sou · H6B363 · 2018-08-09 00:00:00 — får en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas enligt 2 kap. 2 § lagen (2019:000) om behandling av personuppgifter vid Försvarsmakten och som finns i en uppgiftssamling som Försvarsmakten upprättat i syfte att dela infor- mationen med mottagaren. Innan direktåtkomst medges en utländsk underrättelse- eller säker- hetstjänst enligt första stycket ska Försvarsmakten underrätta (Försvarsdepartementet). I Försvarsmaktens internationella samarbete med underrättelse- eller säkerhetstjänster i andra länder är finns ett behov av att kunna dela med sig information. Detta är särskilt påtagligt när det gäller samarbetet mot terrorism men gäller även övrigt samarbete. Enligt Försvarsmaktens bedömning kan man etablera sam- arbeten som tekniskt skulle göra det möjligt att medge direktåtkomst hos Försvarsmakten. En sådan möjlighet gör samarbetet effektivare än annars, särskilt i brådskande situationer. 1.Säkerhetspolisen, Nationella operativa avdelningen i Polismyndig- heten, Myndigheten för samhällsskydd och beredskap, , , , Totalförsvarets forsk- ningsinstitut, Totalförsvarets rekryteringsmyndighet, och Försvarshögskolan får medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 5 § första stycket 1 och 2 lagen (2019:000) om behandling av personuppgifter vid Försvarsmakten och som finns i en uppgiftssamling för säkerhetsunderrättelsetjänst. Försvarsmakten har till uppgift enligt 39 § säkerhetsskyddsförord- ningen att kontrollera säkerhetsskyddet hos , Försvarshögskolan, och de myndigheter som hör till Försvars- departementet. För dessa myndigheter, som är av särskild vikt för totalförsvaret, behöver Försvarsmakten få möjlighet att genom direktåtkomst tillgängliggöra personuppgifter, kopplade till misstänkt eller konstaterad säkerhetshotande verksamhet. Syftet med detta är dels att göra det möjligt för Försvarsmakten att sprida kunskap om säkerhetshotande aktörer till de samverkande myndigheter som saknar egen inhämtning på säkerhetsunderrättelseområdet, dels att möjliggöra löpande informationsspridning under pågående säker- hetshotande verksamhet. Att Försvarsmakten har möjlighet att tillgängliggöra denna infor- mation genom direktåtkomst innebär en väsentligt förbättrad möj- lighet för att kritisk information kan delges samverkande myndig- heter . För att Försvarsmakten ska kunna kartlägga verksamhet som utgör hot mot säkerhet är myndigheten i flera fall beroende av samverkan med andra myndigheter. Detta gäller dels de myndig- heter som bedriver egen uppföljning av säkerhetshotande verksamhet, såsom , Säkerhetspolisen och Myndigheten för sam- hällsskydd och beredskap. För uppföljning av sådan säkerhetshotande verksamhet som är gränsöverskridande är Försvarsmakten vidare bero- ende av samverkan med och . Samverkan med dessa myndigheter bedrivs redan genom möten, översändande av rapporter m.m. Genom att Försvarsmakten har möjlighet att till- gängliggöra denna information genom direktåtkomst ökar effekt- iviteten i samarbetet. 2.Säkerhetspolisen får medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 5 § första stycket 5 lag (2019:000) om behandling av personuppgifter vid Försvarsmakten och som finns i en uppgiftssamling för säkerhetsskyddstjänst. Bestämmelsen motsvarar 9 § FM-PuF. 3.Om det behövs för samarbetet mot säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen får en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till person- uppgifter som behandlas med stöd av 2 kap. 5 § 1 och 2 och som finns i en avskild uppgiftssamling som Försvarsmakten upprättat i syfte att dela informationen med mottagaren. Innan direktåtkomst medges en utländsk underrättelse- eller säker- hetstjänst ska Försvarsmakten underrätta (Försvars- departementet). Liksom i försvarsunderrättelseverksamheten har Försvarsmakten i sin militära säkerhetstjänst ett behov av att kunna dela med sig infor- mation i samarbetet med underrättelse- eller säkerhetstjänster i andra länder. Enligt Försvarsmaktens bedömning kan man etablera samarbeten som tekniskt skulle göra det möjligt att medge direkt- åtkomst hos Försvarsmakten. En sådan möjlighet gör samarbetet effektivare än annars, särskilt i brådskande situationer. Försvarsmakten beslutar om omfattningen av direktåtkomst som följer av lag, förordning eller regeringens beslut i enskilt fall. Försvarsmakten ska säkerställa att förutsättningarna för direkt- åtkomsten dokumenteras. Tillgången till uppgifter hos mottagaren ska vara förbehållen de per- soner som på grund av sina arbetsuppgifter behöver ha tillgång till uppgifterna. Direktåtkomst får inte medges innan Försvarsmakten har försäkrat sig om att mottagaren uppfyller kraven på behörighet och säkerhet. Utredningen föreslår till vissa delar ny reglering som möjliggör direktåtkomst hos Försvarsmakten under särskilt angivna premisser. I likhet med vad som följer av gällande regelverk är det Försvars- makten som beslutar i vilken omfattning direktåtkomst bör medges. Den föreslagna bestämmelsen tydliggör detta. Bestämmelsen slår också fast att tillgången av uppgifter hos mottagaren ska vara för- behållen de personer som på grund av sina arbetsuppgifter behöver ha tillgång till uppgifterna, liksom att någon direktåtkomst inte kan medges att Försvarsmakten har försäkrat sig om att mot- tagaren uppfyller kraven på behörighet och säkerhet. 6.5.3Direktåtkomst till personuppgifter hos Utredningens förslag: Säkerhetspolisen och Försvarsmakten får medges direktåtkomst till personuppgifter som utgör analys- resultat inom försvarsunderrättelseverksamheten och som finns i uppgiftssamlingar. Detta ska gälla även om uppgifterna omfattas av sekretess enligt 38 kap. 4 § offentlighets- och sekretesslagen (uppgifter om enskilds personliga och ekonomiska förhållanden). Om det behövs för samarbetet mot terrorism eller för annat internationellt säkerhetssamarbete får, i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det, en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas i försvarsunder- rättelseverksamheten och som finns i uppgiftssamlingar. Om det behövs för samarbetet mot it-relaterade hot mot sam- hällsviktiga system får, i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det, en utländsk organisation inom informationssäkerhetsområdet med- ges direktåtkomst till personuppgifter som behandlas i informa- tionssäkerhetsverksamheten och som finns i uppgiftssamlingar. Regeringen kan meddela föreskrifter eller särskilt beslut om vilka som i andra fall får ha direktåtkomst till gemensamt till- gängliga uppgifter. Regeringen, eller den myndighet som regeringen bestämmer, kan meddela 1.ytterligare föreskrifter eller beslut i enskilda fall om omfatt- ningen av direktåtkomsten, och 2.föreskrifter om behörighet och säkerhet vid sådan åtkomst. Skäl för förslaget: Vad direktåtkomst innebär beskrivs i föregående avsnitt 6.5.2. Direktåtkomst för Säkerhetspolisen och Försvarsmakten Av 1 kap. 15 § första stycket FRA-PuL framgår att Försvarets radio- anstalt får medge Säkerhetspolisen och Försvarsmakten direktåtkomst till sådana uppgifter i en uppgiftssamling för försvarsunderrättelse- verksamhet som behövs för att myndigheterna, inom ramen för myndighetsöverskridande samverkan, ska kunna göra bedömningar på strategisk nivå av terrorhotet mot och svenska intressen. Denna samverkan mellan de tre myndigheterna sker vid Nationellt centrum för terrorhotbedömning (NCT). Tillgången till sådana uppgifter ska enligt denna bestämmelse vara förbehållen de personer inom myndigheterna som på grund av sina arbetsuppgifter inom sådan samverkan behöver ha tillgång till upp- gifterna. Enligt samma bestämmelser får regeringen meddela före- skrifter om vilka myndigheter som i andra fall får ha direktåtkomst till uppgiftssamlingar. Vidare får regeringen, eller den myndighet som regeringen bestämmer, meddela ytterligare föreskrifter eller beslut i enskilda fall om omfattningen av direktåtkomsten. Enligt bestäm- melsen gäller möjligheten att meddela föreskrifter även föreskrifter om behörighet och säkerhet vid sådan åtkomst. Enligt 1 kap. 15 a § FRA-PuL har de berörda myndigheterna rätt att ta del av sådana uppgifter som avses i 15 § första stycket trots sekretess enligt 38 kap. 4 § offentlighets- och sekretesslagen. Sekretess gäller enligt den paragrafen hos i försvars- underrättelse- och utvecklingsverksamheten för uppgift om enskilds personliga eller ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. I motiven till bestämmelserna i anförde regeringen att eftersom direktåtkomst innebär att den mottagande myndigheten fritt kan avgöra vilka uppgifter – inom ramen för den beviljade direktåtkomsten – den vill ta del av, blir uppgifterna att anse som utlämnade i och med att direktåtkomst medges. En myndighet kan därför inte tillåta en annan myndighet direktåtkomst till uppgifter, som vid en sekretessprövning, den senare myndigheten inte med säkerhet skulle ha rätt att ta del av. Eftersom de uppgifter som myn- digheterna inom ramen för samarbetet mot terrorism har för avsikt att lämna ut till varandra genom direktåtkomst omfattas av sekretess behövde sekretessen enligt regeringen sekretessen således på för- hand brytas. Regeringen konstaterade att för Försvarets radioanstalts del finns en bestämmelse om uppgiftsskyldighet i 2 § lagen om försvarsunder- rättelseverksamhet. Där anges att underrättelser ska rapporteras till berörda myndigheter. Denna uppgiftsskyldighet omfattar enligt reger- ingen dock inte den typ av uppgifter som myndigheterna inom sam- arbetet har behov av att utbyta och som de skulle få tillgängliggöra genom direktåtkomst. Efter en genomgång av skilda sekretessbestämmelser fann reger- ingen att bestämmelsen i 38 kap. 4 § offentlighets- och sekretesslagen om sekretess för uppgifter om enskildas personliga och ekonomiska för hållanden som har ett omvänt skaderekvisit borde brytas genom en bestämmelse om uppgiftsskyldighet. Utlämnande av uppgifter som rör enskildas personliga och ekonomiska förhållanden torde i den aktuella situationen vara till skada eller men för den enskilde (prop. 2017/18:36 s. 29 f.). Som nämnts avser bestämmelserna om direktåtkomst i 1 kap. 15 § första stycket FRA-PuL sådana uppgifter som behövs för att Försvarsmakten, och Säkerhetspolisen, inom ramen för myndighetsöverskridande samverkan, ska kunna göra bedömningar på strategisk nivå av terrorhotet mot och svenska intressen (NCT). och Försvarsmakten har även på andra områden ett nära samarbete med varandra när det gäller yttre militära hot mot landet, förutsättningar för svenskt deltagande i fredsfräm- jande och humanitära insatser eller hot mot säkerheten för svenska intressen vid genomförande av sådana insatser, konflikter utomlands med konsekvenser för internationell säkerhet och främmande makts agerande eller avsikter av väsentlig betydelse för svensk utrikes-, säkerhets- och försvarspolitik. och Försvarsmakten samarbetar vidare med varandra och med Säkerhetspolisen när det gäller kartläggning av verksamhet som rör strategiska förhållanden avseende interna- tionell terrorism och annan grov gränsöverskridande brottslighet som kan hota väsentliga nationella intressen, utveckling och sprid- ning av massförstörelsevapen, krigsmateriel, och produkter som avses i lagen om kontroll av produkter med dubbla användnings- områden och av tekniskt bistånd, allvarliga yttre hot mot samhällets infrastruktur och främmande underrättelseverksamhet mot svenska intressen. Detta samarbete har stor betydelse för försvar och säkerhet, inte minst mot bakgrund av den säkerhetspolitiska utveck- ling som har ägt rum under de . Samarbetet leder till att myndigheterna delger varandra underrättelser. Några sekretesshinder föreligger normalt inte för sådan delgivning. Samarbetet ställer emeller- tid krav på att myndigheterna på ett arbetsbesparande sätt kan ta del även av andra uppgifter hos varandra som de behöver för sin under- rättelse- och säkerhetstjänst. Hos bör direkt- åtkomsten för Säkerhetspolisen och Försvarsmakten avse person- uppgifter som utgör analysresultat och som finns i uppgiftssamlingar. En del av dessa uppgifter kan röra uppgifter om enskilds person- liga och ekonomiska förhållanden och kan därför inte göras till- gängliga för direktåtkomst utan ett särskilt stöd i lag. Bestämmelsen bör därför uttryckligen ge ett stöd för att bryta sekretessen i 38 kap. 4 § offentlighets- och sekretesslagen. Direktåtkomst i internationellt försvarsunderrättelsesamarbete Utvecklingen i och i omvärlden skärper kraven på förmåga att värna sin säkerhet. Detta gäller inte minst försvars- underrättelseverksamheten där internationell samverkan i många fall är helt nödvändigt för att ska kunna lösa sina uppgifter på detta område. Samarbete sker i flera fall genom att utbyta information i mötes- form eller genom elektroniskt utlämnande av meddelanden och rapporter. I de fall där samarbete sker med stora behov av skynd- samhet, samt i de fall där samarbete syftar till att gemensamt följa ett skeende, är det i vissa fall nödvändigt att inom ramen för samarbetet tillgängliggöra information genom direktåtkomst. Behov av skyndsamhet kan exempelvis uppstå inför ett förmodat förestående terrordåd. Behov av att kunna medge direktåtkomst kan även uppstå på andra områden såsom när eller Försvarets radio- anstalt följer ett underrättelsemässigt intressant skeende tillsam- mans med en internationell partner. I sådana fall är det angeläget att kunna tillgängliggöra ett samlat kunskapsläge , vilket lämpligen görs genom att Försvarets radioanstalt medger en partner direktåtkomst till personuppgifter som finns i uppgiftssamlingar. För föreslås därför en bestämmelse som innebär att en utländsk underrättelse- eller säkerhetstjänst får med- ges direktåtkomst till personuppgifter som behandlas i försvars- underrättelseverksamheten och som finns i uppgiftssamlingar. Som förutsättning bör gälla att det behövs för samarbetet mot terrorism eller för annat internationellt säkerhetssamarbete. Vidare bör det bara få ske i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutat om det. Direktåtkomst i internationellt informationssäkerhetssamarbete Utvecklingen på informationssäkerhetsområde präglas av omfat- tande it-attacker och andra typer av intrång i viktiga informations- system. Företeelsen är global och kräver internationellt samarbete mellan organisationer som verkar på informationssäkerhetsområdet. Kännetecknande för samarbetet är att det ofta ställer krav på snabbt tillgänglig information för att man ska kunna vidta lämpliga åtgärder för att förhindra eller minimera skadeverkningar. Mot denna bak- grund föreslår utredningen att det ska vara möjligt för att medge en utländsk organisation inom informations- säkerhetsområdet direktåtkomst till personuppgifter som behandlas i informationssäkerhetsverksamheten och som finns i uppgiftssam- lingar. Som förutsättning bör gälla att det behövs för samarbetet mot it-relaterade hot mot samhällsviktiga system. Vidare bör det även i detta fall bara få ske i den utsträckning det följer av lag eller förord- ning eller om regeringen i ett enskilt fall beslutat om det. Utredningen anser att i den förordning som knyter an till lagen bör föras in ytterligare föreskrifter om direktåtkomst enligt vad som framgår av det följande och som till en del kommenteras. , Säkerhetspolisen, Nationella operativa avdelningen i , , Försvars- makten, , , Myn- digheten för samhällsskydd och beredskap och får medges direktåtkomst till personuppgifter som utgör underrättelser och som finns i uppgiftssamlingar. Bestämmelsen motsvarar 9 § FRA-PuL. Säkerhetspolisen och Försvarsmakten får medges direktåtkomst till per- sonuppgifter som utgör analysresultat och som behandlas i en uppgifts- samling för informationssäkerhetsverksamhet. Utvecklingen på informationssäkerhetsområdet med ett ökande antal skadliga intrång i för samhället viktiga och känsliga informations- system kräver ett nära samarbete mellan , Försvarsmakten och Säkerhetspolisen. Möjligheterna för Säkerhets- polisen och Försvarsmakten att få direktåtkomst till personupp- gifter som utgör analysresultat hos medför att samarbetet blir effektivare och att skyddet för de mest skydds- värda informationssystemen kan stärkas. beslutar om omfattningen av direktåtkomst som följer av lag, förordning eller regeringens beslut i enskilt fall. ska säkerställa att förutsättningarna för direkt- åtkomsten dokumenteras. Tillgången till uppgifter ska vara förbehållen de personer som på grund av sina arbetsuppgifter behöver ha tillgång till uppgifterna. Direktåtkomst får inte medges innan har försäkrat sig om att den mottagande parten uppfyller kraven på behörig- het och säkerhet. Utredningen föreslår till vissa delar ny reglering som möjliggör direktåtkomst hos under särskilt angivna premisser. I likhet med vad som följer av gällande bestämmelser är det som beslutar i vilken omfattning direkt- åtkomst bör medges. Den föreslagna bestämmelsen tydliggör detta. Bestämmelsen slår också fast att tillgången av uppgifter hos mot- tagaren ska vara förbehållen de personer som på grund av sina arbets- uppgifter behöver ha tillgång till uppgifterna, liksom att någon direktåtkomst inte kan medges att har försäkrat sig om att mottagaren uppfyller kraven på behörighet och säkerhet. 6.6.1Författningsenlig behandling genom lämpliga tekniska och organisatoriska åtgärder Utredningens förslag: Försvarsmakten och Försvarets radio- anstalt ska genom lämpliga tekniska och organisatoriska åtgärder säkerställa att behandlingen av personuppgifter är författnings- enlig och skydda rättigheterna för dem som uppgifterna rör. Skäl för utredningens förslag: Någon bestämmelse om att Försvars- makten och genom lämpliga tekniska och organisatoriska åtgärder ska säkerställa att behandlingen av person- uppgifter är författningsenlig och att den enskildes rättigheter skyd- das finns inte i FM-PuL eller FRA-PuL. Förslaget till Säkerhetspolisens datalag innehåller bestämmelser om personuppgiftsansvarigas skyldigheter, däribland att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att regi- strerades rättigheter skyddas. Lämpliga tekniska och organisatoriska åtgärder ska enligt dessa bestämmelser vidtas med beaktande av behandlingens art, omfattning, sammanhang och ändamål och riskerna för fysiska personers rättigheter och friheter (SOU 2017:74). I de föreslagna lagarna bör enligt utredningen införas en generell skyldighet för Försvarsmakten och , att genom lämpliga tekniska och organisatoriska åtgärder säkerställa att behandlingen av personuppgifter är författningsenlig och att myn- digheterna skyddar rättigheterna för den vars uppgifter behandlas. Det är däremot inte möjligt att i de föreslagna lagarna närmare ange vilka tekniska och organisatoriska åtgärder som Försvarsmakten och bör vidta, utan detta får avgöras beroende på vilken verksamhet hos de båda myndigheterna det rör sig om. Utredningen anser att ett krav på att Försvarsmakten och inte bara ska säkerställa att behandlingen utförs författ- ningsenligt utan också ska kunna visa att så är fallet går för långt och skulle innebära betungande rutiner. Den tillsyn och kontroll som ska ske är en tillräcklig funktion. Vilka omständigheter som Försvarsmakten och Försvarets radio- anstalt ska beakta vid beslut om åtgärder enligt de föreslagna bestäm- melserna bör regleras i de förordningar som ska knyta an till lagarna. Där bör anges att de tekniska och organisatoriska åtgärder som Försvarsmakten och ska vidta ska vara rim- liga med beaktande av behandlingens art, omfattning, sammanhang och ändamål och de särskilda riskerna med behandlingen. 6.6.2Myndigheterna ska föra loggar över personuppgiftsbehandling Utredningens förslag: Försvarsmakten och Försvarets radio- anstalt ska säkerställa att det i uppgiftsamlingar förs loggar över personuppgiftsbehandling. Regeringen eller den myndighet regeringen bestämmer kan meddela föreskrifter om loggar. Skäl för utredningens förslag: Som framgår av avsnitt 6.6.4 ska myndigheterna enligt 3 kap. 2 § första stycket FM-PuL och FRA- PuL vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Ett led i att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personupp- gifter som behandlas är loggning och logguppföljning. Därigenom säkerställs att bestämmelser som ska skydda den personliga integ- riteten tillämpas korrekt. Ett grundläggande säkerhetskrav är att genom loggar skapa en sådan spårbarhet att man kan upptäcka otillå- ten tillgång till personuppgifter eller om det sker otillåtna sökningar. Loggarna ska följas upp regelbundet och för att skapa en före- byggande effekt ska användarna informeras om att loggning och logguppföljning sker. Varken i FM-PuL eller FRA-PuL finns någon uttrycklig bestäm- melse om loggning. Utredningen anser att en sådan bestämmelse för tydlighetens skull bör införas i de nya lagarna. Enligt den bör Försvarsmakten och säkerställa att det förs loggar över personuppgiftsbehandling av gemensamt tillgängliga uppgifter i den utsträckning regeringen eller den myndighet reger- ingen bestämmer föreskriver. I de förordningar som ska knyta an till lagarna bör tas in före- skrifter om loggar. För Försvarsmaktens del bör där anges att skyldigheten att föra loggar gäller myndighetens informationssystem som innehåller gemensamt tillgängliga uppgifter. För Försvarets radioanstalts del bör där anges att ska föra loggar i myndighetens informationssystem som innehåller uppgiftssamlingar för försvarsunderrättelse- och informa- tionssäkerhetsverksamhet. I båda fallen ska det av loggarna framgå vilken medarbetare eller annan som läst, skapat, ändrat eller raderat personuppgifter, samt tidpunkten för åtgärden. I båda fallen ska skyldigheten att föra loggar inte gälla informationssystem som ännu inte börjat användas. 6.6.3Myndigheterna ska begränsa tillgången till personuppgifter Utredningens förslag: I de föreslagna lagarna ska föras in en föreskrift om att tillgången till personuppgifter ska alltid begrän- sas till vad var och en behöver för att kunna fullgöra sina arbets- uppgifter. Skäl för utredningens förslag: Av 1 kap. 16 § FM-PuL och FRA- PuL framgår att tillgången till personuppgifter alltid ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsupp- gifter. Motiven finns i prop. 2006/07:46 s. 96. Utredningen anser att en motsvarande bestämmelse ska föras in i de nya lagarna. Utredningens förslag: I de föreslagna lagarna ska föras in en föreskrift om att Försvarsmakten respektive Försvarets radio- anstalt ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling eller förstöring och mot för- lust eller annan oavsiktlig skada. Skäl för utredningens förslag: Av 3 kap. 2 § FM-PuL och FRA- PuL framgår att Försvarsmakten respektive ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstad- komma en säkerhetsnivå som är lämplig med beaktande av de tek- niska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av per- sonuppgifterna och hur pass känsliga de behandlade personuppgifterna är. Motiven till bestämmelsen finns i prop. 2006/07:46 s. 95 f. Utred- ningen anser att en motsvarande bestämmelse bör införas i de nya lagarna.