sou · H6B363 · 2018-08-09 00:00:00 — I säker- hetsskyddslagen (1996:627) finns bestämmelser om säkerhetsskydd. Med säkerhetsskydd avses enligt 6 § säkerhetsskyddslagen dels skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet, dels skydd i andra fall av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säker- het. Vidare avses med säkerhetsskydd även skydd mot terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott, även om brotten inte hotar rikets säkerhet. Den militära säkerhetstjänstens uppgift är att skydda de säker- hetsintressen som berör Försvarsmakten och dess tillsynsområde enligt säkerhetsskyddslagstiftningen. Den militära säkerhetstjänsten ska samverka med Säkerhetspolisen och . Den militära säkerhetstjänsten ska också samverka med Myndigheten för samhällsskydd och beredskap och andra myndigheter rörande säker- hetsintressen som berör totalförsvaret. Säkerhetsintressena omfattar, eller kan hänföras till personal, materiel, information, anläggningar och verksamhet. Med begreppet militär säkerhetstjänst avses såväl verksamheten som dess organisa- tion. Den militära säkerhetstjänsten består av säkerhetsunderrät- telsetjänst, säkerhetsskyddstjänst och signalskyddstjänst. Den kan riktas mot hela eller delar av Försvarsmakten, viss funktion eller verksamhet och förband samt verksamhet inom Försvarsmaktens in- tresseområde, t.ex. försvarsindustri (se prop. 2006/07:46 s. 25). Säkerhetsunderrättelsetjänsten har till uppgift att klarlägga och ana- lysera den säkerhetshotande verksamhetens mål, medel och metoder. Säkerhetshotande verksamhet mot eller mot insatta förband och insatser i andra länder kan förekomma i form av främmande under- rättelseverksamhet, sabotage, subversiv verksamhet, terrorism och kriminalitet. Säkerhetsunderrättelsetjänst bedrivs genom planläggning, inhämtning, bearbetning och analys samt delgivning av säkerhets- underrättelser. Försvarsmaktens och Försvarets radioanstalts uppgifter Säkerhetsskyddstjänstens uppgift är att ta fram åtgärder som syftar till att hindra eller försvåra säkerhetshotande verksamhet såsom exempelvis obehörigt röjande av hemliga uppgifter som rör säkerhet, sabotage, stöld och terrorism. Säkerhetsskyddstjänsten ska, utifrån hotbild och säkerhetshotande verksamhet, ge säkerhetsin- tressena relevant skydd i form av informationssäkerhet, tillträdes- begränsning och säkerhetsprövning. Signalskyddstjänsten syftar till att förhindra obehörig insyn i och påverkan av telekommunikations- och it-system med hjälp av kryp- tografiska metoder och övriga signalskyddsåtgärder. Signalskydds- tjänsten är en säkerhetsskyddsangelägenhet där ansvaret omfattar hela totalförsvaret och syftet är att säkerställa säker kommunikation. En del av signalskyddstjänsten är kontroll av signalskyddet i tele- kommunikations- och it-system, s.k. signalkontroll. Signalkontroll syftar till att klarlägga riskerna för obehörig åtkomst till eller för- vanskning av uppgifter eller störning av telekommunikation. Vidare kan signalkontroll klarlägga att systemen används enligt gällande regelverk (prop. 2006/07:46 s. 25 f.). Säkerhetsskyddstjänsten och signalskyddstjänsten syftar gemen- samt till att förebygga, förhindra och motverka säkerhetshotande verksamhet. Tillsyn, utbildning, uppföljning och kontroll är nöd- vändiga beståndsdelar för att uppnå ett fullgott säkerhetsskydd. Chefen för militära underrättelse- och säkerhetstjänsten ansvarar för Försvarsmaktens tillsyn vad avser säkerhetsskyddet vid Fortifi- kationsverket, Försvarshögskolan och de myndigheter som hör till Försvarsdepartementet (11 kap. 12 § första stycket 6 Försvarsmaktens föreskrifter med arbetsordning för Försvarsmakten, FFS 2016:2). Övrig militär underrättelseverksamhet utgörs av den underrättelse- tjänst som Försvarsmakten genomför för att kunna lösa Försvars- maktens militära uppgifter såsom dessa uppgifter framträder exem- pelvis i Försvarsmaktens instruktion, regleringsbrev eller särskilda regeringsbeslut och som inte utgör försvarsunderrättelseverksamhet eller militär säkerhetstjänst. Denna underrättelseverksamhet syftar främst till i att skapa en lägesbild och ge beslutsunderlag för militära chefer. Försvarsmaktens och Försvarets radioanstalts uppgifter Must bedriver t.ex. militär underrättelsetjänst till stöd för Över- befälhavaren (), i enlighet med dennes inriktning. Uppgifterna till Must omfattar stöd med bedömningar för ÖB:s långsiktiga utveck- ling av Försvarsmaktens förmågor och förband, försvarsplanläggning, ledning, planering och genomförande av militära insatser i när- området och i de internationella insatsområdena. Must är ålagd att kontinuerligt följa den militära utvecklingen och verksamheten i närområdet. i försvarsunderrättelse- och utvecklingsverksamhet Signalspaning, inhämtning av signaler i elektronisk form, är en in- hämtningsmetod i försvarsunderrättelseverksamheten som regleras i lagen om signalspaning i försvarsunderrättelseverksamhet. Inrikt- ning av signalspaning får endast anges av regeringen, , Försvarsmakten, Säkerhetspolisen och Nationella operativa avdel- ningen vid (4 §). Av 1 § lagen om signalspaning i försvarsunderrättelseverksamhet följer att signalspaning endast får avse utländska förhållanden och ske i syfte att kartlägga vissa i lagen särskilt uppräknade företeelser: 1.yttre militära hot mot landet, 2.förutsättningar för svenskt deltagande i fredsfrämjande och humanitära internationella insatser eller hot mot säkerheten för svenska intressen vid genomförandet av sådana insatser, 3.strategiska förhållanden avseende internationell terrorism och annan grov gränsöverskridande brottslighet som kan hota väsent- liga nationella intressen, 4.utveckling och spridning av massförstörelsevapen, krigsmateriel och produkter som avses i lagen (2000:1064) om kontroll av pro- dukter med dubbla användningsområden och av tekniskt bistånd, 5.allvarliga yttre hot mot samhällets infrastrukturer, 6.konflikter utomlands med konsekvenser för internationell säkerhet, 7.främmande underrättelseverksamhet mot svenska intressen, eller Försvarsmaktens och Försvarets radioanstalts uppgifter 8.främmande makts agerande eller avsikter av väsentlig betydelse för svensk utrikes-, säkerhets- eller försvarspolitik. ska ansöka om tillstånd hos Försvarsunder- rättelsedomstolen för den signalspaning som får utföras enligt lagen (4 a §), varefter domstolen meddelar tillstånd om vissa krav är upp- fyllda, bl.a. att syftet med inhämtningen inte kan tillgodoses på ett mindre ingripande sätt och uppdraget beräknas ge information vars värde är klart större än det integritetsintrång som inhämtning i enlighet med ansökan kan innebära (5 §). Signalspaning i försvarsunderrättelseverksamhet syftar alltid till att rapportera underrättelser som ger ett kompletterande mervärde för uppdragsgivarna utöver den rapportering och det öppna infor- mationsflöde som de i övrigt kan ta del av. Det sker genom att inhämtar information som är relevant för att tillgodose de underrättelsebehov som regeringen och andra upp- dragsgivare uttryckt i en inriktning. Det är normalt sett informationen, inte den källa som för stunden hanterar eller förmedlar information, som är det centrala. Inom vissa underrättelseområden, t.ex. främmande underrättelseverksamhet och terrorism, kan dock enskilda källor vara centrala om de i sig kan ut- göra ett hot mot och svenska intressen. Signalspaningen är en viktig del av försvarsunderrättelse- verksamhet och bidrar till att ge regeringen underlag för en självstän- dig svensk utrikes-, säkerhets- och försvarspolitik och till att ge andra inriktande myndigheter kvalificerad underrättelseinformation om utländska förhållanden för att de i sin tur ska kunna fullgöra sina uppgifter. All signalspaning vid sker inom ramen för givna inriktningar. De enskilda, i varje givet ögonblick, mest ange- lägna konkreta underrättelsefrågorna kan ofta inte ställas i förväg då de ännu inte är kända. Omvärlden förändras fortlöpande och därmed de konkreta underrättelsebehoven. Av detta följer att behöver vara väl förberedd på nya frågeställningar genom att ständigt utveckla förmågor att hitta och identifiera nya relevanta källor till information. Den information som strävar efter att finna och rapportera, i syfte att tillgodose uttryckta underrättelse- behov, är ofta konfidentiell och således skyddsvärd för den källa som Försvarsmaktens och Försvarets radioanstalts uppgifter Informationen är därför ofta försedd med någon form av åtkomstskydd för att förhindra obehörig åtkomst. För att framgångsrikt bedriva försvarsunderrättelse- och utveck- lingsverksamhet krävs därför aktuell och ingående kunskap dels om hur signaler förmedlas och hanteras i elektronisk form, dels om de mekanismer som används för att skydda informationen. För att kunna tillgodose uppdragsgivarnas underrättelsebehov behöver ingående kunskap om signalmiljön för att på ett effektivt sätt kunna rikta inhämtningskapacitet mot rätt delar av signalmiljön samt för att kunna urskilja, extrahera och tyda den relevanta informationen. För detta krävs omfattande expertkun- skaper om såväl signalmiljöns struktur som dess användning. För- svarets radioanstalt bedriver därför en utvecklingsverksamhet för att etablera och upprätthålla en tillräckligt god förståelse av signal- miljön, samt tillräckligt god förmåga att kunna bedriva inhämtning, bearbetning och analys av den information som förekommer i signal- miljön. Om det är nödvändigt för försvarsunderrättelseverksamheten får enligt 1 § tredje stycket lagen om signalspaning i försvarsunder- rättelseverksamhet signaler i elektronisk form även inhämtas vid signalspaning för att följa förändringar i signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet samt för att fortlöpande utveckla den teknik och metodik som behövs för att bedriva verk- samheten. Utvecklingsverksamheten har således inte något självständigt existensberättigande, utan syftar enbart till att etablera och vidmakt- hålla fortsatt förmåga som är nödvändig för försvarsunderrättelse- verksamheten. Som beskrivits i avsnitt 3.2 har ett särskilt uppdrag att lämna stöd så att informationssäkerheten kan upprätt- hållas vid de mest skyddsvärda verksamheterna i . har även till uppgift enligt 17 § förordningen (2015:1053) om totalförsvar och höjd beredskap att tilldela säkra kryptografiska funktioner till ett antal civila myndigheter och organisationer. Försvarsmaktens och Försvarets radioanstalts uppgifter möjlighet att hantera de allvarligaste it- angreppen mot de mest skyddsvärda verksamheterna kräver en för- måga att upptäcka dessa samt att kartlägga bakomliggande aktörer. Signalspaning har en avgörande betydelse för att Försvarets radio- anstalt ska kunna förse uppdragsgivare med unika underrättelser kring it-relaterade hot mot och svenska intressen. Samma underrättelser kan inom Försvarets radioanstalts informationssäker- hetsverksamhet omsättas till indirekt och direkt skydd som omfattar såväl tekniska tjänster (exempelvis signalskydd, sensorsystem och informationssäkerhetsanalyser) som rådgivning och utbildning. Ett tydligt exempel på detta ömsesidiga utbyte av information är det tekniska detekterings- och varningssystem (TDV) som Försva- rets radioanstalt tagit fram på uppdrag av regeringen. TDV erbjuds de mest skyddsvärda verksamheter som redan har uppnått en egen god informationssäkerhet, ofta med stöd av . Genom signaturer från signalspaning upptäcker systemet avancerade angrepp som kommersiella antivirusprogram inte kan hitta. Sam- tidigt kan det återkommande stöd som ger de mest skyddsvärda verksamheterna, ge signalspaningen ny kunskap om tidigare okända angreppsmetoder, tillvägagångssätt eller aktörer. Genom att tillvarata synergierna mellan försvarsunderrättelse- och in- formationssäkerhetsverksamheten skapas således viktiga mervärden. () allmänna förklaring om de mänskliga rättig- heterna antogs av . Förklaringen om- fattar politiska, medborgerliga, sociala, ekonomiska och kulturella rättigheter. Även om den allmänna förklaringen inte är bindande för medlemsstaterna ses den som ett uttryck för den internationella opinionens krav. Skyddet för den personliga integriteten behandlas i artikel 12. Där anges att ingen får utsättas för godtyckligt ingri- pande i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende. Var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. Vidare anges i artikel 29 att en person endast får underkastas sådana inskränk- ningar som har fastställts i lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras fri- och rättigheter samt för att tillgodose ett demokratiskt samhälles berättigade krav på moral, all- män ordning och allmän välfärd. FN har också antagit den inter- nationella konventionen om medborgerliga och politiska rättigheter som trädde 1976, till vilken är ansluten. Skyddet för den personliga integriteten regleras i artikel 17 i konventionen, vilken till sitt innehåll är likvärdig med ovan nämnda artikel 12 i den all- männa förklaringen. mänskliga rättigheterna har inrättats för att övervaka att medlemsstaterna efterlever sina skyldig- heter enligt konventionen. I sammanhanget bör också nämnas att antog riktlinjer om datoriserade register med personuppgifter. Enligt riktlinjerna får medlemsstaterna i den nationella lagstiftningen avseende datoriserade register med person- uppgifter inte samla in eller behandla personuppgifter på ett olagligt sätt eller använda uppgifterna för syften som står i strid med FN:s Ändamålet med ett register ska vara specificerat, berättigat och på något sätt uttryckligt angivet för den som berörs. Detta för att försäkra att alla personuppgifter som samlas in och behandlas är relevanta och adekvata för det angivna ändamålet, att uppgifterna inte används i strid med ändamålet och att uppgifterna inte bevaras längre än som krävs för att uppfylla det angivna ändamålet. och utveckling () har utarbetat riktlinjer angående integritetsskyddet och flödet av per- sonuppgifter över gränserna. Riktlinjerna antogs av som en rekommendation till medlemsländernas reger- ingar om att beakta riktlinjerna i nationell lagstiftning. har godtagit rekommendationerna och därmed åtagit sig att följa rikt- linjerna. Riktlinjerna, som är att betrakta som minimiregler, mot- svarar i princip bestämmelserna i dataskyddskonven- tion och är tillämpliga på personuppgifter inom både den offentliga och den privata sektorn. Riktlinjerna gäller såväl för uppgifter som lagras automatiskt som uppgifter som förs manuellt. Riktlinjerna innehåller grundläggande principer till skydd för den personliga integriteten, bl.a. att personuppgifter ska vara relevanta för de ända- mål för vilka de ska användas. Vidare anges att personuppgifterna även ska vara riktiga och fullständiga samt hållas aktuella. En annan grundläggande princip är att de ändamål för vilka personuppgifterna samlades in ska vara preciserade senast vid insamlingen. De rättigheter som anges i FN:s allmänna förklaring om de mänsk- liga rättigheterna har utvecklats vidare i . gäller som lag i (lagen [1994:1219] om den europeiska konventionen angående skydd för de mänskliga rättigheterna och grundläggande friheterna). Av 2 kap. 19 § regeringsformen framgår att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av kon- ventionen. Det är framför allt artikel 8 i konventionen som har bety- delse för skyddet av den personliga integriteten. Av artikeln framgår att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka denna rätt annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd, till förebyggande av oord- ning eller brott, till skydd för hälsa och moral eller för andra per- soners fri- och rättigheter. Tillämpningsområdet för artikeln omfat- tar behandling av personuppgifter om privatliv, familjeliv, hem eller korrespondens. Artikeln innebär att staten ska avhålla sig från in- grepp i den skyddade rättigheten men också en skyldighet för staten att vidta åtgärder för att skydda den enskildes privata sfär (, H., Mänskliga rättigheter i europeisk praxis, 4 uppl., 2012, s. 347 f.). En inskränkning i en konventionsskyddad rättighet ska ha stöd i lag. Lagen ska vara så preciserad att inskränkningarna är förutsebara och att lagen är allmänt tillgänglig. har i praxis slagit fast att intrånget ska vara nödvändigt, dvs. det ska finnas ett ”ange- läget samhälleligt behov” och inskränkningen ska stå i rimlig pro- portion till det syfte som ska tillgodoses genom den. De dataskyddsregler som antagits inom ramen för finns i första hand i konvention om skydd för enskilda vid automatisk databehandling av personuppgifter1 (ETS 108), den s.k. dataskyddskonventionen. Konventionen, som trädde i kraft , kompletteras av ett antal av ministerkommittén an- tagna icke bindande rekommendationer om hur personuppgifter bör behandlas inom olika områden. Dataskyddskonventionen gäller för 47 medlemsstater, men även , , och är parter till konventionen. Konventionen brukar ses som en precisering av artikel 8 i Europa- konventionen och syftar till att säkerställa respekten för grund- läggande fri- och rättigheter, särskilt den enskildes rätt till personlig 1Convention for the Protection of Individuals with regard to Automatic Processing of (ETS No. integritet i samband med automatiserad behandling av personupp- gifter (artikel 1). Konventionen tar sikte på behandling av personupp- gifter i automatiserade personregister och automatiserad personupp- giftsbehandling i allmän och enskild verksamhet. Personuppgifterna ska enligt konventionen inhämtas och behandlas på ett korrekt sätt och de ska vara relevanta med hänsyn till ändamålet (artikel 5). Vissa kategorier av personuppgifter får inte behandlas genom automati- serad databehandling om inte den nationella lagstiftningen ger ett ändamålsenligt skydd (”appropriate safeguards”). Till sådana kategorier hör personuppgifter som avslöjar ras, politisk tillhörighet, religiös tro eller övertygelse i övrigt, sexualliv samt uppgifter om brott (artikel 6). Konventionen innehåller även enskildas rätt att veta att informa- tion lagras om honom eller henne och rätten att vid behov få den korrigerad (artikel 8). Restriktioner när det gäller rättigheterna i kon- ventionen är endast möjliga när det handlar om ett överordnat intresse, såsom statens säkerhet eller försvar (artikel 9). Enligt artikel 10 i dataskyddskonventionen, som även omfattar personuppgiftsbehandling som rör nationell säkerhet, åtar sig kon- ventionsstaterna att införa lämpliga sanktioner och rättsmedel (”appro- priate sanctions and remedies”) för överträdelser av sådana bestäm- melser i den nationella lag genom vilka de grundläggande principer för dataskydd som har angetts i konventionen har genomförts. Konven- tionen anger dock inte vilka krav som ställs på sådana sanktioner. antog ett tilläggsproto- koll till dataskyddskonventionen (ETS 181). Det innehåller bestäm- melser om tillsynsmyndigheter och överföring av personuppgifter till länder som inte är bundna av konventionen. Tilläggsprotokollet trädde i kraft . Av protokollet framgår bl.a. att varje konventionsstat ska se till att en eller flera myndigheter ansvarar för att kontrollera att de åtgärder respekteras som inom dess nationella lagstiftning ger verkan åt de principer som anges i konventionen. Tilläggsprotokollet innehåller vidare bestämmelser som anger att konventionsstaterna ska vidta åtgärder för att säkerställa att över- föring av personuppgifter till ett land som inte är konventionspart får ske bara om landet i fråga säkerställer en adekvat skyddsnivå för uppgifterna. Konventionens roll som grundläggande dokument för automati- serad behandling av personuppgifter inom EU har i princip över- tagits av EU:s reglering i form av direktiv och förordning. EU:s reg- lering omfattar emellertid inte behandling av personuppgifter inom områden som allmän säkerhet, försvar och statens säkerhet (dvs. utan- för unionsrätten). På dessa områden är dataskyddskonventionen därför fortfarande av betydelse. inledde en översyn av konventionen och rekommendationerna. medlemsstater antog ett ändrings- protokoll . Ändringsprotokollet träder i kraft när det har ratificerats av alla 47 medlemsstater. Ändrings- protokollet kan också träda i kraft om det har ratificerats av 38 med- lemsstater, men gäller följaktligen då endast för de stater som har ratificerat protokollet.2 Av Europeiska unionens stadga om de grundläggande rättigheterna3 framgår att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens sam- tycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs (artikel 8). I artikel 52 i stadgan anges i vilken utsträckning inskränkningar får göras i de rättigheter som erkänns i stadgan. Utgångspunkten är att sådana inskränkningar endast får göras i lag och ska vara förenliga med det väsentliga innehållet i rättigheterna. Begränsningar får en- dast göras om de är nödvändiga och svarar mot ett allmänt samhälls- intresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. 2Ändringsprotokollet (Protocol amending the Convention for the Protection of Individuals with regard to Automatic Processing of (ETS No. 108), som antogs på i , , finns tillgängligt på : 3Europeiska unionens stadga om de grundläggande fri- och rättigheterna (2010/C 83/02). EU-stadgan är rättsligt bindande för medlemsstaterna vid tillämp- ning av unionsrätten. Stadgan ska således inte tillämpas på nationell lagstiftning inom områden där EU inte har lagstiftningskompetens.4 Den allmänna regleringen av personuppgiftsbehandling inom Euro- peiska unionen fanns till dataskyddsdirek- tiv. Direktivet syftade till att garantera en hög och i alla medlems- stater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet, som har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204) med tillhörande förordning gällde inte för behandling av personuppgifter utanför unionsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Personuppgiftslagen redogörs närmare för i avsnitt 4.3.3. Europeiska kommissionen presenterade förslag till en genomgripande reform av om skydd för personuppgifter. Reformen omfattar dels en allmän dataskyddsförordning som ersätter dataskyddsdirektiv, dels ett nytt direktiv (data- skyddsdirektiv) med särregler för personuppgiftsbehandling i främst den brottsbekämpande sektorn. EU:s dataskyddsförordning och dataskyddsdirektiv är tvingande endast inom unionsrätten och innehåller också uttryckliga undantag för behandling av personuppgifter som sker inom verk- samhet som inte omfattas av unionsrätten. 4Lissabonfördraget artikel 6. utgör och rådets förord- ning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning), hädanefter EU:s dataskyddsförordning eller dataskydds- förordningen, grunden för generell personuppgiftsbehandling inom EU.