sou · H6B363 · 2018-08-09 00:00:00 — Förutom rätt till information, rättelse och skade- stånd, bör också vissa beslut av Försvarsmaktens och Försvarets radio- anstalts beslut kunna överklagas. Som framgått i tidigare avsnitt föreslås att de bestämmelser i och FRA-PuL som ger enskilda rätt till information efter ansökan samt rättelse och underrättelse till tredje part, med vissa justeringar och tillägg, ska införas även i de nya lagarna. Därför bör enligt utredningen och Försvarets radioanstalts beslut i dessa frågor kunna överklagas till allmän förvaltningsdomstol på samma sätt som enligt FM-PuL och FRA-PuL. som föreslås, om att Försvarsmakten och får avslå sådan begäran om registerutdrag som enskild lämnar vid fler än ett tillfälle per kalenderår, begränsar endast enskilds rätt att ta del av information. Försvarsmaktens och Försvarets radioanstalts initiala prövning i dessa frågor blir huruvida en sådan begäran inkommit vid tidigare tillfälle innevarande kalenderår. Om så är fallet kommer en sådan begäran leda till ett beslut om avslag. En sådan prövning är närmast att betrakta som av processuell karaktär och någon rätt till särskild överprövning av sådana beslut föreslås därför inte. I klargörande syfte föreslås även att det upplyses om att beslut om sekretess överklagas till kammarrätt (se Högsta förvaltnings- domstolens avgörande i HFD 2014 ref 55). Utredningens bedömning: Överträdelser av bestämmelserna om personuppgiftsbehandling bör inte vara straffsanktionerade ut- över vad som gäller enligt . Skäl för utredningens bedömning: Bestämmelser om straff för vissa gärningar i samband med personuppgiftshantering regleras sär- skilt i 6 kap. 2 § FM-PuL och FRA-PuL. Den som uppsåtligen eller av grov oaktsamhet lämnar osann uppgift i information till den som personuppgiften rör, till tillsynsmyndigheten eller behandlar käns- liga uppgifter i strid med vad som gäller enligt de särskilda bestäm- melserna för den behandlingen. Straffet kan vara böter eller fängelse , eller om brottet är grovt, till fängelse i högst . I ringa fall döms inte till ansvar. Av skälen till regeringens förslag om införande av straffbestämmelser framgår att bestämmelserna om straff vid visst förfarande med person- uppgifter har sitt ursprung i motsvarande bestämmelser i personup- pgiftslagen. Enligt regeringens uttalanden fyller införande av straff- bestämmelser en viktig funktion för att markera allvaret i överträdelser av regler till skydd för enskildas integritet. Regeringen ansåg därför att straffbestämmelser motsvarande delar av 49 § personuppgiftslagen även skulle intas i FM-PuL och FRA-PuL (prop. 2006/07:46 s. 107). Behandling av personuppgifter i strid med lag kan föra med sig skyldighet för staten att betala skadestånd till de drabbade. Presum- tionen för att skadestånd ska utgå liksom tillsynen och kontrollen bör enligt utredningen utgöra tillräckligt skydd för enskildas integ- ritet. Utredningen anser att straffbestämmelserna i den del som avser utlämning av personuppgifter till tillsyns- och kontrollmyn- digheterna inte bör föras över till de nya lagarna eftersom de skärpta formuleringarna om insyn och biträde för tillsynsmyndigheterna gör att utrymmet att lämna osanna uppgifter till tillsynsmyndigheten får betraktas som litet. Härtill bör beaktas att de nuvarande reglerna inte riktas mot vare sig den personuppgiftsansvarige eller personupp- giftsbiträden, utan mot den enskilde befattningshavaren, vars gär- ningar dessutom redan omfattas av reglerna om tjänstefel i 20 kap. 1 § . Överträdelser kan dessutom vara resultatet av flera personers agerande och underlåtenhet. Det blir då svårt att visa var skulden ligger och vad som lett till överträdelsen. Utredningen anser mot bakgrund av det anförda att straffbestäm- melserna i FM-PuL och FRA-PuL inte bör tas in i de nya lagarna. Utredningens förslag: De föreslagna lagarna och de till dem knutna förordningarna ska träda i kraft . Bestämmelserna om loggning behöver inte tillämpas på upp- giftssamlingar som inrättats före ikraftträdandet förrän . Ärenden om tillsyn eller granskning som inte har avgjorts före ikraftträdandet handläggs enligt äldre föreskrifter. Skäl för utredningens förslag: Med hänsyn till den tid som krävs för remissbehandling, beredning inom samt riks- dagsbehandling, bör de nya lagarna och förordningarna träda i kraft . Det kommer att ta tid att anpassa de uppgiftssamlingar som har inrättats före till bestämmelserna om loggning. Av den anledningen bör bestämmelserna inte tillämpas på sådana uppgiftssamlingar förrän . Ärenden om tillsyn eller granskning av Försvarsmaktens eller Försvarets radioanstalts personuppgiftsbehandling som Datainspek- tionen eller Statens inspektion för försvarsunderrättelseverksam- heten inte har avgjort före ikraftträdandet bör handläggas enligt äldre föreskrifter. 6.12Ändringar i andra författningar till följd av utredningens förslag 6.12.1Ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning Utredningens förslag: Undantaget i dataskyddslagen från bestäm- melsen i den lagen som utsträcker dataskyddsförordningens till- lämpningsområde ändras till att gälla lagarna om behandling av per- sonuppgifter vid Försvarsmakten och . Skäl för utredningens förslag: I avsnitt 6.1.1 föreslår utredningen att FM-PuL och FRA-PuL ersätts med två nya lagar. Den bestäm- melse om undantag från dataskyddsförordningen som finns i 1 kap. 3 § dataskyddslagen bör därför ändras och utformas i enlighet med detta, dvs. att undantaget gäller de nya lagarna. 6.12.2Ändring i brottsdatalagen (2018:1177) Utredningens förslag: Undantaget i brottsdatalagen från sådan verksamhet som omfattas av lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelse-verk- samhet och militära säkerhetstjänst ändras till att gälla lagen om behandling av personuppgifter vid Försvarsmakten. Skäl för utredningens förslag: I avsnitt 6.1.1 föreslår utredningen bl.a. att FM-PuL ersätts med en ny lag. Den bestämmelse om undantag från brottsdatalagen i 1 kap. 4 § andra stycket brottsdata- lagen bör därför ändras och utformas i enlighet med detta, dvs. att undantaget gäller den nya lagen. 6.12.3Ändring i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet Utredningens förslag: I bestämmelsen i 2 a § lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet om att inhämt- ning inte får avse signaler mellan en avsändare och mottagare som båda befinner sig i införs i bestämmelsens andra stycke ett undantag i fråga om signaler som utväxlas autonomt mellan tekniska system i sådana fall där signalerna inte innehåller per- sonuppgifter. Hänvisningen i 12 a § samma lag till lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvars- underrättelse- och utvecklingsverksamhet ändras till att avse lagen om behandling av personuppgifter vid . Skäl för utredningens förslag: Utredningen har uppmärksammats på en lagbestämmelse som avser att främja integritetsskyddsintresset har fått en räckvidd som inverkar menligt på för försvaret viktiga verksamheter och där några sådana intressen av tekniska skäl inte kan förekomma. Bestämmelsen i fråga är 2 a § lagen om signalspaning i försvars- underrättelseverksamhet. Enligt den får inhämtning inte avse sig- naler mellan en avsändare och mottagare som båda befinner sig i . Om sådana signaler inte kan avskiljas redan vid inhämt- ningen, ska upptagningen eller uppteckningen förstöras så snart det står klart att sådana signaler har inhämtats. I paragrafens andra stycke undantas från denna bestämmelse signaler mellan sändare och mottagare på utländska statsfartyg, luftfartyg och militära fordon. Föreskrifterna i 2 a § gäller såväl kommunikationsspaning (mänsk- lig kommunikation) som teknisk signalspaning. Den tekniska signalspaningen riktar in sig på egenskaper hos tekniska signaler, dvs. sådana signaler som inte bär mänsklig kom- munikation. Denna signalspaning syftar till att beskriva signalers olika tekniska parametrar, exempelvis pulsfrekvens och amplitud. Radarsignaler är exempel på tekniska signaler som utväxlas auto- nomt i och mellan tekniska system och där det inte finns några inslag av mänsklig kommunikation eller information och där det därför inte kan uppkomma frågor om personlig integritet. Radar är utrustning som skickar ut elektromagnetiska pulser och som tar emot reflektionen av de utskickade signalerna. Radar används främst för att mäta avstånd och riktning till objekt i omgivningen. Mätningen görs oftast genom att en puls skickas ut. Pulsen studsar sedan mot något och fångas därefter in av radarn. Sändare och mot- tagare finns alltså i samma tekniska utrustning. Genom att mäta tiden det tar för pulsen att komma tillbaka samt övervaka i vilken riktning pulsen skickas ut kan man avgöra avståndet och riktningen till objektet. En radarsignal innehåller endast tekniska parametrar, t.ex. frekvens, och alltså, som nämnts, inte information med mänsklig kommunikation. inhämtar och analyserar radarsignaler inom ramen för den tekniska signalspaningen i syfte att identifiera dem och associera dem till det objekt (plattform eller farkost) de härrör från. Inhämtningen av radarsignaler är av betydelse för uppbyggnaden och vidmakthållandet av det s.k. signalreferensbiblioteket som enligt 3 c § förordningen med instruktion för har till uppgift att vidmakthålla och utveckla för Försvarsmaktens behov. Användningen av detta har stor betydelse för Försvarsmaktens möjligheter att identifiera farkoster och vapen- bärare av olika slag och för bedömningar om vilket hot dessa i varje givet ögonblick kan utgöra för Försvarsmaktens plattformar och personal. För detta syfte är det nödvändigt att innehåller uppgifter om såväl utländska som inhemska signaler, civila som militära. Som anförs i förarbetena till 2 a § kan inhämtning av den här typen av signaler från Försvarsmaktens utrustningar och platt- formar ske med samtycke från Försvarsmakten, även när de befinner sig i (prop. 2008/09:201). När det gäller signaler mellan sändare och mottagare på utländska statsfartyg, luftfartyg och militära fordon som befinner sig i är inhämtning likaledes möjlig enligt undantagsregeln i andra stycket. I andra fall är det enligt bestämmelsen i 2 a § otydligt huruvida det är möjligt att mäta signaler som emanerar från svenskt territo- rium. Vad gäller radarsignaler kan man hävda att eftersom samma radarsignal utgår och återkommer till samma radarutrustning så är det inte fråga om signaler mellan avsändare och mottagare av det slag som avses med 2 a §, och därmed inte heller signaler mellan en avsändare och mottagare som befinner sig i . är att det objekt som radarsignalen studsar mot är att betrakta som sändare. Det är dock den som sänder ut radarsignalen, inte , som kan registrera på vilket objekt som signalen studsar. Även i andra sammanhang än vid teknisk signalspaning till stöd för produktion av signalreferensbibliotek förekommer signaler som utväxlas autonomt i och mellan tekniska system där ingen mänsklig information förekommer och där inga integritetsaspekter gör sig gällande. Inte heller i dessa sammanhang gör sig de integritetshänsyn som avsändare-mottagare-begreppet adresserar gällande. Som framgår ovan innehåller de beskrivna signalerna inte upp- gifter om mänsklig kommunikation och inhämtningen har därmed ingen betydelse för personrelaterad integritet. Utredningen föreslår därför att undantagsregeln i andra stycket kompletteras med ett undantag som innebär att huvudregeln i första stycket inte tillämpas i fråga om signaler som utväxlas autonomt mellan tekniska system och inte innehåller personuppgifter. Bestämmelsen i 12 a § lagen om signalspaning i försvarsunder- rättelsetjänst hänvisar till lagen (2007:259) om behandling av per- sonuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet för ytterligare bestämmelser om behandlingen av inhämtade personuppgifter. Denna hänvisning bör ändras så att den avser lagen om personuppgiftsbehandling vid Försvarets radio- anstalt. 6.12.4Ändring i förordningen (2009:969) med instruktion för Statens inspektion för försvarsunderrättelseverksamheten Utredningens förslag: Bestämmelserna i instruktionen för Statens inspektion för försvarsunderrättelseverksamheten om att inspek- tionen ska granska behandlingen av personuppgifter som sker med stöd av FM-PuL och FRA-PuL utformas så att de direkt tar sikte på den behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst som sker med stöd av lagen (2019:000) om behandling av personupp- gifter vid Försvarsmakten och den behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklings- verksamhet som sker med stöd av lagen (2019:000) om behand- ling av personuppgifter vid . Inspektionen ska utöver uppgiften att utöva kontroll och granskning även ha till uppgift att lämna myndigheterna råd och stöd beträffande myndigheternas skyldigheter i den verksamhet som inspektionen har till uppgift att kontrollera och granska. Skäl för utredningens förslag: Statens inspektion för försvars- underrättelseverksamheten (Siun) har enligt 1 § förordningen med instruktion för Statens inspektion för försvarsunderrättelseverksam- heten till uppgift att kontrollera försvarsunderrättelseverksamheten hos de myndigheter som enligt förordningen (2000:131) om för- svarsunderrättelseverksamhet bedriver sådan verksamhet. Siun ska kontrollera att dessa myndigheter i den försvarsunderrättelseverk- samhet som utförs, efterlever lagar och förordningar samt i övrigt fullgör sina skyldigheter. Siun ska vidare enligt 3 § instruktionen granska behandlingen av uppgifter enligt FM-PuL och FRA-PuL. Med hänsyn till de föreslagna lagarnas vidgade tillämpnings- områden bör hänvisningarna i dem om behandling av personupp- gifter utformas så att de direkt tar sikte på försvarsunderrättelseverk- samheten och den militära säkerhetstjänsten vid Försvarsmakten och försvarsunderrättelse- och utvecklingsverksamheten vid . Siuns tillsyns- och granskningsuppdrag avser rättslig granskning i efterhand. Det innebär att planerade åtgärder hos myndigheterna inte kan bli föremål för granskning och att Siuns verksamhet inte kan uppfattas som ett godkännande av framtida åtgärder. Det bör dock finnas ett utrymme för överväganden som kan komma att påverka den framtida personuppgiftsbehandlingen. Enligt utred- ningens mening skulle det vara värdefullt för myndigheterna att, med den begränsning som berörts, kunna få råd och stöd beträffande deras skyldigheter i de verksamheter som Siun har till uppgift att granska. Förslaget överensstämmer med det som lämnas när det gäller tillsynsmyndigheten i avsnitt 6.8.1. 6.12.5Ändring i förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten Utredningens förslag: Föreskrifterna i 3 § förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten att Justitie- kanslern handlägger anspråk på ersättning med stöd av 2 kap. 6 § FM-PuL och 2 kap. 5 § FRA-PuL ändras till att avse anspråk på ersättning med stöd av 7 kap. 1 § i lagen om behandling av person- uppgifter vid Försvarsmakten och 7 kap. 1 § lagen om behandling av personuppgifter vid . Skäl för utredningens förslag: I 3 § förordningen om handläggning av ersättningsanspråk mot staten anges att Justitiekanslern hand- lägger anspråk på ersättning bl.a. med stöd av 2 kap. 6 § FM-PuL och 2 kap. 5 § FRA-PuL. Bestämmelsen bör ändras så att den avser mot- svarande föreskrifter i de nya lagarna. I kommittéförordningen (1998:1474) finns bestämmelser om konse- kvensbeskrivningar. Av 14 § framgår att om förslagen i ett betänkande påverkar kost- naderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, ska en beräkning av dessa konsekvenser redovisas i betänkandet. Om förslagen innebär samhällsekonomiska konsekvenser i övrigt, ska dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kommuner eller landsting, ska kom- mittén föreslå en finansiering. Av 15 § framgår att om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen, för brottsligheten och det brotts- förebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrens- förmåga eller villkor i övrigt i förhållande till större företags, för jäm- ställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen, ska konsekvenserna i det avseendet anges i betänkandet. Om ett betänkande innehåller förslag till nya eller ändrade regler, ska förslagens kostnadsmässiga och andra konsekvenser anges i be- tänkandet. Konsekvenserna ska anges på ett sätt som motsvarar de krav på innehållet i konsekvensutredningar som finns i 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgiv- ning (15 a §). Enligt utredningens direktiv ska utredaren bedöma de ekono- miska konsekvenserna av förslagen för det allmänna och för enskilda. Om förslagen kan förväntas leda till kostnadsökningar för det all- männa ska utredaren föreslå hur de ska finansieras. också redovisa förslagens konsekvenser för den personliga integ- riteten och för eventuella verksamhetsmässiga konsekvenser. 7.2.1Två nya lagar men inga nya uppgifter Utredningens bedömning: De föreslagna lagarna innebär inga nya uppgifter för Försvarsmakten eller . De kommer att leda till ökad tydlighet och förbättrad effektivitet. Skäl för bedömningen: De föreslagna lagarna innebär inga nya uppgifter för Försvarsmakten eller . De anslu- ter till stora delar vad som gäller genom FM-PuL och FRA-Pul samt PuL. I vissa delar medför förslagen förtydliganden och förbätt- ringar när det gäller behandlingen av personuppgifter i försvars- underrättelseverksamheten. Ökade möjligheter för direktåtkomst för Försvarsmakten, och Säkerhetspolisen i försvarsunderrättelseverksamheten bör öka myndigheternas effekti- vitet på det området. För Försvarsmaktens del innebär ökade möj- ligheter till annat elektroniskt informationsutbyte förbättringar för verksamheten. Regleringen för vilka andra ändamål än huvudända- målen som behandling av personuppgifter får ske i Förvarets radio- anstalts verksamheter innebär förtydliganden som är av godo såväl för myndigheten som för tillsynen och kontrollen. Utredningens bedömning: De föreslagna lagarna innebär inga ökade kostnader för Försvarsmakten, eller de myndigheter som utövar tillsyn och kontroll eller i övrigt för det allmänna. De har ingen ekonomisk betydelse för enskilda. Skäl för bedömningen: De föreslagna lagarna medför inga nya uppgifter för Försvarsmakten och . De nya reglerna kan medföra ett visst behov av utbildning av myndigheter- nas personal utöver den utbildningsverksamhet som myndigheterna redan nu bedriver. De kostnader som detta kan medföra bör kunna rymmas inom myndigheternas befintliga ekonomiska ramar. Som nämnts i avsnitt 7.2.1 kan de föreslagna lagarna medföra förbätt- ringar av myndigheternas effektivitet. Några ekonomiska konsekvenser i övrigt för det allmänna upp- kommer inte. Inte heller medför förslagen ekonomiska konsekven- ser för enskilda. 7.3.1Konsekvenser för den personliga integriteten Utredningens bedömning: Sammantaget innebär förslagen att skyddet för den personliga integriteten kommer att vara på samma nivå som . I viss mån kan intrånget i personlig integritet öka genom de ökade möjligheterna till direktåtkomst som motiveras av starka försvars- och säkerhetsintressen. Skäl för bedömningen: När det gäller Försvarsmakten innebär en samlad reglering en förenkling för myndigheten och därmed i för- längningen en förstärkning av integritetsskyddet vid myndighetens behandling av personuppgifter. Regleringen för vilka andra ändamål än huvudändamålen som be- handling av personuppgifter får ske i Förvarets radioanstalts verksam- heter är även till fördel från integritetskyddssynpunkt. De effektiviseringar som föreslås för försvarsunderrättelseverk- samheten och den militära säkerhetstjänsten, främst när det gäller möjligheter till direktåtkomst, kan innebära ett visst ytterligare intrång i den personliga integriteten. måste man beakta den säker- hetspolitiska utvecklingen och de hot som riktas och som kan komma att riktas mot vårt land och de människor som finns här. Integritetsintrånget måste därför ställas mot de starka försvars- och säkerhetsintressen som här gör sig gällande och som motiverar behovet av en effektiv verksamhet på de områden som de föreslagna lagarna omfattar. Att dataskyddsförordningens och dataskyddslagens bestämmel- ser om tillsynsmyndighetens befogenhet att förbjuda behandling inte ska gälla kan uppfattas som negativt för skyddet av enskildas personliga integritet. Detsamma gäller att personuppgiftsincidenter inte ska rapporteras till tillsynsmyndigheten och att sanktionsavgif- ter inte ska få tas ut. Med hänsyn till den betydelse myndigheternas verksamhet har för försvar och säkerhet är det olämpligt med föreskrifter om förbud mot behandling, rapportering av person- uppgiftsincidenter och sanktionsavgifter. När det gäller frågan om rapportering av personuppgiftsincidenter bör erinras om den skyldighet att rapportera it-incidenter enligt 10 a § säkerhetskyddsförordningen som ska gälla i stället. I avsnitt 6.8.1–6.8.3 redovisar utredningen de bestämmelser om tillstånd, kontroll, granskning och tillsyn som gäller och ska gälla för den behandling av personuppgifter som den före- slagna lagstiftningen omfattar. Enligt utredningens mening får dessa bestämmelser anses tillgodose intresset av integritetsskydd. Utredningens bedömning: Förslagen förväntas inte få några andra konsekvenser. Skäl för bedömningen: Förslagen får inte några samhällsekono- miska konsekvenser eller några konsekvenser för den kommunala självstyrelsen. Förslagen får inte heller några konsekvenser för jäm- ställdheten eller andra sådana konsekvenser som avses i 14, 15 och 15 a §§ kommittéförordningen. 8.1Förslaget till lag om behandling av personuppgifter vid Försvarsmakten 1 kap. Allmänna bestämmelser Syftet med denna lag är att säkerställa att Försvarsmakten kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. Paragrafen, som behandlas i avsnitt 6.2.1, anger syftet med lagen. Syftet är att säkerställa att Försvarsmakten kan behandla person- uppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. Av paragrafen framgår att lagen gäller fysiska personer och inte juridiska personer. Denna lag gäller vid Försvarsmaktens behandling av personuppgifter som rör försvar och säkerhet. Paragrafen reglerar, tillsammans med 3 §, lagens tillämpningsområde. Den behandlas i avsnitt 6.2.2. I paragrafen anges att lagen gäller vid Försvarsmaktens behand- ling av personuppgifter som rör försvar och säkerhet. som är en personuppgift och behandling av personuppgifter definie- ras i 8 §. I Försvarsmaktens uppgifter ingår att upprätthålla och utveckla ett militärt försvar som ytterst kan möta ett väpnat angrepp. Grun- den för Försvarsmaktens verksamhet är förmågan till väpnad strid. Försvarsmakten ska försvara och främja svensk säkerhet samt upptäcka och avvisa kränkningar av det svenska territoriet. Försvars- makten ska dessutom kunna värna suveräna rättigheter och svenska intressen samt kunna förebygga och hantera konflikter och krig såväl nationellt som internationellt. Försvarsmakten ska kunna utföra dess uppgifter självständigt eller i samverkan med andra myn- digheter, länder och organisationer. Vid höjd beredskap ska Försvars- makten kunna krigsorganisera, mobilisera och använda alla krigs- förband för att möta ett militärt hot mot och svenska intressen. Krigsförband ska kunna krigsorganiseras, även om höjd beredskap inte råder. Försvarsmaktens uppgifter utvecklas närmare i av- snitt 3.1.