prop · H603163 · 2019-09-09 00:00:00 — Hur det kan ta kan variera beroende på bl.a. mängden information och uppgifternas karaktär. Utgångspunkten är att bearbetningen ska genomföras . I 4 kap. 8 § anges hur länge uppgifter i en sådan uppgiftssamling får behandlas. I paragrafen föreskrivs att under vissa förutsättningar får medges direktåtkomst till personuppgifter som Säkerhetspolisen behandlar. Övervägandena finns i avsnitt 11.3.2. Direktåtkomsten får bara avse personuppgifter som har gjorts gemensamt tillgängliga och som Säkerhetspolisen behandlar i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar de brott som anges i 2 kap. 1 § 1, utreda eller lagföra sådana brott eller fullgöra uppgifter i samband med personskydd eller enligt utlännings- och medborgarskapslagstiftningen. Möjligheten att ge direktåtkomst begränsas till personuppgifter som behövs för något av de syften som anges i 2 kap. 1 § 1 och 2 lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område eller för att fullgöra uppgifter enligt utlänningslagen (2005:716) eller lagen (1991:572) om särskild utlänningskontroll. Det innebär att bara får ta del av uppgifter genom direktåtkomst för att förebygga, förhindra eller upptäcka brottslig verksamhet eller utreda eller lagföra brott samt för att fullgöra uppgifter enligt de två övriga lagarna som nämns. Det sistnämnda kan exempelvis avse informationsutbyte i samband med att verkställer beslut om avvisning eller utvisning i säkerhetsärenden enligt utlänningslagen. Om behöver få tillgång till personuppgifter för att utföra andra arbetsuppgifter ska uppgifterna lämnas på något annat sätt. Paragrafen innebär inte att har rätt till direktåtkomst. En bestämmelse om direktåtkomst anger endast i vilken form person- uppgifter får tillhandahållas. Det är Säkerhetspolisen som avgör om personuppgifterna kan tillhandahållas genom direktåtkomst. Säkerhets- polisen kan begränsa direktåtkomsten till t.ex. en viss typ av uppgifter eller på annat sätt som myndigheten finner lämpligt. Möjligheten att tillhanda- hålla vissa personuppgifter på detta sätt kan också vara begränsad av att uppgifterna är skyddade av sekretess. Se vidare 2 kap. 17 § gällande sekretessgenombrott i vissa fall. I paragrafen anges att och Försvarsmakten under vissa förutsättningar får medges direktåtkomst till personuppgifter som behandlas av Säkerhetspolisen. Övervägandena finns i avsnitt 11.3.2. får medges direktåtkomst inom ramen för försvarsunderrättelseverksamheten, medan Försvarsmakten utöver försvarsunderrättelseverksamheten också får medges direktåtkomst inom den militära säkerhetstjänsten. Försvarsunderrättelseverksamhet bedrivs till stöd för svensk utrikes-, säkerhets- och försvarspolitik samt i övrigt för kartläggning av yttre hot mot landet. Verksamheten får bara avse utländska förhållanden (jfr 1 § lagen [2000:130] om försvarsunderrättelseverksam- het). Direktåtkomsten för Försvarsmakten och får bara avse personuppgifter som har gjorts gemensamt tillgängliga och som Säkerhetspolisen behandlar i syfte att förebygga, förhindra eller upptäcka 2018/19:163 brottslig verksamhet som innefattar de brott som anges i 2 kap. 1 § 1 samt för att utreda eller lagföra sådana brott. Paragrafen innebär inte att de mottagande myndigheterna har rätt till direktåtkomst. En bestämmelse om direktåtkomst anger endast i vilken form personuppgifter får lämnas ut. Säkerhetspolisen avgör om myndigheten kan medge Försvarsmakten och direktåtkomst. Direktåtkomsten kan begränsas till t.ex. en viss typ av uppgifter eller på annat sätt som Säkerhetspolisen finner lämpligt. Möjligheten att tillhandahålla vissa uppgifter på detta sätt kan också begränsas av att uppgifterna är skyddade av sekretess. Se vidare 2 kap. 18 § gällande sekretessgenombrott i vissa fall. I paragrafen regleras Säkerhetspolisens möjlighet att medge underrättelse- och säkerhetstjänster inom Europeiska unionen (EU) och Europeiska ekonomiska samarbetsområdet (EES) direktåtkomst till vissa personuppgifter. Övervägandena finns i avsnitt 11.3.3. I första stycket anges förutsättningarna för när direktåtkomst kan medges. Det är endast tillåtet att medge underrättelse- och säkerhets- tjänster i medlemsstater inom EU och EES direktåtkomst och de får endast medges direktåtkomst om det behövs för sådant samarbete mot terrorism som Säkerhetspolisens deltar i. Direktåtkomsten får vidare bara avse personuppgifter som Säkerhetspolisen behandlar i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar terrorbrott. Direktåtkomsten får endast avse personuppgifter som gjorts gemensamt tillgängliga. Innan Säkerhetspolisen medger direktåtkomst med stöd av denna bestämmelse måste myndigheten dels avgöra om det finns sakliga skäl att låta en utländsk underrättelse- och säkerhetstjänster få del av uppgifterna, dvs. om det finns behov av att lämna ut uppgifterna för att bekämpa terrorism, dels avgöra om det finns rättsliga förutsättningar för att lämna ut uppgifterna. I detta ingår att en sekretessprövning görs. Se vidare 2 kap. 16 § gällande sekretessgenombrott i vissa fall. Av andra stycket framgår att Säkerhetspolisen ska informera regeringen innan direktåtkomst medges en utländsk underrättelse- eller säkerhetstjänst enligt paragrafen. Skyldigheten att informera regeringen omfattar enbart det förhållandet att Säkerhetspolisen avser att dela information genom direktåtkomst, inte innehållet i informationen. Rätt att meddela föreskrifter I paragrafen finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om omfattningen av direktåtkomst och om behörighet och säkerhet vid sådan åtkomst. Övervägandena finns i avsnitt 11.3.2. 4 kap. Längsta tid som personuppgifter får behandlas Paragrafen reglerar hur länge Säkerhetspolisen får behandla personuppgifter för ändamål inom lagens tillämpningsområde. Där framgår också hur bestämmelsen förhåller sig till arkivlagstiftningen. Övervägandena finns i avsnitt 12.2.1. I första stycket föreskrivs att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det som avses är ändamålet i det enskilda fallet. behandlas personuppgifter för flera olika ändamål. Att det inte längre finns behov av att behandla personuppgiften för ett visst ändamål medför inte att behandlingen av den måste upphöra för alla andra ändamål . Åandra sidan innebär det förhållandet att personuppgiften fortfarande behövs för ett visst ändamål inte att den får fortsätta att behandlas för alla ändamål . Behovet av att fortsätta att behandla uppgifterna måste prövas kontinuerligt. Om det är tillräckligt att behandla avidentifierade uppgifter är det inte längre tillåtet att behandla personuppgifterna. Av andra stycket framgår att bestämmelsen om längsta tid för behandling inte hindrar att personuppgifterna arkiveras av Säkerhets- polisen eller att arkivmaterial lämnas till en arkivmyndighet. Behandling för arkivändamål omfattas av dataskyddsförordningens tillämpnings- område. I tredje stycket föreskrivs att övriga bestämmelser i kapitlet, som anger hur länge en viss typ av personuppgifter får behandlas inom den ram som sätts av huvudregeln i första stycket, endast gäller vid automatiserad behandling. Personuppgifter som inte har gjorts gemensamt tillgängliga I paragrafen anges hur länge uppgifter som inte har gjorts gemensamt tillgängliga får behandlas. Övervägandena finns i avsnitt 12.2.2. I första stycket anges hur länge uppgifterna får behandlas. Enligt andra stycket gäller inte bestämmelsen i 1 § andra stycket vid tillämpningen av denna paragraf. Det innebär att personuppgifterna inte får arkiveras digitalt. Utgångspunkten är alltså att all automatiserad behandling av uppgifterna ska upphöra när den tid som anges i paragrafen har löpt ut, vilket innebär att de ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges paragrafen (jfr 12 §). Tredje stycket klargör att paragrafen inte ska tillämpas på ärenden om utredning av eller lagföring för brott (se 3–5 §§). 2018/19:163 Gemensamt tillgängliga uppgifter i ärenden om utredning av eller lagföring för brott Paragrafen reglerar hur länge personuppgifter i en anmälan om brott får behandlas (jfr prop. 2009/10:85 s. 346 f.). Övervägandena finns i avsnitt 12.2.5. Enligt paragrafen inskränks enbart behandlingen av personuppgifter för de ändamål som regleras i lagen. Bestämmelserna hindrar alltså inte att uppgifterna får fortsätta att behandlas automatiserat för bl.a. arkivändamål efter de tidpunkter som anges i paragrafen. Paragrafen reglerar hur länge personuppgifter i förundersökningar och andra utredningar som handläggs enligt bestämmelserna i 23 kap. får behandlas (jfr prop. 2009/10:85 s. 347 f.). Övervägandena finns i avsnitt 12.2.5. Enligt paragrafen inskränks enbart behandlingen av personuppgifter för de ändamål som regleras i lagen. Bestämmelserna hindrar alltså inte att uppgifterna får fortsätta att behandlas automatiserat för bl.a. arkivändamål efter de tidpunkter som anges i paragrafen. Paragrafen reglerar vad som gäller i fråga om personuppgifter som rör någon som har varit misstänkt i en förundersökning som har lagts ner eller där åtal har lagts ner eller frikännande dom har meddelats och fått laga kraft. Övervägandena finns i avsnitt 12.2.5. Övriga gemensamt tillgängliga uppgifter I paragrafen anges att det i de följande paragraferna regleras hur länge gemensamt tillgängliga uppgifter som inte förekommer i ärenden om utredning av eller lagföring för brott får behandlas. Övervägandena finns i avsnitt 12.2.1. I första stycket finns en upplysning om att de aktuella personuppgifterna som längst får behandlas som anges i 7–10 §§. Enligt andra stycket gäller inte bestämmelsen i 1 § andra stycket om arkivlagstiftningens företräde vid tillämpningen av 7–10 §§. Det innebär att personuppgifterna inte får arkiveras digitalt. Utgångspunkten är att all automatiserad behandling av uppgifterna ska upphöra när den tid som anges i 7–10 §§ har löpt ut, vilket innebär att uppgifterna ska tas bort. Endast om det har meddelats uttryckliga föreskrifter som innebär att uppgifterna i fråga får behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål får de behandlas automatiserat längre än vad som anges i de aktuella paragraferna (jfr 12 §). Paragrafen reglerar hur länge sådana personuppgifter som avses i 6 § får behandlas. Övervägandena finns i avsnitt 12.2.3. Huvudregeln i första stycket innebär att personuppgifter som har gjorts gemensamt tillgängliga inte får behandlas längre än efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Tiden för hur länge personuppgifterna får behandlas kan inte påverkas av vilken registrering som helst, exempelvis kan en registrering av ändrade bostadsförhållanden eller något annat liknande förhållande inte påverka hur länge uppgifterna får behandlas. Uppgifter om en person som vid tiden för registreringen inte fyllt får dock enligt andra stycket inte behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende den unge. Femårsfristen gäller bara registreringar som har gjorts innan den unge fyllt . Om nya uppgifter om honom eller henne registreras därefter, förlängs tidsfristen för alla uppgifter enligt huvudregeln i första stycket. I tredje stycket görs undantag från bestämmelserna i första och andra stycket för personuppgifter som avses i 8 och 9 §§, dvs. personuppgifter som behandlas i en uppgiftsamling som har skapats för att bearbeta och analysera information och personuppgifter som rör viss säkerhetshotande verksamhet. Paragrafen reglerar hur länge personuppgifter i sådana särskilda uppgiftssamlingar som anges i 3 kap. 4 § tredje stycket får behandlas. Övervägandena finns i avsnitt 12.2.3. Personuppgifter i en uppgiftssamling som skapats för att bearbeta och analysera information får inte behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende personen. Om nya uppgifter om personen samlas in förlängs tidsfristen, under förutsättning att uppgifterna är av den art att de påverkar hur länge personuppgifterna får behandlas. Vad det innebär utvecklas i kommentaren till 7 §. I paragrafen anges hur länge personuppgifter som hänför sig till viss säkerhetshotande verksamhet får behandlas. Övervägandena finns i avsnitt 12.2.4. Uppgifter som hänför sig till sådan säkerhetshotande verksamhet som anges i paragrafen kan t.ex. vara uppgifter där grunden för registreringen är att personen antas vara en utländsk underrättelseofficer och uppgifter om hans eller hennes anhöriga. Det kan också vara uppgifter om personer som misstänks för spioneri eller andra brott enligt 18 och 19 kap. brotts- balken som främmande makt står bakom och om personer med anknytning till dem. Registreringen kan även avse händelser kopplade till dessa personer. Personuppgifter som omfattas av paragrafen får behandlas längst efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brott eller brottslig verksamhet. Tidsfristen gäller dock inte uppgifter som behandlas i sådana särskilda uppgiftssamlingar som anges i 3 kap. 4 § tredje stycket. Sådana uppgifter får inte behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende personen (se 8 §). I paragrafen ges Säkerhetspolisen möjlighet att, om det finns särskilda skäl, genom ett beslut i det enskilda fallet förlänga tidsfristen för behandlingen av vissa personuppgifter. Ett särskilt skäl kan vara att ärendet rör en företeelse eller en person som kan antas få ny aktualitet (prop. 2009/10:85 s. 269). Övervägandena finns i avsnitt 12.2.6. Tidsfristerna om tio respektive motsvarar den tidigare regleringen. Även om personuppgifterna rör någon som inte har fyllt är tidsfristen . Detsamma gäller för sådana personuppgifter som anges i 9 §. Rätt att meddela föreskrifter I paragrafen finns en upplysning om att regeringen kan meddela föreskrifter om att vissa kategorier av personuppgifter får fortsätta att behandlas för ändamål inom lagens tillämpningsområde än vad som anges i 3 och 4 §§. En förutsättning för sådana föreskrifter är att de tidsfrister som sätts för behandlingen hålls inom de ramar som ges i 1 § första stycket. Övervägandena finns i avsnitt 12.3. I paragrafen finns en upplysning om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att personuppgifter, trots att den tillåtna tiden för behandling har löpt ut, får fortsätta att behandlas för arkivändamål av allmänt intresse och veten- skapliga, statistiska eller historiska ändamål. Regeringen, eller den myndighet som regeringen bestämmer, kan också meddela föreskrifter om begränsning av behandlingen av personuppgifter för ändamål inom lagens tillämpningsområde vid digital arkivering. Övervägandena finns i avsnitt 12.3. Åtgärder för att säkerställa författningsenlig behandling Tekniska och organisatoriska åtgärder 1 § Paragrafen reglerar tillsammans med 2–4 §§ de krav som ställs på Säkerhetspolisen i fråga om tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att registrerades rättigheter skyddas. Tekniska och organisatoriska åtgärder för att skydda personuppgifterna regleras i 7 §. Övervägandena finns i avsnitt 13.2.2. Organisatoriska åtgärder som avses i paragrafen är bl.a. att anta interna strategier för dataskydd, att informera och utbilda personalen och att säkerställa en tydlig ansvarsfördelning. Åtgärder som vidtas för att visa att behandlingen är författningsenlig kan t.ex. vara dokumentation av it- system, behandlingar och vidtagna åtgärder samt teknisk spårbarhet genom loggning och logguppföljning. Vilka åtgärder som bör vidtas får avgöras efter en bedömning i de Prop. 2018/19:163 enskilda fallen. Vid den bedömningen har det betydelse bl.a. vilka personuppgifter som ska behandlas, mängden uppgifter och hur integritetskänsliga de är. Även grunden för behandlingen och riskerna med den ska beaktas. Mer långtgående åtgärder kan behövas vid behandling som kan medföra särskilda risker för integritetsintrång eller vid omfattande behandling av en stor mängd personuppgifter. Skyldigheten att vidta lämpliga åtgärder är inte knuten till en viss tidpunkt, utan något som Säkerhetspolisen ständigt ska ha för ögonen. Åtgärder som har vidtagits måste därför kontinuerligt revideras och vid behov förändras. Paragrafen reglerar skyldigheten att beakta principen om inbyggt dataskydd vid behandling av personuppgifter. Övervägandena finns i avsnitt 13.2.2. Paragrafen innebär att Säkerhetspolisen, både när medlen för behandlingen bestäms och vid behandlingen, ska vidta åtgärder som medför att dataskyddsprinciper säkerställs och skyddsåtgärder integreras i behandlingen. Skyldigheten är nära förknippad med de skyldigheter som följer av 1, 3 och 7 §§. Paragrafen kan ses som en precisering av den övergripande skyldigheten i 1 §. Exempel på grundläggande dataskyddsprinciper som bör säkerställas är uppgiftsminimering, dvs. att så få personuppgifter som möjligt samlas in och hanteras, och att personuppgifter inte behandlas längre än vad som behövs eller används på ett otillåtet sätt. Principerna kan säkerställas i verksamheten genom åtgärder som exempelvis begränsar behandlingen till personuppgifter som endast indirekt pekar ut en individ eller till personuppgifter som är mindre integritetskänsliga. Att använda pseudonymisering, vilket innebär att uppgifterna inte går att koppla till en enskild person utan ytterligare information som hålls avskild, är ett annat exempel. Om det i ett ärendehanteringssystem är möjligt att behandla personuppgifterna utöver vad som är tillåtet med hänsyn till ändamålet bör funktionerna begränsas och spärras innan systemet tas i drift. Funktioner för att avskilja personuppgifter automatiskt är också exempel på inbyggt dataskydd. Andra åtgärder som kan vidtas för att säkerställa dataskydds- principer är behörighetsstyrning och kryptering av information. Sådana åtgärder syftar till att begränsa åtkomsten till personuppgifterna så att endast de som behöver uppgifterna för att kunna utföra sina arbetsuppgifter har tillgång till dem. Integrering av skyddsåtgärder kan avse funktioner för autentisering, t.ex. lösenord, möjlighet att använda kryptering vid kommunikation över internet och på mobila enheter, funktioner för loggning och säkerhets- kopiering. Vilka åtgärder som bör vidtas får avgöras i varje enskilt fall. Vilka faktorer som kan vara av betydelse utvecklas i kommentaren till 1 §. De tekniska möjligheterna och kostnaderna för genomförandet ska också vägas in. Paragrafen fastställer Säkerhetspolisens skyldighet att i automatiserade behandlingssystem införa dataskydd som standard. Övervägandena finns i avsnitt 13.2.2. Dataskydd som standard innebär att systemet automatiskt styr användaren mot att arbeta integritetssäkert. Grundinställningarna ska vara satta så att inte mer information än nödvändigt samlas in eller visas. Skyldigheten att ha dataskydd som standard tar sikte på mängden insamlade personuppgifter, behandlingens omfattning, hur länge personuppgifterna behandlas och hur tillgängliga de är. Det innebär att Säkerhetspolisen ska se till att det i automatiserade behandlingssystem endast är möjligt att samla in de typer av personuppgifter som behövs, att personuppgifterna endast kan behandlas på ett sådant sätt och så länge som det är nödvändigt och att uppgifterna endast är tillgängliga för de personer som behöver dem i sitt arbete. Paragrafen kan i likhet med 2 § ses som en precisering av den övergripande skyldigheten i 1 §. Med automatiserade behandlingssystem avses särskilt för verksamheten utformade eller anpassade behandlingssystem där personuppgifter behandlas mer eller mindre strukturerat, t.ex. verksamhetsstöd i form av dokument- och ärendehanteringssystem och olika typer av register och databaser. För att dataskydd som standard ska kunna införas i automatiserade behandlingssystem krävs det att Säkerhetspolisen har tekniska möjligheter och rätt att vidta sådana åtgärder i systemet. Standardprogram som Word, Outlook och Excel är inte att anse som automatiserade behandlingssystem i paragrafens mening och omfattas därför inte av kraven. Något utrymme för lämplighetsbedömning i det enskilda fallet finns inte. Säkerhetspolisen är skyldig att införa dataskydd som standard oavsett vilken behandling det rör sig om eller vad kostnaderna uppgår till. Paragrafen reglerar Säkerhetspolisens skyldighet att säkerställa att det i automatiserade behandlingssystem förs loggar över vissa typer av behandlingar. Övervägandena finns i avsnitt 13.2.3. En logg är en behandlingshistorik som sparas . Det är en teknisk funktion i systemet som ska fungera automatiskt och som inte ska gå att ändra eller påverka på annat sätt. En logg bör vara så detaljerad att den kan användas för att utreda felaktig eller obehörig användning av personuppgifter. Syftet med loggning är dels att verka förebyggande, dels att ge Säkerhetspolisen möjlighet att kontrollera användningen av systemen och att upptäcka felaktig eller obehörig användning av personuppgifterna. Loggningen bör inte utformas så att den medför onödiga intrång i användarnas integritet. Krav på loggning vid behandling av personuppgifter följer indirekt av de generella kraven på lämpliga tekniska och organisatoriska åtgärder i både 1 och 7 §§. Förevarande paragraf utgör därmed ett mer preciserat krav på loggning i vissa typer av system. Vad som avses med automatiserade behandlingssystem framgår av kommentaren till 3 §. Standardprogram som Word, Outlook och Excel är i detta sammanhang inte att anse som automatiserade behandlingssystem och omfattas därför inte av kravet på loggning i paragrafen. Inte heller lagringsytor som t.ex. usb-minnen och anställdas personliga mappar på den egna datorn omfattas. Krav på loggning i sådan programvara och på sådana lagringsytor följer dock, i den mån det är tekniskt möjligt, av 1 och 7 §§. Paragrafen innebär att Säkerhetspolisen ska säkerställa att de automatiserade behandlingssystem som används möjliggör loggning i den utsträckning som krävs och att informationen faktiskt loggas. Av 1 § följer bl.a. krav på logguppföljning. Logguppföljning ska göras systematiskt och återkommande och vara såväl förebyggande som reaktiv. Säkerhetspolisen ska se till att det finns rutiner för logguppföljning. Paragrafen gäller enligt 14 § även för personuppgiftsbiträden. Tillgången till personuppgifter 5 § Paragrafen reglerar den interna tillgången till personuppgifter för dem som arbetar vid . Övervägandena finns i avsnitt 13.2.4. Paragrafen innebär att Säkerhetspolisen är skyldig att se till att anställda bara ges tillgång till de personuppgifter som krävs för att de ska kunna fullgöra sina arbetsuppgifter. I Säkerhetspolisens verksamheter behandlas en betydande mängd personuppgifter. De är ofta av integritetskänsligt slag och bör inte spridas till någon som inte är behörig att ta del av uppgifterna. Kravet på behörighetsbegränsning syftar till att minska den interna exponeringen och spridningen av personuppgifterna. Hur det bör göras får bedömas med utgångspunkt i förutsättningarna och Säkerhetspolisens behov. Faktorer som it-systemens storlek och om personuppgifterna är sekretesskyddade eller annars integritetskänsliga ska beaktas. Paragrafen reglerar inte bara tillgången till Säkerhetspolisens egen information.