sou · H6B363 · 2018-08-09 00:00:00 — Det huvudsakliga syftet med dataskyddsförordningen är bl.a. att säkerställa en enhetlig skyddsnivå över hela unionen och att und- vika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Dataskyddsförordningen är direkt tillämp- lig i alla EU:s medlemsstater men förutsätter och möjliggör samti- digt kompletterande och specificerande nationella bestämmelser av olika slag. Behandling av personuppgifter som sker inom verksamhet som inte omfattas av , t.ex. försvar och nationell säkerhet, behandling som sker inom EU:s gemensamma utrikes- och säkerhetspolitik, behandling som utförs av en fysisk person och som är av rent privat natur samt behandling som sker inom brottsbekämpande verksamhet, är uttryckligen undantagna från tillämpningsområdet (artikel 2). Dataskyddsförordningen reglerar bl.a. grundläggande principer för behandling av personuppgifter, den registrerades rättigheter, person- uppgiftsansvar, tillsyn över personuppgiftsbehandling och rätten för enskilda att få tillgång till rättsmedel och sanktioner mot ansvariga som inte lever upp till förordningens krav. I förhållande till tidigare lag- stiftning ställer dataskyddsförordningen högre krav på de personupp- giftsansvariga genom bestämmelser om bl.a. utökad informationsskyl- dighet och möjlighet att besluta om administrativa sanktionsavgifter (artikel 83). Dessutom inrättas Europeiska dataskyddsstyrelsen med representanter från samtliga EU-länders dataskyddsmyndigheter, däribland Datainspektionen (artikel 68). Styrelsen har befogenhet att fatta beslut i frågor där nationella tillsynsmyndigheter inte kan komma överens, ge råd och vägledning om hur dataskyddsförordningen ska tillämpas och godkänna EU-omfattande uppförandekoder och certifieringar. Utöver dataskyddsförordningen gäller även lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning (dataskyddslagen). som denna lag trädde i kraft upphävdes personuppgiftslagen. Enligt 1 kap. 2 § dataskyddslagen gäller bestämmelserna i data- skyddsförordning och dataskyddslagen även vid behandling av person- uppgifter som utgör ett led i en verksamhet som inte omfattas av unions- rätten. Europeiska dataskyddsstyrelsen saknar emellertid behörighet inom detta utvidgade tillämpningsområde (se prop. 2017/18:105 s. 184). Särskilda undantag från detta utvidgade tillämpningsområde har gjorts för bl.a. lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säker- hetstjänst och lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverk- samhet. Enligt övergångsbestämmelserna i dataskyddslagen ska personupp- giftslagen fortsätta att gälla i sådan verksamhet hos Försvarsmakten, och Totalförsvarets rekryteringsmyndighet som inte omfattas av unionsrätten. Övergångsbestämmelserna gäller av förklarliga skäl inte sådan personuppgiftsbehandling som om- fattas av Försvarsmaktens och Försvarets radioanstalts ovan nämnda särlagstiftning. och rådets direktiv (EU) 2016/680 av (dataskyddsdirektiv) innehåller särregler för den personuppgiftsbehandling som behöriga myndigheter utför bl.a. i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott samt för att skydda mot, förebygga och förhindra hot mot den allmänna 5Europaparlamentets och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga på- följder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Direktivet ersätter det gällande dataskyddsrambeslu- tet (2008/977/RIF)6 som reglerar utbyte av personuppgifter mellan medlemsstaterna inom denna sektor. Direktivets tillämpningsområde omfattar, till skillnad från rambeslutet, även rent nationell person- uppgiftsbehandling på området för brottsbekämpning, brottmåls- hantering och straffverkställighet. EU:s nya dataskyddsdirektiv har i huvudsak genomförts genom en ny ramlag, brottsdatalagen (2018:1177) som träder i kraft . Syftet med lagen är både att skydda fysiska personers grundläggande fri- och rättigheter och att säkerställa att behöriga myndigheter kan behandla och utbyta personuppgifter med varandra på ett ändamålsenligt sätt. Lagen är, liksom tidigare personuppgifts- lagen, subsidiär i förhållande till annan lag eller förordning, vilket möj- liggör avvikande bestämmelser i s.k. registerförfattningar. Brottsdatalagen reglerar inte Säkerhetspolisens behandling av per- sonuppgifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säker- hetspolisen. Utredningen om 2016 års dataskyddsdirektiv har före- slagit att dessa områden ska regleras särskilt (SOU 2017:74). För- slaget bereds i . Brottsdatalagen kan även bli tillämplig i vissa delar av Försvars- maktens verksamhet, t.ex. när militärpolisen och militära skyddsvakter utför uppgifter med polismans befogenhet. Motsvarande kan gälla i samband med att Försvarsmakten lämnar stöd till polisen vid terror- ismbekämpning. nämnda exempel kan dock också komma att utföras inom ramen för Försvarsmaktens militära säkerhetstjänst. Av 4 § brottsdatalagen framgår därför att lagen inte är tillämplig i sådan verksamhet som omfattas av lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst (se prop. 2017/18:232 s. 14 och 102 f.). 6Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete. Genomfört i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204) med kompletterande bestämmel- ser i lag (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen (lag). 4.3Nationell reglering till skydd för den personliga integriteten 4.3.1Rätten till personlig integritet Svensk rätt saknar en allmängiltig definition av begreppet personlig integritet. Någon entydig definition finns inte heller i internationell rätt7. Ett sätt att bestämma begreppet personlig integritet är att ange vilka handlingar som utgör kränkningar av densamma. Enligt denna modell, som använts i bl.a. prop. 2006/07:63, En anpassad försvars- underrättelseverksamhet (s. 61), kan kränkningarna delas in i tre huvudgrupper: 1) intrång i en persons privata sfär i fysisk eller annan mening, 2) insamlande av uppgifter om en persons privata förhål- landen och 3) offentliggörande eller annan användning (t.ex. som bevisning i rättegång) av uppgifter om en persons privata förhållan- den. Som konkreta exempel på olika slag av kränkningar angavs intrång i en persons privata sfär genom bl.a. olovlig ljudupptagning, brytande av brevhemlighet, telefonavlyssning och utnyttjande av elektronisk avlyssningsapparatur. Den personliga integriteten kan alltså kränkas på många olika sätt. Även om det inte finns någon entydig definition av begreppet kan konstateras att kränkningarna innebär ett intrång i en fredad sfär som den enskilde bör vara tillförsäkrad. Regeringsformen innehåller grundläggande bestämmelser till skydd för den personliga integriteten. Enligt målsättningsstadgandet i 1 kap. 2 § första stycket ska den offentliga makten utövas med respekt bl.a. för den enskilda människans frihet och enligt fjärde stycket ska det allmänna värna om den enskildes privat- och familjeliv. Bestämmel- serna har dock inte någon bindande verkan för det allmänna och kan följaktligen inte ligga till grund för några individuella rättigheter (prop. 1975/76:209 s. 128 och prop. 2009/10:80 s. 173). I 2 kap. reger- ingsformen finns bestämmelser som skyddar enskildas integritet i en vidare mening. Enligt 2 kap. 6 § andra stycket regeringsformen är var 7SOU 2016:65 s. 34, med vidare hänvisning till bl.a. i SOU 2002:18 s. 52 f. och i SOU 2007:22 s. 53 f. och en – utöver vad som anges i första stycket i paragrafen om bl.a. påtvingade kroppsliga ingrepp – skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Grundlagsskyddet omfattar enbart betydande intrång. Bestämmelsen infördes i syfte att stärka skyddet för den personliga integriteten. Begränsning av skyddet får enligt 2 kap. 20 § regeringsformen göras i lag. Det får endast ske för att tillgodose ändamål som är godtagbara i ett demokratiskt sam- hälle. Begränsningen får inte gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen. Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning (2 kap. 21 §). I förarbetena till ändringen i 2 kap. 6 § framhålls att det är natur- ligt att det läggs stor vikt vid uppgifternas karaktär vid bedömningen av hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insamling, lagring och bearbetning eller utläm- nande av uppgifter om enskildas personliga förhållanden. Ju känsligare uppgifterna är, desto mer ingripande anses det allmännas hantering av uppgifterna normalt vara. Även hantering av ett fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid be- dömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan enligt förarbetena normalt anses vara mer käns- lig än t.ex. en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Mängden uppgifter kan också vara en betydelsefull faktor i sammanhanget (prop. 2009/10:80 s. 183). Personuppgiftslagen upphävdes i samband med dataskyddslagens ikraftträdande. Enligt övergångsbestämmelse 2 till dataskyddslagen ska personuppgiftslagen bl.a. fortsätta att gälla i sådan verksamhet hos Försvarsmakten och som inte omfattas av unionsrätten. Den behandling av personuppgifter som omfattas av lagen om behandling av personuppgifter i Försvarsmaktens för- svarsunderrättelse- och militära säkerhetstjänst och lagen om behand- ling av personuppgifter i Försvarets radioanstalts försvarsunderrät- telse- och utvecklingsverksamhet är undantagen dataskyddslagen på sätt som beskrivs närmare i avsnitt 4.3.3. Mot denna bakgrund följer här en redogörelse för personuppgiftslagens innehåll. Personuppgiftslagen innehåller generella regler för all behandling av personuppgifter, dvs. enligt lagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Begrep- pet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, t.ex. att samla in, söka, bevara eller sprida uppgifter (3 §). Personuppgiftslagen tillämpas på helt eller delvis automatiserad behandling av personuppgifter men är även tillämplig på behandling av personuppgifter som ingår, eller är avsedda att ingå, i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). Personuppgiftslagen uppställer vissa grundläggande krav för be- handling av personuppgifter; bl.a. laglig behandling, på ett korrekt sätt och i enlighet med god sed (9 §). Därtill får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Det innebär att ändamålen med en behandling av personuppgifter måste bestämmas redan när uppgifterna samlas in. Personuppgif- terna får sedan inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Denna s.k. finalitetsprin- cip är av central betydelse vid behandling av personuppgifter och innebär att en prövning måste göras av om eventuella nya ändamål med behandlingen är oförenliga med de ursprungligt angivna ända- målen. Personuppgiftslagen förbjuder behandling av känsliga personupp- gifter; uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackföre- ning och uppgifter som rör hälsa eller sexualliv. Sådana uppgifter får emellertid behandlas i enlighet med vissa särskilt angivna undantag, bl.a. uttryckligt samtycke från den registrerade. Regeringen, eller den myndighet regeringen bestämmer, får föreskriva ytterligare undan- tag från förbudet om det behövs med hänsyn till ett viktigt allmänt intresse (13, 15 och 20 §§). Datainspektionen är tillsynsmyndighet enligt personuppgiftslagen (2 § personuppgiftsförordningen [1998:1191]). Även om personuppgiftslagen härrör ur ett EU-direktiv är lagen, som den formulerats i svensk rätt, inte begränsad till vissa områden, utan är generellt tillämplig och omfattar således även personupp- giftsbehandling utanför unionsrätten. Särreglering i lag eller förord- ning gäller emellertid framför bestämmelserna i personuppgiftslagen (2 §). Sådan särreglering får inte stå i strid med dataskyddskonven- tionen. Enligt 22 § personuppgiftslagen får uppgifter om personnummer eller samordningsnummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Bestäm- melser om i vilka fall information om behandling av personuppgifter ska lämnas till den enskilde finns i 23–27 §§. Bestämmelserna om informationsplikt gäller inte om sekretess eller tystnadsplikt är före- skriven för uppgifterna. På begäran av den registrerade är den per- sonuppgiftsansvarige skyldig att rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med per- sonuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen (28 §). Om felaktiga uppgifter har lämnats ut till tredje man är den personuppgiftsansvarige i vissa fall skyldig att underrätta denne om rättelsen. Det ska ske om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Tredje man behöver dock inte underrättas om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. För att säkerställa en hög säker- hetsnivå vid behandling av personuppgifter finns särskilda bestäm- melser om detta i 30–32 §§. Det är förbjudet att föra över personuppgifter till tredje land, dvs. en stat utanför EU eller EES, som inte har en adekvat nivå för skyd- det av personuppgifterna (33 §). Förbudet gäller i princip alla per- sonuppgifter. Under vissa förutsättningar är det dock tillåtet att föra över uppgifter till tredje land under förutsättning att den registre- rade antingen gett sitt samtycke eller överföringen är nödvändig bl.a. för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller för att vitala intressen för den registrerade ska kunna skyddas (34 §). Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskon- ventionen. Regeringen får meddela föreskrifter om ytterligare undantag från förbudet mot överföring (35 §). Behandling av personuppgifter ska som huvudregel anmälas till Datainspektionen i dess egenskap av tillsynsmyndighet. En anmälan behöver dock inte göras om det finns ett personuppgiftsombud eller om något av de i personuppgiftsförordningen föreskrivna undan- tagen är tillämpligt (36 och 37 §§). Vidare finns det i personuppgiftslagen bestämmelser om person- uppgiftsombud (38–40 §§), krav på förhandskontroll i vissa fall (41 §), allmän informationsskyldighet (42 §) och tillsynsmyndighetens be- fogenheter (43–47 §§). Det finns också bestämmelser om skadestånd och straff (48–49 §§) samt om överklagande (51–53 §§). Syftet med särskilda registerförfattningar är att anpassa skyddet för enskildas personliga integritet vid myndigheters personuppgifts- behandling när det finns ett behov av att avvika från eller komplet- tera personuppgiftslagens bestämmelser. Inom olika verksamhets- områden i den offentliga sektorn är det inte ovanligt att myndigheter har särskilda behov som tillgodoses genom att i en registerförfatt- ning ge ett anpassat integritetsskydd vid myndighetens hantering av personuppgifter. har också gett ut- tryck för uppfattningen att myndighetsregister med ett stort antal registrerade och med ett känsligt innehåll ska regleras särskilt i lag (prop. 1990/91:60 s. 50, KU 1990/91:11 s. 11 och rskr. 1990/91:160). Det finns ett stort antal lagar om behandling av personuppgifter som gäller i viss verksamhet eller för ett visst register. Exempel på sådana särskilda registerförfattningar är lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga, patientdatalagen (2008:355) och polisdatalagen (2010:361). Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet regleras i särskilda författningar, vilket beskrivs närmare i avsnitt 5. Offentlighets- och sekretesslagen (2009:400) innehåller ett flertal bestämmelser om sekretess till skydd för uppgifter om enskildas personliga förhållanden, vilka också medför ett skydd för enskildas personliga integritet. Av 21 kap. 7 § framgår att sekretess gäller för en personuppgift om det kan antas att uppgiften efter ett utläm- nande kommer att behandlas i strid med dataskyddsförordningen eller dataskyddslagen. Sekretessprövningen gäller således den behand- ling som kommer att ske efter ett eventuellt utlämnande. Utlämnanden till utländska mottagare som omfattas av dataskyddsförordningens tillämpningsområde omfattas också av sekretessbestämmelsen (prop. 2017/18:105 s. 210). 5Regleringen av personuppgiftsbehandling vid Försvarsmakten och Försvarsmaktens personuppgiftsbehandling inom ramen för försvars- underrättelseverksamheten och den militära säkerhetstjänsten regle- ras i lagen (2007:258) och förordningen (2007:260) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksam- het och militära säkerhetstjänst (FM-PuL och FM-PuF). Regleringen är uppbyggd på samma sätt för Försvarets radioanstalts behandling av personuppgifter som sker med stöd av lagen (2007:259) och för- ordningen (2007:261) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet (FRA-PuL och FRA-PuF). FM-PuL och FRA-PuL gäller vid behandling av personuppgifter inom respektive lags tillämpningsområden om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgäng- liga för sökning eller sammanställning enligt särskilda kriterier. Båda lagarna syftar också till att skydda människor mot att deras person- liga integritet kränks genom behandling av personuppgifter inom lagarnas respektive tillämpningsområden (1 kap. 1 och 2 §§ FM-PuL och FRA-PuL). Propositionen 2006/07:46 ligger till grund för både FM-PuL och FRA-PuL och merparten av bestämmelserna för Försvarsmaktens och Försvarets radioanstalts personuppgiftsbehandling är utformade på samma sätt i de båda lagarna. Vissa bestämmelser som gäller för den ena myndigheten saknar emellertid motsvarighet i den andra Regleringen av personuppgiftsbehandling vid Försvarsmakten ... Dessa bestämmelser redovisas i förekommande fall separat för respektive myndighet. FM-PuL och FRA-PuL är båda självständiga och heltäckande regleringar som ersätter personuppgiftslagen fullt ut inom sina res- pektive tillämpningsområden (1 kap. 1 § andra stycket FM-PuL och FRA-PuL). Försvarsmakten respektive är personupp- giftsansvariga för den behandling av personuppgifter som myndig- heterna utför (1 kap. 5 § FM-PuL och FRA-PuL). När det gäller innehåller även lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet vissa bestämmelser om personuppgiftsbehandling, t.ex. användningen av sökbegrepp och förstöringsskyldighet. Av lagen framgår bl.a. att in- hämtning av signaler i tråd ska ske automatiserat och att sådan inhämt- ning endast får avse signaler som identifierats genom sökbegrepp. Upptagning eller uppteckning av uppgifter som inhämtats enligt lagen om signalspaning i försvarsunderrättelseverksamhet ska omgående förstöras om innehållet bl.a. berör en viss fysisk person och har bedömts sakna betydelse för försvarsunderrättelseverksamheten (1 och 7 §§). För Försvarsmaktens och Försvarets radioanstalts övriga person- uppgiftsbehandling som inte omfattas av FM-PuL eller FRA-PuL gäller personuppgiftslagen (1998:204). Som nämnts i avsnitt 4.2.2 gäller detta för sådan verksamhet som inte omfattas av unionsrätten. 5.1.2När behandling av personuppgifter är tillåten Av 1 kap. 8 § FM-PuL och FRA-PuL framgår att personuppgifter får behandlas i respektive myndighets försvarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet. Regeringen konstaterade att försvarsunderrättelseverksamheten är av sådan art att det inte ansetts möjligt att i lagform reglera den i detalj. Utöver bestämmelserna i lagen och förordningen om försvarsunderrättelse- verksamhet styrs emellertid verksamheten även av regeringens inrikt- ning, vilken ytterligare avgränsar de ändamål för vilka verksamheten Regleringen av personuppgiftsbehandling vid Försvarsmakten ... Försvarsmakten och producerar dessutom interna styrdokument där en ytterligare precisering i förhållande till regeringens inriktning görs. På detta sätt bestämmer myndigheterna närmare ändamålen för verksamheten – och därmed ramen för behandlingen av personuppgifter – i enlighet med vad uppgiften som personuppgiftsansvarig ålägger myndigheten (se prop. 2006/07:46 s. 64, 65 och 67). Som beskrivits i avsnitt 3.3.5 anger lagen om signalspaning i försvarsunderrättelseverksamhet för vilka syften signalspaning får ske. Av 1 kap. 8 § andra stycket FM-PuL och FRA-PuL framgår att uppgifter om en person endast får behandlas om personen också har anknytning till en preciserad inriktning för försvarsunderrättelse- verksamheten och behandlingen är nödvändig för att fullfölja den inriktningen. Med preciserad inriktning avses de interna styrdoku- ment som myndigheterna fastställer för närmare avgränsning av verk- samheten. Vilken grad av anknytning en person ska ha till en preci- serad inriktning för att behandling av uppgifter om honom eller henne ska kunna anses godtagbar, måste med hänsyn till verksam- heternas speciella karaktär avgöras från fall till fall. Under alla om- ständigheter måste det emellertid alltid finnas en sådan koppling mellan en person och den företeelse som verksamheten syftar till att kartlägga att man i efterhand kan kontrollera att personuppgifts- behandlingen är motiverad av verksamhetsskäl och kan hänföras till en viss preciserad inriktning (se prop. 2006/07:46 s. 65 och 67). Tillgången till personuppgifter ska alltid begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter (1 kap. 16 § FM-PuL och FRA-PuL). Personuppgifter får enligt 1 kap. 9 § FM-PuL behandlas i den mili- tära säkerhetstjänstens verksamhet för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktar sig mot Försvars- makten och dess säkerhetsintressen, om det är nödvändigt för att 1.klarlägga verksamhet som innefatta hot mot rikets säkerhet, eller 2.vidta åtgärder som hindrar eller försvårar säkerhetshotande verk- samhet. Regleringen av personuppgiftsbehandling vid Försvarsmakten ... För de ändamål som anges i 1 kap. 9 § FM-PuL får uppgifter om en person enligt 1 kap. 10 § behandlas endast om uppgifterna ger grun- dad anledning att anta att personen