prop · H603163 · 2019-09-09 00:00:00 — Sådant underrättelsearbete skapar underlag för olika typer av åtgärder mot andra staters säkerhetshotande underrättelseverksamhet och är en del av försvar. Spioneribrott utövas ofta av två aktörer i förening. Den ena är en underrättelseofficer som tillhör en utländsk underrättelsetjänst. Den andra är spionen som t.ex. kan ha tillgång till information och miljöer där information kan inhämtas på uppdrag av underrättelseofficeren. Under- rättelseofficerare arbetar långsiktigt med att leta efter lämpliga mål och att närma sig och odla kontakter med personer som har information om målet, för att i senare skeden eventuellt kunna rekrytera dem som spioner och handleda dem. Andra stater söker alltså fortlöpande efter lämpliga personer att rekrytera. Själva processen fram till värvningstillfället kan ta och i vissa fall . I den efterföljande handlednings- fasen kan den värvade personen handledas så länge han eller hon har till- gång eller kan få tillgång till den information som den andra statens underrättelsetjänst är intresserad av. Det kan pågå . En underrättelseofficer är däremot som regel bara stationerad i och förflyttas sedan till ett annat land. Eftersom stationeringstiden är begränsad måste värvning och handledning av spioner lämnas över mellan underrättelseofficerare. Säkerhetspolisen arbetar med två olika metoder för att identifiera spio- ner. En metod är att leta direkt efter dem. En annan är att kartlägga och följa utländska underrättelseofficerares aktiviteter för att kunna identifiera misstänkta spioner. Genom att underrättelseofficerare lämnar hand- ledningen vidare till sina efterträdare innebär byte av underrättelseoffi- cerare en möjlighet för Säkerhetspolisen att kunna identifiera misstänkta spioner. Det är emellertid svårt, eftersom underrättelseofficerare är tränade i att undvika värdlandets säkerhetstjänst. Det innebär att iakttagelser som görs beträffande en underrättelseofficer kanske inte byggs på med nya iakttagelser förrän efter flera byten på posten. behöver informationen från kartläggningen behållas. Andra staters underrättelseverksamhet i bygger således på långsiktigt arbete. En anledning till det är att det är relativt svårt att värva spioner. Det strävar därför efter att använda dem . Spioneri är oftast en livslång sysselsättning. Det finns också exempel både i och utomlands på att spioner rekryterar sina barn som spioner. Säkerhetspolisens kontraspionageverksamhet måste därför anpassas till det långsiktiga tidsperspektivet. Oavsett vilken metod Säkerhetspolisen använder kräver kontraspionage lagring av information . Exempelvis använder Säkerhetspolisen regelmässigt uppgifter som inhämtades . Erfarenheter från både och andra länder visar att det ofta tar mycket innan en spion avslöjas. Spionerna och kan nämnas som exempel på det. Nuvarande bestämmelser är inte ändamålsenliga Säkerhetspolisen har möjlighet att behandla personuppgifter i sin brottsbekämpande verksamhet . Enligt 6 kap. 12 § första stycket polisdatalagen ska personuppgifter som gjorts gemensamt tillgängliga gallras senast efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Om det finns särskilda skäl får Säkerhetspolisen dock besluta att personuppgifter får bevaras längre, om uppgifterna fortfarande behövs för det ändamål för vilket de behandlas. Säkerhetspolisen kan således under vissa förutsättningar be- sluta att förlänga gallringsfristen för personuppgifter inom kontraspiona- get . Säkerhetspolisen förlänger regelmässigt gallringsfristen för person- uppgifter i kontraspionaget. Från till fattades enligt Säkerhetspolisen drygt 400 enskilda beslut om att förlänga gallringsfristen för personuppgifter som behandlas inom kontraspionaget. Det rör sig således om fler än tusen enskilda förlängningsbeslut . Hanteringen medför omfattande administrativt arbete för personal med särskild sakkunskap på området, eftersom lagstiftningen kräver att det fattas beslut om bevarande i varje enskilt fall. Det finns risk för att personuppgifter, som borde bevaras, tas bort på grund av att Säkerhetspolisen i vissa fall måste prioritera operativa insatser före förlängningsbeslut. Inom kontraspionaget är det dessutom ofta svårt att för beslut om förlängning veta exakt vilka uppgifter som kommer att behövas . Förlängning av fristen kan inte beslutas retroaktivt. Säkerhetspolisen har uppgett att myndigheten i ett flertal fall har gallrat personuppgifter där det i efterhand har visat sig att informationen varit relevant och därför borde ha behandlats längre. Uppgifter inom kontraspionaget ska få behandlas längre På grund av kontraspionagets särdrag finns det alltså enligt regeringens mening behov av att behandla personuppgifter hänförliga till sådan verk- samhet under betydligt än vad huvudregeln i polisdatalagen medger. Säkerhetspolisen har visserligen möjlighet att genom särskilda beslut förlänga tiden för behandling. Det är emellertid inte rimligt att lägga betydande resurser på att regelbundet fatta beslut om sådan förlängning när det ofta på förhand kan förutses att förlängning av fristen är nödvändig. Risken för att behandlingen av uppgifter upphör på grund av tidsbrist eller felaktiga beslut bör också vägas in. Mot den bakgrunden anser regeringen att Säkerhetspolisen bör få behandla personuppgifter hänförliga till området kontraspionage än vad som är tillåtet . Det gäller framför allt uppgifter där grunden för registreringen är att personen är en misstänkt utländsk underrättelseofficer och uppgifter om hans eller hennes närmaste anhöriga. Det gäller också uppgifter om misstänkta spioner och deras närmaste anhöriga och händelser kopplade till dessa personer. Om sådana personuppgifter får behandlas skulle det ge Säkerhetspolisen större möjligheter att inte bara identifiera misstänkta spioner och underrättelseofficerare, utan också att avföra eventuella felaktiga misstankar. På så sätt kan en förlängd tidsfrist i det här fallet också till viss del stärka integritetsskyddet. Frågan är hur tidsfristen för behandling av aktuella uppgifter bör be- Prop. 2018/19:163 stämmas. Från integritetssynpunkt är det viktigt att personuppgifter inte måste tidsfristen bestämmas på ett sätt som är ändamålsenligt och tillgodoser de behov som finns. Försvarssekretessen, som regleras i 15 kap. 2 § offentlighets- och sek- retesslagen (2009:400), gäller enligt 4 § offentlighets- och sekretessför- ordningen (2009:641) om uppgifterna rör underrättelseverksam- heten inom underrättelse- och säkerhetstjänsten. Den svenska militära underrättelsetjänstens arbete och källor skyddas således och man skulle kunna argumentera för att Säkerhetspolisens uppgifter som rör kontraspionage borde kunna behandlas . En annan möjlighet är att utgå från hur länge sekretess gäller för uppgifter i brottsbekämpande verksamhet, vilket är . En så lång tidsfrist som någon av de nu nämnda skulle dock innebära betydligt större integritetsintrång än och markant förlänga tiden för hur länge personuppgifter för denna typ av verksamhet får behandlas. Att bestämma tidsfristen till som Säkerhetspolisen föreslår är därför inte aktuellt. Erfarenheterna har visat att spioneri under 30–inte är ovanligt. Med beaktande av det anser regeringen att fristen för hur länge person- uppgifter i kontraspionageverksamheten ska få behandlas inte bör vara kortare än . Behandlingen av personuppgifterna kan då fortgå som motsvarar en spions yrkesverksamma liv. Med hänsyn till att det är fråga om mycket allvarliga brott anser regeringen att den föreslagna tidsfristen är en rimlig avvägning mellan samhällsintressena och enskildas integritet. Datainspektionen anser att utredningen inte har visat att det finns ett behov av att spara uppgifter som föreslås. Inspek- tionen anser också att riskerna för den enskildes personliga integritet inte har analyserats i tillräcklig utsträckning. Tiden för behandling av uppgifter i kontraspionageverksamheten förlängs som nämnts regelmässigt. Förslaget innebär därför inte någon större skillnad mot den ordning som gäller. Regeringen anser vidare att utredningen gör en tillräcklig analys av riskerna för enskildas personliga integritet. Det bör således i den nya lagen tas in en bestämmelse som föreskriver att personuppgifter som hänför sig till sådan säkerhetshotande verksamhet som avses i 18 och 19 kap. och som utövas av främmande makt inte får behandlas längre än efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brott eller brottslig verksamhet. Undantag bör göras för uppgifter som behandlas i en uppgiftssamling för bearbetning och analys. För sådana uppgifter bör tidsfristen gälla (avsnitt 12.2.3). 12.2.5Ärenden om utredning av eller lagföring för brott Regeringens förslag: Bestämmelser om begränsningar i möjligheten att behandla gemensamt tillgängliga uppgifter i brottsanmälningar, av- slutade förundersökningar och andra liknande utredningar ska tas in i den nya lagen. Det ska framgå av bestämmelserna att de endast be- gränsar behandling för ändamål inom lagens tillämpningsområde. 2018/19:163 Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag I 3 kap. 10–12 §§ polisdatalagen regleras hur länge personuppgifter som har gjorts gemensamt tillgängliga i ärenden om utredning av eller lagföring för brott längst får behandlas automatiserat i den brottsbekämpande verksamheten. Där föreskrivs bl.a. att om en brottsanmälan avskrivs på grund av att den påstådda gärningen inte utgör brott, får personuppgifterna i anmälan inte längre behandlas i den brottsbekämpande verksamheten. När det gäller förundersökningar och andra liknande utredningar föreskrivs att personuppgifter inte får behandlas i den brottsbekämpande verksamheten när det har förflutit efter utgången av det kalenderår då en dom, eller ett beslut med anledning av domstolsprövning, vann laga kraft eller förflutit från utgången av det kalenderår då förundersökningen lades ned eller avslutades på annat sätt. I 3 kap. 13 § föreskrivs att om en förundersökning har lagts ned, om åtal har lagts ned eller om frikännande dom som har vunnit laga kraft har meddelats, får personen inte vara sökbar som misstänkt. Bestämmelserna gäller genom en hänvisning i 6 kap. 13 § polisdatalagen i Säkerhetspolisens verksamhet. Samma reglering om längsta tid för behandling av personuppgifter som Bestämmelserna om längsta tid för behandling av personuppgifter i ärenden om utredning av och lagföring för brott är utförligt motiverade i förarbetena till polisdatalagen (prop. 2009/10:85 s. 223 f.). Skälen bakom den nuvarande ordningen gör sig fortfarande gällande. Det har inte heller framkommit skäl att ändra regelverket. Därför bör bestämmelser med motsvarande innehåll tas in i den nya lagen. Bestämmelserna i 3 kap. 10 och 11 §§ polisdatalagen hindrar inte att personuppgifter som behandlas automatiserat i den brottsbekämpande verksamheten fortsätter att behandlas automatiserat för ändamål utanför lagens tillämpningsområde än vad som anges i bestäm- melserna. De inskränker alltså enbart behandling i den brottsbekämpande verksamheten, vilket innebär att personuppgifterna t.ex. får behandlas automatiserat för arkivändamål. För att tydliggöra det bör det framgå av bestämmelserna i den nya lagen att de enbart reglerar hur länge person- uppgifter får behandlas för ändamål inom lagens tillämpningsområde. 12.2.6Möjlighet att förlänga tiden för behandling Regeringens förslag: Om det finns särskilda skäl ska Säkerhetspolisen få besluta att personuppgifter får behandlas än vad som anges för en viss kategori av uppgifter, om uppgifterna fortfarande behövs för det ändamål som de behandlas för. behandlas med stöd av ett sådant beslut ska frågan om fortsatt prövas på nytt senast vid utgången av det tionde efter beslutet eller, om det är fråga om uppgifter i en uppgiftssamling som har skapats för att bearbeta och analysera information, senast vid utgången av det tredje kalenderåret efter Tiden för behandling får förlängas med längst som den ursprungliga eller, om uppgifterna rör säkerhetshotande verksamhet eller avser någon som är , Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: Säkerhetspolisen har enligt 6 kap. 12 § tredje stycket polisdatalagen möjlighet att besluta att personuppgifter får bevaras längre än vad som anges i paragrafen, om det finns särskilda skäl och uppgifterna fortfarande behövs för det ändamål för vilket de För uppgifter som får bevaras längst får tiden förlängas med och för uppgifter som får bevaras längst får tiden förlängas Säkerhetspolisen bör även fortsättningsvis ha möjlighet att i vissa fall besluta om förlängd tid för behandling. En motsvarande bestämmelse bör därför tas in i den nya lagen, men den bör formuleras så att den anger hur länge uppgifterna får behandlas i stället för hur länge de får bevaras. På samma sätt som bör Säkerhetspolisen, om det finns särskilda skäl, få förlänga fristen för behandling av uppgifter om personer som vid tiden för registreringen inte har fyllt med som längst . Regeringen instämmer vidare i utredningens bedömning att Säkerhetspolisen bör ges möjlighet att förlänga tidsfristen även för behandling av personuppgifter som rör viss säkerhetshotande verksamhet och som får behandlas längst . En förlängning motsvarande den tid som personuppgifterna ursprungligen får behandlas skulle dock i dessa fall leda till att uppgifterna får behandlas alltför . I likhet med vad som gäller för gemensamt tillgängliga uppgifter i övrigt bör uppgifterna få behandlas som längst efter beslutet, om inte ett nytt beslut om förlängning fattas inom den fristen. 12.3Rätt att meddela föreskrifter om längsta tid för behandling Regeringens förslag: En upplysningsbestämmelse som motsvarar den befintliga bestämmelsen om rätt att meddela föreskrifter avseende fortsatt behandling av vissa kategorier av personuppgifter ska tas in i den nya lagen, men det ska förtydligas att den endast omfattar behandling av personuppgifter för ändamål inom tillämpningsområdet. Det ska även i den nya lagen finnas en upplysningsbestämmelse om rätt att meddela föreskrifter avseende behandling av personuppgifter för vetenskapliga, statistiska eller historiska ändamål. Bestämmelsen ska formuleras så att det framgår att föreskriftsrätten även omfattar behandling för arkivändamål av allmänt intresse. En upplysningsbestämmelse som motsvarar befintlig bestämmelse om rätt att meddela föreskrifter avseende digitalt arkiverade uppgifter ska tas in även i den nya lagen. Det ska dock förtydligas att 2018/19:163 bestämmelsen endast omfattar behandling av personuppgifter för ändamål inom tillämpningsområdet och att föreskriftsrätten avser begränsning av behandlingen av arkiverade uppgifter. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens förslag Föreskrifter om fortsatt behandling av vissa kategorier av personuppgifter Enligt 3 kap. 12 § polisdatalagen, som genom en hänvisning i 6 kap. 13 § även gäller för Säkerhetspolisen, upplyses om att regeringen har möjlighet att meddela föreskrifter om att vissa kategorier av personuppgifter i en brottsanmälan, förundersökning eller annan utredning som handläggs enligt bestämmelserna i 23 kap. får behandlas i den brottsbekämpande verksamheten än vad som anges i 3 kap. 10 och 11 §§. Skälen för regleringen är utförligt redovisade i förarbetena till polisdatalagen (prop. 2009/10:85 s. 226 f.). De gör sig alltjämt gällande och en motsvarande bestämmelse som upplyser om rätt att meddela föreskrifter bör därför tas in i den nya lagen. Föreskrifter om fortsatt behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål Regeringen eller den myndighet som regeringen bestämmer har enligt 6 kap. 7 § tredje stycket och 14 § polisdatalagen möjlighet att meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Motsvarande bestämmelse som upplyser om att regeringen kan meddela föreskrifter bör finnas i den nya lagen. Bestämmelsen bör dock formuleras om så att föreskriftsrätten avser hur länge personuppgifterna får behandlas. För att terminologin ska motsvara dataskyddsförordningens och registerförfattningarna inom brottsdatalagens tillämpningsområde bör det vidare framgå att före- skriftsrätten även omfattar behandling för arkivändamål av allmänt in- tresse (jfr prop. 2017/18:269 s. 124 f.). Föreskrifter om användning av digitalt arkiverade uppgifter Regeringen eller den myndighet som regeringen bestämmer har enligt 6 kap. 6 § tredje stycket polisdatalagen möjlighet att meddela föreskrifter om digital arkivering. I 19 § polisdataförordningen föreskrivs att person- uppgifterna ska avskiljas från myndighetens brottsbekämpande verksam- het vid digital arkivering. Syftet är att uppgifterna inte ska vara digitalt åtkomliga i den verksamheten. Det ska alltså inte vara möjligt för vem som helst att enkelt söka fram de digitalt arkiverade personuppgifterna. Normalt bör det bara vara arkivarier som förfogar över uppgifterna och kan göra sökningar i dem. Brottsanmälningar, förundersökningar och andra brottsutredningar bör få behandlas för arkivändamål med stöd av arkivlagen trots att de inte längre får behandlas i den brottsbekämpande verksamheten. Med hänsyn till att arkivlagen inte hindrar eller ställer upp några be- Prop. 2018/19:163 gränsningar för fortsatt automatiserad behandling av arkiverade uppgifter finns det även i fortsättningen behov av att kunna meddela föreskrifter till skydd för den personliga integriteten vid digital arkivering. En be- stämmelse motsvarande den i 6 kap 6 § tredje stycket polisdatalagen bör därför tas in i den nya lagen. Det bör dock tydliggöras att föreskriftsrätten avser begränsningar av den behandling som sker av arkiverade uppgifter inom lagens tillämpningsområde (jfr prop. 2017/18:269 s. 127 f.). 13.1Vad innebär personuppgiftsansvar? 13.1.1Vem är personuppgiftsansvarig? Regeringens förslag: Personuppgiftsansvarig ska i den nya lagen vara den som ensam eller tillsammans med andra bestämmer ändamålen med eller medlen för behandlingen av personuppgifter. Säkerhetspolisen ska vara personuppgiftsansvarig för den person- uppgiftsbehandling som myndigheten utför. ska vara personuppgiftsansvarig för den behandling som myndigheten utför. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Personuppgiftsansvar är ett centralt begrepp i dataskyddslagstiftningen. Utgångspunkten är att det alltid ska finnas någon som bär ansvaret för att dataskyddsreglerna följs vid be- handling av personuppgifter och som den enskilde kan vända sig till för att göra sina rättigheter gällande. Den personuppgiftsansvarige har det ansvaret. Det bör därför definieras vad som avses med personuppgifts- ansvarig. I brottsdatalagen definieras personuppgiftsansvarig som den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Med hänsyn till att definitionen innehåller uttrycket behörig myndighet bör i stället den definition som finns i 3 § personuppgiftslagen (1998:204) och som genom hänvisningar i 2 kap. 2 § och 6 kap. 4 § polisdatalagen (2010:361) gäller för Säkerhetspolisen användas. Personuppgiftsansvarig bör därför definieras som den som ensam eller tillsammans med andra bestämmer ändamålen med eller medlen för behandlingen av personuppgifter. Även om det definieras vad som avses med personuppgiftsansvarig bör det av den nya lagen tydligt framgå vem som är personuppgiftsansvarig. I 6 kap. 5 § första stycket polisdatalagen anges att Säkerhetspolisen är personuppgiftsansvarig för den behandling av personuppgifter som myn- digheten utför. Det bör även gälla enligt den nya lagen. Eftersom Polis- myndigheten i vissa fall ska tillämpa lagen bör den myndigheten vara personuppgiftsansvarig för den behandling som myndigheten utför enligt lagen. 2018/19:163 13.1.2 Regeringens förslag: Personuppgiftsansvaret ska omfatta all behand- ling av personuppgifter som utförs under respektive myndighets led- ning eller på dess vägnar. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Av den nya lagen ska det framgå vad Säkerhetspolisen respektive i egenskap av personupp- giftsansvarig är skyldig att göra i olika situationer, t.ex. samarbeta med tillsynsmyndigheten, vidta säkerhetsåtgärder och utse dataskyddsombud. Detta bör regleras i ett särskilt kapitel i lagen som även omfattar person- uppgiftsbiträden och deras skyldigheter. I 3 kap. 1 § brottsdatalagen (2018:1177) föreskrivs att den personupp- giftsansvarige är ansvarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Det bör även i den nya lagen klargöras hur långt personuppgiftsansvaret sträcker sig. På så sätt tydliggörs att den personuppgiftsansvarige har ett helhetsansvar genom att personuppgiftsansvaret omfattar dels den personuppgiftsbehandling som förekommer vid myndigheten, dels den personuppgiftsbehandling som ett personuppgiftsbiträde utför på myndighetens vägnar. Den personuppgifts- ansvariges helhetsansvar får också betydelse för det skadeståndsrättsliga ansvaret (avsnitt 16.3). Det är myndigheten som är personuppgiftsansvarig, inte chefen eller någon anställd. Ytterst är det dock respektive myndighetschef som bär ansvaret för hur personuppgifter behandlas. Den omständigheten att det har utsetts ett dataskyddsombud påverkar inte personuppgiftsansvaret, eftersom dataskyddsombud inte har något ansvar för personuppgiftsbe- handlingen (avsnitt 13.3). Ingen reglering av gemensamt Regeringens bedömning: Den nya lagen bör inte innehålla någon särskild bestämmelse om gemensamt personuppgiftsansvar. Utredningens förslag överensstämmer inte med regeringens bedöm- Utredningen föreslår att Säkerhetspolisen ska få vara gemensamt personuppgiftsansvarig med annan endast i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. Remissinstanserna: Ingen av remissinstanserna har yttrat sig särskilt Skälen för regeringens bedömning Personuppgiftsansvarig definieras som den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för be- En sådan definition föreslås som nämnts även i den nya Två eller flera personuppgiftsansvariga kan därför vara gemensamt personuppgiftsansvariga för viss behandling. Ett samarbete mellan två eller flera myndigheter medför inte automatiskt ett gemensamt ansvar för behandlingen av personuppgifter. Det avgörande är i stället om de deltagande myndigheterna i någon mån tillsammans bestämmer ändamålen med och medlen för behandlingen. I många fall då myndigheter samarbetar framgår det av de faktiska omständigheterna vem som är ansvarig för vilken personuppgiftsbehandling, t.ex. genom att det endast är en myndighet som har tillgång till personuppgifterna eller it- systemet, eller om myndigheterna agerar i olika skeden av en process. Det förhållandet att två myndigheter använder samma datasystem eller att en myndighet ger en annan myndighet direktåtkomst till ett visst datasystem innebär inte heller per automatik att det uppstår ett gemensamt personuppgiftsansvar. Även om gemensamt personuppgiftsansvar mellan myndigheter är till- låtet, torde det i praktiken vara ovanligt. I de allra flesta fall är den per- sonuppgiftsbehandling som förekommer väl avgränsad och går att härleda till en viss myndighet.