sou · H6B363 · 2018-08-09 00:00:00 — Om det behövs för samarbetet mot terrorism eller för annat inter- nationellt säkerhetssamarbete får, i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det, en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 1 § och som finns i uppgiftssamlingar. Paragrafen motsvarar 3 kap. 3 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Om det behövs för samarbetet mot it-relaterade hot mot samhällsviktiga system får, i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det, en utländsk organisation inom informationssäkerhetsområdet medges direktåtkomst till person- uppgifter som behandlas med stöd av 2 kap. 6 § och som finns i upp- giftssamlingar. Paragrafen behandlas i avsnitt 6.5.3. Direktåtkomst för de områden som omfattas av bestämmelsen är begränsad till personuppgifter som behandlas inom Försvarets radio- anstalts informationssäkerhetsverksamhet och som finns i uppgifts- samlingar. Direktåtkomst i andra fall Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela före- skrifter eller särskilt beslut om vilka som i andra fall än i 2–4 §§ får ha direktåtkomst till uppgiftssamlingar. Paragrafen, som behandlas i avsnitt 6.5.3, är en upplysningsföre- skrift om att regeringen kan meddela föreskrifter eller i ett enskilt fall besluta att direktåtkomst får medges i andra fall än de som anges i 2–4 §§. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter eller beslut i enskilda fall om omfattningen av direktåtkomsten, och 2.föreskrifter om behörighet och säkerhet vid sådan åtkomst. Paragrafen, som behandlas i avsnitt 6.5.3, är en upplysningsföreskrift om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela ytterligare föreskrifter eller beslut i enskilda fall om omfattningen av direktåtkomsten, och föreskrifter om behörighet och säkerhet vid sådan åtkomst. 4 kap. Skyldighet som personuppgiftsansvarig Åtgärder för att säkerställa författningsenlig behandling ska, genom lämpliga tekniska och organisato- riska åtgärder, säkerställa att behandlingen av personuppgifter är för- fattningsenlig och skydda rättigheterna för dem som uppgifterna rör. Bestämmelsen motsvarar 4 kap. 1 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. ska säkerställa att det i uppgiftsamlingar förs loggar över personuppgiftsbehandling. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen med- dela föreskrifter om loggar. Bestämmelsen motsvarar 4 kap. 2 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten, med den skillnaden att bestämmelsen för avser uppgiftssamlingar. För en kommentar hänvisas till bestämmelsen i lag om behandling av personuppgifter vid Försvarsmakten. Tillgången till personuppgifter ska alltid begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Bestämmelsen motsvarar 4 kap. 3 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling eller förstöring och mot förlust eller annan oavsiktlig skada. Bestämmelsen motsvarar 4 kap. 4 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. ska inom myndigheten utse ett eller flera data- skyddsombud och anmäla dessa till tillsynsmyndigheten när data- skyddsombud utses och entledigas. Bestämmelsen motsvarar 4 kap. 5 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. 1.självständigt kontrollera att behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2.informera och ge råd till och till dem som behandlar personuppgifter under myndighetens ledning om deras skyl- digheter vid behandling av personuppgifter, 3.samråda med tillsynsmyndigheten, och 4.föra en förteckning över de kategorier av behandlingar som Försva- rets radioanstalt ansvarar för och som är helt eller delvis automatiserade. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vad en för- teckning som avses i första stycket 4 ska innehålla. Om bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och rättelse inte vidtas, ska data- skyddsombudet anmäla det till tillsynsmyndigheten. Bestämmelsen motsvarar 4 kap. 6 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. får, om det är lämpligt, anlita personuppgifts- biträden för behandling av personuppgifter på Försvarets radioanstalts vägnar. Innan ett personuppgiftsbiträde anlitas, ska Försvarets radio- anstalt försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av person- uppgifter ska vara författningsenlig och för att skydda rättigheterna för den som uppgifterna rör. Bestämmelsen motsvarar 4 kap. 7 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Personuppgiftsbiträdets behandling av personuppgifter ska regleras i ett skriftligt avtal eller annan skriftlig överenskommelse. Bestämmelsen motsvarar 4 kap. 8 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Ett personuppgiftsbiträde får inte anlita ett annat personuppgiftsbiträde utan skriftligt tillstånd av . Bestämmelsen motsvarar 4 kap. 9 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Ett personuppgiftsbiträde eller den eller de personer som arbetar under biträdets eller ledning ska behandla person- uppgifter i enlighet med instruktioner från . Om ett personuppgiftsbiträde, i strid med Försvarets radioanstalts instruktioner, bestämmer ändamålen med och medlen för behandlingen, ska biträdet anses vara personuppgiftsansvarig enligt denna lag för den behandlingen. Bestämmelsen motsvarar 4 kap. 10 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hän- visas till den bestämmelsen. Det som sägs om Försvarets radioanstalts skyldigheter i 2–4 §§ gäller även för personuppgiftsbiträden som anlitar. Bestämmelsen motsvarar 4 kap. 11 § i förslaget till lag om behand- ling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. 5 kap. Enskildas rättigheter ska göra följande allmänna information till- gänglig. 1.Myndighetens identitet och kontaktuppgifter. 2.Uppgifter om dataskyddsombudet. 3.Ändamålen med behandlingen. 4.Rätten enligt 2 § att begära att få information om behandling av personuppgifter och att få del av dem. 5.Rätten att begära rättelse, radering eller begränsning av behand- lingen enligt 5 §. Bestämmelsen motsvarar 5 kap. 1 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Information som ska lämnas efter begäran är skyldig att utan onödigt dröjsmål en gång per kalenderår till den som begär det lämna skriftligt besked om personupp- gifter som rör honom eller henne behandlas. Behandlas sådana uppgifter ska sökanden få del av dem och få följande skriftliga information. Vilka personuppgifter om den sökande som behandlas. 2.Varifrån personuppgifterna kommer. 3.Den rättsliga grunden för behandlingen. 4.Ändamålen med behandlingen. 5.Mottagare eller kategorier av mottagare av personuppgifterna, även iannat land eller internationella organisationer. 6.Hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det. 7.Rätten att begära rättelse, radering eller begränsning av behand- lingen enligt 5 §. Utlämnande enligt första stycket behöver inte omfatta person- uppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. En ansökan enligt första stycket ska göras skriftligen hos och vara undertecknad av den sökande själv. Information enligt första stycket ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Bestämmelsen motsvarar 5 kap. 3 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Begränsning av rätten till information Informationsskyldigheten i 2 § gäller inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut. Om förutsättningarna i första stycket är uppfyllda, är inte skyldig att lämna ut skälen för beslut enligt första stycket eller beslut i fråga om rättelse, radering eller begränsning av behandlingen enligt 5 §. Bestämmelsen motsvarar 5 kap. 4 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Informationsskyldigheten i 2 § gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna har lämnats ut till tredje part, behandlas enbart för vetenskapliga, statistiska eller historiska ändamål eller arkivändamål av allmänt intresse eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats längre än . Bestämmelsen motsvarar 5 kap. 5 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Rätten till rättelse, radering och begränsning av behandlingen ska på begäran av den som personuppgiften rör rätta, radera eller begränsa sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. ska också underrätta tredje part till vilken uppgifterna har lämnats ut om åtgärden, om den som personuppgiften rör begär det eller om en mera betydande skada eller olägenhet för denne skulle kunna undvikas genom en underrättelse. Någon underrättelse behöver dock inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Bestämmelsen motsvarar 5 kap. 6 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Information enligt 1 § ska lämnas utan avgift. Information och uppgifter enligt 2 § ska lämnas utan avgift en gång per kalenderår. Om någon begär information och uppgifter enligt 2 § oftare än en gång per kalenderår, får avslå begäran. Bestämmelsen motsvarar 5 kap. 7 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Den myndighet som regeringen bestämmer ska utöva allmän tillsyn över Försvarets radioanstalts behandling av personuppgifter enligt denna lag. ska ge råd och stöd till om myndighetens skyldigheter enligt lag eller annan författning eller när det i övrigt är påkallat. Bestämmelsen motsvarar 6 kap. 1 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. I lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet finns det särskilda bestämmelser om kontroll som rör Försvarets radio- anstalts behandling av personuppgifter i försvarsunderrättelse- och ut- vecklingsverksamheten. Paragrafen behandlas i avsnitt 6.8.1 och upplyser om att det i lagen om signalspaning i försvarsunderrättelseverksamhet finns särskilda bestämmelser om kontroll. Enligt 10 § nämnda lag ska kontrollen särskilt avse granskning av sökbegrepp, förstöring av uppgifter samt rapportering. har rätt att av eller ett personuppgiftsbiträde på begäran få 1.tillgång till personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av person- uppgifter och säkerhets- och skyddsåtgärder, 3.tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behand- ling av personuppgifter, och 4.det biträde och annan information som behövs för tillsynen. Bestämmelsen motsvarar 6 kap. 2 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Om tillsynsmyndigheten bedömer att det finns risk för att person- uppgifter kan komma att behandlas i strid med lag eller annan författ- ning, ska myndigheten genom råd, rekommendationer eller påpekan- den försöka förmå eller personuppgiftsbiträdet att vidta åtgärder för att minska den risken. får utfärda en skriftlig varning för att planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma gäller om pågående behandling riskerar att stå i strid med lag eller annan författning. Bestämmelsen motsvarar 6 kap. 3 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning, eller att eller ett personuppgiftsbiträde annars inte fullgör sina skyldigheter, får tillsynsmyndigheten 1.genom sådana åtgärder som anges i 4 § första stycket försöka förmå eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att uppfylla andra skyldigheter, eller 2.förelägga eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller att full- göra andra skyldigheter. Om ett föreläggande utfärdas ska det av föreläggandet framgå när åtgärderna senast ska vara genomförda och, om det är lämpligt, vilka åtgärder som ska vidtas. Bestämmelsen motsvarar 6 kap. 4 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Den personuppgiftsansvarige ska ersätta den som personuppgiften rör för skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med denna lag, eller föreskrifter som har meddelats i anslutning till den. Ersättningsskyldigheten kan i den utsträckning det är skäligt, jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne. Bestämmelsen motsvarar 7 kap. 1 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Försvarets radioanstalts beslut om information som ska lämnas enligt 5 kap. 2 § och om rättelse och underrättelse till tredje part enligt 5 kap. 5 § får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Bestämmelsen motsvarar 7 kap. 2 § i förslaget till lag om behandling av personuppgifter vid Försvarsmakten. För en kommentar hänvisas till den bestämmelsen. Av 6 kap. 8 § offentlighets- och sekretesslagen (2009:400) följer att beslut om sekretess överklagas till kammarrätt. Paragrafen upplyser om att beslut i frågor om sekretess överklagas direkt till kammarrätt som första överprövningsinstans. 8.3Förslaget till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning Bestämmelserna i 2 § gäller inte i verksamhet som omfattas av 1.lagen (2019:000) om behandling av personuppgifter vid För- svarsmakten, 2.lagen (2019:000) om behandling av personuppgifter vid Försva- rets radioanstalt, eller 3.6 kap. polisdatalagen (2010:361). Paragrafen behandlas i avsnitt 6.12.1 och innebär att hänvisningarna till FM-PuL och FRA-PuL ersätts med hänvisningar till lagen om behandling av personuppgifter vid Försvarsmakten respektive lagen om behandling av personuppgifter vid . 8.4Förslaget till lag om ändring i brottsdatalagen (2018:1177) Lagen gäller inte vid behandling av personuppgifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Lagen gäller inte heller i sådan verksamhet som omfattas av lagen (2019:000) om behandling av personuppgifter vid Försvarsmakten. Paragrafen behandlas i avsnitt 6.12.2 och innebär att hänvisningen till FM-PuL i andra stycket ersätts med en hänvisning till lagen om behandling av personuppgifter vid Försvarsmakten. 8.5Förslaget till lag om ändring i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet Inhämtning får inte avse signaler mellan en avsändare och mottagare som båda befinner sig i . Om sådana signaler inte kan avskiljas redan vid inhämtningen, ska upptagningen eller uppteckningen för- störas så snart det står klart att sådana signaler har inhämtats. Första stycket tillämpas inte i fråga om signaler som utväxlas autonomt mellan tekniska system i sådana fall där signalerna inte innehåller personuppgifter. Första stycket tillämpas inte heller i fråga om övriga signaler mellan sändare och mottagare på utländska stats- fartyg, statsluftfartyg eller militära fordon. Paragrafen behandlas i avsnitt 6.12.3. I andra stycket första meningen har införts ett nytt undantag från bestämmelserna i första stycket. Det nya undantaget avser signaler som utväxlas autonomt mellan tekniska system i sådana fall där signalerna inte innehåller person- uppgifter. I lagen (2019:000) om behandling av personuppgifter vid finns ytterligare bestämmelser om behandlingen av in- hämtade personuppgifter. Paragrafen behandlas i avsnitt 6.12.3 och innebär att hänvisningen till FRA-PuL ersätts med en hänvisning till den föreslagna lagen om behandling av personuppgifter vid . Behandlingen av personuppgifter inom Försvarsmakten och En särskild utredare ska göra en översyn av den lagstiftning som gäller för personuppgiftsbehandling inom Försvarsmakten och . Syftet med uppdraget är att säkerställa att lagstiftningen är anpassad till den tekniska och legala utvecklingen. •analysera om rådande lagstiftning är ändamålsenlig för Försvars- maktens och Försvarets radioanstalts verksamheter och om den är tillräcklig i fråga om skyddet för enskildas personliga integritet, •särskilt utreda hur personuppgifter behandlas i Försvarets radio- anstalt i samband med att myndigheten stödjer andra myndigheter och statligt ägda bolag inom informationssäkerhetsområdet, och •lämna de författningsförslag som behövs och är lämpliga. Uppdraget ska redovisas . Grundläggande bestämmelser om skyddet av personuppgifter En väl avvägd balans är nödvändig mellan å ena sidan skyddet för den personliga integriteten och å andra sidan upprätthållandet av statens säkerhet. Den snabba tekniska utvecklingen skapar möjligheter att på ett effektivt sätt inhämta information som är av betydelse för att kunna skydda landet mot yttre hot, men innebär utma- ningar för skyddet av den personliga integriteten. Intrång i den personliga integriteten måste alltid stå i rimlig proportion till det intresse som ska tillgodoses med behandlingen av personuppgifterna. Grundläggande bestämmelser till skydd för den personliga integ- riteten finns i regeringsformen. I 1 kap. 2 § första stycket slås det fast att den offentliga makten ska utövas med respekt bl.a. för den enskilda människans frihet och i fjärde stycket anges bl.a. att det allmänna ska värna den enskildes privatliv och familjeliv. 6 § andra stycket är var och en skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Inskränkningar i det grundlags- fästa skyddet kan endast göras genom lag och bara under de förut- sättningar som anges i 2 kap. 20–22 §§ regeringsformen. Enligt artikel 8 i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna () har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Med detta avses bl.a. skyddet av personuppgifter. Rättigheten är dock inte absolut. In- skränkningar får göras med stöd av lag och om det är nödvändigt i ett demokratiskt samhälle med hänsyn till vissa särskilt angivna ändamål, bl.a. statens säkerhet och den allmänna säkerheten. 19§ regeringsformen följer att en lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen. Den europeiska konventionen om skydd för enskilda vid auto- matisk databehandling av personuppgifter, den s.k. dataskyddskon- ventionen, kan ses som en precisering av skyddet för enskilda enligt artikel 8 i i fråga om behandlingen av person- uppgifter. Konventionen och dess tilläggsprotokoll har ett generellt tillämpningsområde och kompletteras av ett antal rekommendationer som antagits av ministerkommittén och som handlar om hur person- uppgifter bör behandlas inom olika områden. har, i likhet med övriga medlemsstater i EU, anslutit sig till dataskyddskonventionen. En översyn av konventionen pågår inom . I Europeiska unionens stadga om de grundläggande rättigheterna bekräftas de rättigheter som har sin grund i medlemsstaternas ge- mensamma författningstraditioner och internationella förpliktelser, , unionens och sociala stadgor samt rättspraxis vid Europeiska unionens domstol och Europeiska dom- stolen för de mänskliga rättigheterna. Artikel 7 i stadgan anger att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer. Artikel 8 reglerar skydd av person- uppgifter. Enligt artikeln har var och en rätt till skydd av de person- uppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. En oberoende myndighet ska kontrollera att reglerna följs. EU-regleringen och dess svenska genomförande Den allmänna regleringen om behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Dataskyddsdirektivet gäller inte för behandling av personupp- gifter på områden som faller utanför gemenskapsrätten, t.ex. försvar och statens säkerhet (artikel 3.2). Direktivet har genomförts i svensk rätt genom personuppgiftslagen (1998:204). valde i samband med att dataskyddsdirektivet genomfördes i svensk rätt att inte begränsa personuppgiftslagens tillämpningsområde, bl.a. med moti- veringen att det är särskilt viktigt med ett starkt integritetsskydd när det gäller uppgifter inom all offentlig verksamhet. En annan moti- vering var att den valda lösningen garanterar att behovet av särregler i förhållande till personuppgiftslagen alltid övervägs noga i den ordning som krävs för författningsgivning (se prop. 1997/98:44 s. 40–41). antogs och rådets förordning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), kallad dataskyddsförordningen. Förordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta det nuvarande dataskyddsdirektivet. Förord- ningen ska börja tillämpas .