6.3.1Försvar och säkerhet som rättslig grund för behandling av personuppgifter hos Försvarsmakten Utredningens förslag: Försvarsmakten får behandla personupp- gifter om det är nödvändigt för att planera, förbereda och genom- föra verksamhet som rör 1.Sveriges försvar och säkerhet, eller 2.internationellt försvars- och säkerhetssamarbete. Försvarsmaktens uppgift att bedriva sådan verksamhet ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen upp- dragit åt myndigheten att ansvara för uppgiften. Skäl för utredningens förslag: Personuppgifter får enligt den före- slagna bestämmelsen behandlas i Försvarsmaktens verksamhet om behandlingen är nödvändig för att planera, förbereda och genomföra verksamhet som rör försvar och säkerhet. Försvarsmaktens uppgift att bedriva sådan verksamhet ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. Regler om denna verksamhet omfattas inte av unionsrätten och enligt utredningens mening bör någon ändring härvidlag inte göras utan här bör enbart nationella bestämmelser gälla. I det följande beskriver utredningen vilken verksamhet i Försvars- makten som den föreslagna bestämmelsen omfattar. Till en del inne- bär beskrivningen en upprepning av bakgrundsbeskrivningen i av- snitt 3.1 men bedöms nödvändig här för att ge en uppfattning om den personuppgiftsbehandling som är aktuell i sammanhanget. Som framgår av avsnitt 3.1 har Försvarsmakten i uppdrag att upp- rätthålla och utveckla ett militärt försvar som ytterst kan möta ett väpnat angrepp samt att försvara och främja svensk säkerhet. Grunden för Försvarsmaktens verksamhet är förmågan till väpnad strid. Vid höjd beredskap ska Försvarsmakten kunna krigsorganisera, mobilisera och använda alla krigsförband för att möta ett militärt hot mot och svenska intressen. Krigsförband ska kunna krigs- organiseras, även om höjd beredskap inte råder. och planeringen av denna innefattar personuppgiftsbehandling av anställda i Försvarsmakten och andra som på annat sätt är knutna till myndigheten. 1.yrkesofficerare, kontinuerligt tjänstgörande anställda gruppbefäl, soldater och sjömän och Försvarsmaktens civila arbetstagare, 2.de som är tidsbegränsat anställda med stöd av 2 § lagen (2010:449) om Försvarsmaktens personal vid internationella militära insatser, 4.reservofficerare och tjänstgörande anställda gruppbefäl, soldater och sjömän, 5.hemvärnsmän och frivillig personal, 6.den som är inskriven för värnplikt och som tjänstgör i Försvars- makten, och När det gäller personal i krigsorganisationen som inte är anställd i Försvarsmakten bör personuppgiftsbehandlingen enbart gälla upp- gifterna i krigsorganisationen. Detta blir en följd av kravet att per- sonuppgiftsbehandlingen ska vara nödvändig för att upprätta och utveckla ett militärt försvar eller för att försvara . Det är bara i dessa sammanhang som det kravet gör sig gällande för denna per- sonalkategori. För de anställda i Försvarsmakten tillkommer emellertid att de också är föremål för Försvarsmaktens personuppgiftsbehandling i den för alla myndigheter normala personaladministrativa verksam- heten, såsom hanteringen av löner, ledigheter etc. Den personupp- giftsbehandlingen har dock ett nära samband med den som avser krigsorganisationen och planeringen av denna. Det är enligt utred- ningens mening inte lämpligt att de separeras på så sätt att de kom- mer att omfattas av skilda regelsystem. För att på ett ändamålsenligt sätt upprätthålla och utveckla militära försvar eller för att försvara är det enligt utredningens mening nödvändigt att de omfattas av samma reglering. När det gäller Försvarsmaktens krigsorganisation omfattar be- stämmelsen således behandlingen av personuppgifter som rör anställda i Försvarsmakten och annan personal som ingår i eller kan komma att ingå i myndighetens krigsorganisation. Operationer och övningar är nödvändiga för Försvarsmaktens uppdrag att upprätthålla och utveckla ett militärt försvar och att ha förmåga till väpnad strid. När Försvarsmakten planerar, förbereder och genomför militära operationer och övningar behandlar myndig- heten uppgifter om de som deltar i operationerna och övningarna. I dessa kan andra än personal i krigsorganisationen delta. Vid genomförande av nationella militära operationer och internationella militära insatser behandlar Försvarsmakten även uppgifter om mot- ståndare eller andra aktörer. Även denna personuppgiftsbehandling omfattas av bestämmelsen. Enligt förordningen (1982:765) om Försvarsmaktens ingripanden vid kränkningar av territorium under fred och neutralitet m.m.(IKFN) ska Försvarsmakten bl.a. upptäcka och avvisa kränk- ningar av svenskt territorium och i samarbete med civila myndigheter ingripa vid andra överträdelser av tillträdesförordningen (1992:118). Vid dessa ingripanden kan personuppgifter komma att behandlas. Sådan behandling omfattas också av bestämmelsen. En annan verksamhet när det gäller att upprätthålla och utveckla ett militärt försvar är utveckling av teknik och metodik (se vidare avsnitt 3.1). Det är oundvikligt att verksamhet som bl.a. syftar till att pröva och anpassa teknisk utrustning och tekniska system leder till att personuppgifter behandlas. Även i detta sammanhang kan det bli aktuellt med behandling av personuppgifter. Också sådan behand- ling omfattas av bestämmelsen. Som anges i avsnitt 3.1. bedriver Försvarsmakten till stöd för lösan- det av Försvarsmaktens militära uppgifter underrättelseverksamhet som inte utgör försvarsunderrättelseverksamhet eller militär säkerhetstjänst. Personuppgiftsbehandlingen inom denna underrättelseverksamhet rör försvar och säkerhet och omfattas därför av bestämmelsen. Försvarsmakten har vidare vissa andra arbetsuppgifter som rör försvar och säkerhet och som anges i lag eller förordning. I avsnitt 3.1 ges ett antal exempel på sådana uppgifter. De gäller stöd till polisen vid terrorismbekämpning, omvärldsbevakning och viss attachéverksamhet. Där anges också utnyttjande av personal inom , polismäns deltagande i försvaret av riket i krig samt utredningar för att bedöma totalförsvarspliktigas förutsättningar att fullgöra värnplikt. Den personuppgiftsbehandling som är nödvändig för Försvars- makten att genomföra de nu nämnda verksamheterna omfattas av bestämmelsen. Beskrivningen av verksamheterna gör inte anspråk på att vara fullständig. Det kan finnas andra uppgifter för Försvarsmakten som rör försvar och säkerhet. Sådana kan också tillkomma. Avslutningsvis vill utredningen nämna några författningsenliga upp- gifter som klart faller utanför bestämmelsen. Som tidigare antytts ska myndigheten enligt 2 § andra stycket förordningen (2007:1266) med instruktion för Försvarsmakten med myndighetens befintliga för- måga och resurser kunna lämna stöd till civil verksamhet, se vidare härom förordningen (2002:375) om Försvarsmaktens stöd till civil verksamhet. Enligt 3 § förordningen med instruktion för Försvars- makten ska myndigheten ansvara för att samla in, bearbeta och lämna sjölägesinformation sammanställd för civila behov och på begäran av polisen utföra helikoptertransporter som är av större vikt för genomförandet av polisiära insatser, se härom vidare förordningen (2017:113) om Försvarsmaktens stöd till polisen med helikoptertransporter. Slutligen ska nämnas förordningen (2000:278) om gåvor och överföringar av överskottsmateriel hos Försvarsmakten. Den föreslagna bestämmelsen omfattar i och för sig också Försvars- maktens försvarsunderrättelsetjänst och militära säkerhetstjänst. Med hänsyn till dessa verksamheters karaktär och till att de har reglerats i FM-PuL anser utredningen att de även i den föreslagna lagen ska regleras särskilt. Internationellt försvars- och säkerhetssamarbete Personuppgifter får enligt den föreslagna bestämmelsen behandlas i Försvarsmaktens verksamhet om behandlingen är nödvändig för att planera, förbereda och genomföra verksamhet som avser internatio- nellt försvars- och säkerhetssamarbete.