sou · H8B368 · 2020-11-27 00:00:00 — Betänkandet innehåller även förslag om att , under vissa omständigheter, ska kunna medge en utländsk underrättelse- eller säkerhetstjänst direktåtkomst till vissa personuppgifter. Betänkandet har remissbehandlats och bereds i . 4Internationella och nationella regler om integritetsskydd () allmänna förklaring om de mänskliga rättigheterna antogs av . Förklaringen omfattar politiska, medborgerliga, sociala, ekonomiska och kulturella rättigheter. Även om den allmänna förklaringen inte är bindande för medlemsstaterna ses den som ett uttryck för den internationella opinionens krav. Skyddet för den personliga integriteten behandlas i artikel 12. Där anges att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende. Var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. Vidare anges i artikel 29 att en person endast får underkastas sådana inskränkningar som har fastställts i lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras fri- och rättigheter samt för att tillgodose ett demokratiskt samhälles berättigade krav på moral, allmän ordning och allmän välfärd. FN har också antagit den internationella konventionen om medborgerliga och politiska rättigheter som trädde 1976, till vilken är ansluten. Skyddet för den personliga integriteten regleras i artikel 17 i konventionen, vilken till sitt innehåll är likvärdig med ovan nämnda artikel 12 i den allmänna förklaringen. mänskliga rättigheterna har inrättats för att övervaka att medlemsstaterna efterlever sina skyldigheter enligt konventionen. antog riktlinjer om datoriserade register med personuppgifter. Enligt riktlinjerna får medlemsstaterna i sin nationella lagstiftning om datoriserade register med personuppgifter inte samla in eller behandla personuppgifter på ett olagligt sätt eller använda uppgifterna för syften som står i strid med FN:s Internationella och nationella regler om integritetsskydd Ändamålet med ett register ska vara specificerat, berättigat och på något sätt uttryckligt angivet för den som berörs. Detta för att försäkra att alla personuppgifter som samlas in och behandlas är relevanta och adekvata för det angivna ändamålet, att uppgifterna inte används i strid med ändamålet och att uppgifterna inte bevaras längre än som krävs för att uppfylla det angivna ändamålet. och utveckling () har utarbetat riktlinjer angående integritetsskyddet och flödet av personuppgifter över gränserna. Riktlinjerna antogs av som en rekommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. har godtagit rekommendationerna och därmed åtagit sig att följa riktlinjerna. Riktlinjerna, som är att betrakta som minimiregler, motsvarar i princip bestämmelserna i dataskyddskonvention och är tillämpliga på personuppgifter inom både den offentliga och den privata sektorn. Riktlinjerna gäller såväl för uppgifter som lagras automatiskt som uppgifter som förs manuellt. Riktlinjerna innehåller grundläggande principer till skydd för den personliga integriteten, bl.a. att personuppgifter ska vara relevanta för de ändamål för vilka de ska användas. Vidare anges att personuppgifterna även ska vara riktiga och fullständiga samt hållas aktuella. En annan grundläggande princip är att de ändamål för vilka personuppgifterna samlades in ska vara preciserade senast vid insamlingen. De rättigheter som anges i FN:s allmänna förklaring om de mänskliga rättigheterna har utvecklats vidare av i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Konventionen gäller som lag i (prop. 1993/94:117). Internationella och nationella regler om integritetsskydd 19 § regeringsformen framgår att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen. Det är framför allt artikel 8 i konventionen som har betydelse för skyddet av den personliga integriteten. Av artikeln framgår att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka denna rätt annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd, till förebyggande av oordning eller brott, till skydd för hälsa och moral eller för andra personers fri- och rättigheter. Tillämpningsområdet för artikeln omfattar behandling av personuppgifter om privatliv, familjeliv, hem eller korrespondens. Artikeln innebär att staten ska avhålla sig från ingrepp i den skyddade rättigheten men också en skyldighet för staten att vidta åtgärder för att skydda den enskildes privata sfär (, H., Mänskliga rättigheter i europeisk praxis, 5 uppl., 2015, s. 365 f.). En inskränkning i en konventionsskyddad rättighet ska ha stöd i lag. Lagen ska vara så preciserad att inskränkningarna är förutsebara och att lagen är allmänt tillgänglig. har i praxis slagit fast att intrånget ska vara nödvändigt, dvs. det ska finnas ett ”angeläget samhälleligt behov” och inskränkningen ska stå i rimlig proportion till det syfte som ska tillgodoses genom den. De dataskyddsregler som antagits inom ramen för finns i första hand i konvention om skydd för enskilda vid automatisk databehandling av personuppgifter1 (ETS 108), den s.k. dataskyddskonventionen. Konventionen, som trädde i kraft , kompletteras av ett antal av ministerkommittén antagna icke bindande rekommendationer om hur personuppgifter bör behandlas inom olika områden. Dataskyddskonventionen gäller för 47 medlemsstater, men även , , , , , , och är parter till konventionen. 1Convention for the Protection of Individuals with regard to Automatic Processing of (ETS No. Internationella och nationella regler om integritetsskydd Dataskyddskonventionen brukar ses som en precisering av artikel 8 i och syftar till att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatiserad behandling av personuppgifter (artikel 1). Konventionen tar sikte på behandling av personuppgifter i automatiserade personregister och automatiserad personuppgiftsbehandling i allmän och enskild verksamhet. Personuppgifterna ska enligt konventionen inhämtas och behandlas på ett korrekt sätt och de ska vara relevanta med hänsyn till ändamålet (artikel 5). Vissa kategorier av personuppgifter får inte behandlas genom automatiserad databehandling om inte den nationella lagstiftningen ger ett ändamålsenligt skydd (”appropriate safeguards”). Till sådana kategorier hör personuppgifter som avslöjar ras, politisk tillhörighet, religiös tro eller övertygelse i övrigt, sexualliv samt uppgifter om brott (artikel 6). Konventionen innehåller även bestämmelser om enskildas rätt att få veta att information lagras om honom eller henne och rätten att vid behov få den korrigerad (artikel 8). Restriktioner när det gäller rättigheterna i konventionen är endast möjliga när det handlar om ett överordnat intresse, såsom statens säkerhet eller försvar (artikel 9). Enligt artikel 10 i dataskyddskonventionen, som även omfattar personuppgiftsbehandling som rör nationell säkerhet, åtar sig konventionsstaterna att införa lämpliga sanktioner och rättsmedel (”appropriate sanctions and remedies”) för överträdelser av sådana bestämmelser i den nationella lag genom vilka de grundläggande principer för dataskydd som har angetts i konventionen har genomförts. Konventionen anger dock inte vilka krav som ställs på sådana sanktioner. antog ett tilläggsprotokoll till dataskyddskonventionen (ETS 181). Det innehåller bestämmelser om tillsynsmyndigheter och överföring av personuppgifter till länder som inte är bundna av konventionen. Tilläggsprotokollet trädde i kraft . Av protokollet framgår bl.a. att varje konventionsstat ska se till att en eller flera myndigheter ansvarar för att kontrollera att de åtgärder respekteras som inom dess nationella lagstiftning ger verkan åt de principer som anges i konventionen. Tilläggsprotokollet innehåller vidare bestämmelser som anger att konventionsstaterna ska vidta åtgärder för att säkerställa att överföring av personuppgifter till ett land som inte är konventionspart Internationella och nationella regler om integritetsskydd bara får ske om landet i fråga säkerställer en adekvat skyddsnivå för uppgifterna. Konventionens roll som grundläggande dokument för automatiserad behandling av personuppgifter inom EU har i princip övertagits av EU:s reglering i form av direktiv och förordning. EU:s reglering omfattar emellertid inte behandling av personuppgifter inom områden som allmän säkerhet, försvar och statens säkerhet, dvs. områden som ligger utanför unionsrätten. På dessa områden är dataskyddskonventionen därför fortfarande av betydelse. inledde en översyn av konventionen och rekommendationerna. medlemsstater antog ett ändringsprotokoll2 (CETS 223), vilket träder i kraft när det har ratificerats av alla 47 medlemsstater. Ändringsprotokollet kan också träda i kraft om det då har ratificerats av 38 medlemsstater, men gäller följaktligen i så fall endast för de stater som har ratificerat protokollet. har tillsammans med 37 andra medlemsstater undertecknat ändringsprotokollet. Därtill har ändringsprotokollet undertecknats av , , och Uruguay.3 hade åtta stater4 ratificerat ändringsprotokollet. 4.3.2Mål i för mänskliga rättigheter gav in ett klagomål till för mänskliga rättigheter () avseende regleringen av den signalspaning som bedrivs av . Enligt står lagstiftningen om och tillämpningen av signalspaning i försvarsunderrättelseverksamhet i strid med artikel 8 (rätt till skydd för privat- och familjeliv) och artikel 13 (rätt till ett effektivt rättsmedel). Regeringen bestred att kan anses vara ett offer för en kränkning i konventionens mening och att den aktuella lagstiftningen och tillämpningen av densamma skulle strida mot . 2Protocol amending the Convention for the Protection of Individuals with regard to Automatic Processing of (CETS No. 3Status om staters undertecknande av CETS No. 4Bulgarien, , , , , och , samt . Internationella och nationella regler om integritetsskydd fann i sin dom att någon kränkning av artikel 8 i inte förekommit. Mot den bakgrunden fann domstolen inte anledning att särskilt pröva klagomålet avseende artikel 13 (mot , 35253/08). överklagade domen och beslutade att pröva målet i stor sammansättning. Målet behandlades vid en muntlig förhandling . Vid samma tillfälle behandlade i stor sammansättning ett mål som rör den brittiska signalspaningslagstiftningen (Watch och andra mot , 58170/13). har ännu inte lämnat sina slutliga avgöranden i de två målen. Av Europeiska unionens stadga om de grundläggande rättigheterna framgår att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs (artikel 8). I artikel 52 i stadgan anges i vilken utsträckning inskränkningar får göras i de rättigheter som erkänns i stadgan. Utgångspunkten är att sådana inskränkningar endast får göras i lag och ska vara förenliga med det väsentliga innehållet i rättigheterna. Begränsningar får endast göras om de är nödvändiga och svarar mot ett allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. EU-stadgan är rättsligt bindande för medlemsstaterna vid tillämpning av unionsrätten. Stadgan ska således inte tillämpas på nationell lagstiftning inom områden där EU inte har lagstiftningskompetens (artikel 6 i Fördraget om Europeiska unionen). Internationella och nationella regler om integritetsskydd utgör och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) grunden för generell personuppgiftsbehandling inom EU (GDPR). Det huvudsakliga syftet med GDPR är bl.a. att säkerställa en enhetlig skyddsnivå över hela unionen och att undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. GDPR är direkt tillämplig i alla EU:s medlemsstater men förutsätter och möjliggör kompletterande och specificerande nationella bestämmelser av olika slag. Av artikel 2 GDPR framgår att förordningen inte ska tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten, behandling som sker inom EU:s gemensamma utrikes- och säkerhetspolitik, behandling som utförs av en fysisk person och som är av rent privat natur samt behandling som sker inom brottsbekämpande verksamhet. Försvar och nationell säkerhet är verksamhet som inte omfattas av unionsrätten (artikel 4.2 Fördraget om Europeiska unionen). GDPR reglerar bl.a. grundläggande principer för behandling av personuppgifter, den registrerades rättigheter, personuppgiftsansvar, tillsyn över personuppgiftsbehandling och rätten för enskilda att få tillgång till rättsmedel och sanktioner mot ansvariga som inte lever upp till förordningens krav. Utöver GDPR gäller även lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Enligt 1 kap. 2 § dataskyddslagen gäller bestämmelserna i dataskyddsförordning och dataskyddslagen även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. Europeiska dataskyddsstyrelsen saknar emellertid behörighet inom detta utvidgade tillämpningsområde (prop. 2017/18:105 s. 184). Särskilda undantag från det utvid- Internationella och nationella regler om integritetsskydd gade tillämpningsområdet har gjorts för bl.a. lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. Behandlingen av personuppgifter i nämnda verksamheter ska således ske enligt denna speciallag i stället för GDPR. Förslag till en ny lag om behandling av personuppgifter vid finns i SOU 2018:63, se avsnitt 3.7.2. Som nämnts ovan omfattar GDPR inte försvar och nationell säkerhet. Med detta i beaktande ser utredningen dock ett upplysningsvärde i att kort redogöra för en dom från som rör överföring av personuppgifter. meddelade dom i målet C-311/18 Data Protection Commissioner mot Facebook och angående en begäran om förhandsavgörande av Förvaltningsöverdomstolen i . I målet behandlas frågan om GDPR:s tillämplighet vid överföring av personuppgifter mellan näringsidkare i kommersiellt syfte i en medlemsstat i EU () och ett annat land () och vilka skyddsåtgärder som behöver finnas för att en överföring av personuppgifter ska vara tillåten i ett sådant fall. slår i sin dom fast att artikel 2.1 och 2.2 i GDPR ska tolkas så, att en överföring av personuppgifter i kommersiellt syfte från en näringsidkare etablerad i en medlemsstat till en annan näringsidkare etablerad i ett annat land, omfattas av förordningens tillämpningsområde trots att dessa uppgifter under eller efter överföringen kan komma att behandlas av myndigheterna i det andra landet för ändamål som avser säkerhet, försvar och nationell säkerhet. slår vidare fast att det särskilda avtal, Privacy Shield, mellan och om överföring av personuppgifter i kommersiellt syfte inte ger ett tillräckligt skydd för personuppgifter när dessa förs över till . Ogiltigförklarandet av Privacy Shield innebär att det är tillåtet för personuppgiftsansvariga i EU att med Privacy Shield som grund överföra personuppgifter till mottagare i . Domstolen anser däremot att kommissionens beslut om standardavtalsklausuler är giltigt och att sådana kan användas Internationella och nationella regler om integritetsskydd vid överföring till länder utanför EU och EES – i tillämpliga fall – tillsammans med ytterligare skyddsåtgärder. Ett grundläggande syfte med GDPR är bl.a. att enskildas personuppgifter skyddas när uppgifterna behandlas för kommersiella syften. dom visar de höga skyddskrav som GDPR ställer på behandlingen av personuppgifter som har överförts av näringsidkare ikommersiella syften från ett EU/EES-land till ett icke-EU/EES- land. Då försvar och nationell säkerhet inte omfattas av medför dom inga ändrade krav när det gäller överföring av personuppgifter mellan myndigheter för försvars- och säkerhetsändamål. 4.4Nationell reglering till skydd för den personliga integriteten Regeringsformen innehåller grundläggande bestämmelser till skydd för den personliga integriteten. Enligt målsättningsstadgandet i 1 kap. 2 § första stycket ska den offentliga makten utövas med respekt bl.a. för den enskilda människans frihet och enligt fjärde stycket ska det allmänna värna om den enskildes privat- och familjeliv. Bestämmelserna har dock inte någon bindande verkan för det allmänna och kan följaktligen inte ligga till grund för några individuella rättigheter (prop. 1975/76:209 s. 128 och prop. 2009/10:80 s. 173). I 2 kap. regeringsformen finns bestämmelser som skyddar enskildas integritet i en vidare mening. Enligt 2 kap. 6 § andra stycket regeringsformen är var och en – utöver vad som anges i första stycket i paragrafen om bl.a. påtvingade kroppsliga ingrepp – skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Grundlagsskyddet omfattar enbart betydande intrång. Bestämmelsen infördes i syfte att stärka skyddet för den personliga integriteten. Begränsning av skyddet får enligt 2 kap. 20 § regeringsformen göras i lag, men endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får inte gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen. Internationella och nationella regler om integritetsskydd ningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning (2 kap. 21 §). I förarbetena till ändringen i 2 kap. 6 § framhålls att det är naturligt att det läggs stor vikt vid uppgifternas karaktär vid bedömningen av hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden. Ju känsligare uppgifterna är, desto mer ingripande anses det allmännas hantering av uppgifterna normalt vara. Även hantering av ett fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan enligt förarbetena normalt anses vara mer känslig än t.ex. en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Mängden uppgifter kan också vara en betydelsefull faktor i sammanhanget (prop. 2009/10:80 s. 183). Offentlighets- och sekretesslagen (2009:400) innehåller ett flertal bestämmelser om sekretess till skydd för uppgifter om enskildas personliga förhållanden, vilka också medför ett skydd för enskildas personliga integritet. De bestämmelser som i första hand är tillämpliga vid Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet och vid myndighetens behandling av personuppgifter i sådan verksamhet är 15 kap. 1 och 2 §§ samt 38 kap. 4 § offentlighets- och sekretesslagen. I nämnda bestämmelser i 15 kap. regleras utrikes- och försvarssekretessen. Enligt 15 kap. 1 § gäller sekretess för uppgift som rör förbindelser med en annan stat eller i övrigt rör annan stat, mellanfolklig organisation, myndighet, medborgare eller juridiska person i annan stat eller statslös, om det kan antas att det stör mellanfolkliga förbindelser eller på annat sätt skadar landet om uppgiften röjs. För uppgift i en allmän handling gäller sekretessen i högst . Internationella och nationella regler om integritetsskydd Av 15 kap. 2 § följer, såvitt nu är av intresse, att sekretess gäller för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. För uppgift i en allmän handling gäller sekretessen i högst . Om det finns särskilda skäl får regeringen meddela föreskrifter om att sekretessen ska gälla . Regeringen har genom 4 § 2 offentlighets- och sekretessförordningen (2009:641) förordnat att sekretessen för uppgifter som rör underrättelseverksamheten inom underrättelse- och säkerhetstjänsten gäller i högst . 15 kap. 1 och 2 §§ offentlighets- och sekretesslagen är tillämpliga på uppgifter som hänför sig till eller rör viss verksamhet. Det innebär att de gäller i all verksamhet där sådana uppgifter förekommer. Enligt 38 kap. 4 § offentlighets- och sekretesslagen gäller sekretess för Försvarets radioanstalts underrättelse- och säkerhetsverksamhet för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. För uppgift i en allmän handling gäller sekretessen i högst . 5Regleringen i andra nordiska länder I detta avsnitt redovisas översiktligt den reglering av internationellt samarbete på försvars- och utrikesunderrättelseområdet som finns i , och . Regleringarna i de olika länderna är inte fullt jämförbara då de i olika grad anger specifika bestämmelser för just signalspaningen. Även organisatoriska skillnader föreligger. är en självständig civil myndighet som bedriver signalspaning. Motsvarande signalspaning bedrivs i , och av funktioner som organisatoriskt ingår i landets försvarsmakt eller på annat sätt är underställda landets överbefälhavare. Beträffande lagstiftningen i kan noteras att försvarsminister, efter inkomna synpunkter från ansvarigt tillsynsorgan, meddelade att man från sida bl.a. avser att inleda en översyn av underrättelselag. I finns det en ny lag om militär underrättelseverksamhet och en ny lag om försvarsmakts behandling av personuppgifter. har en underrättelselag som kommer att ersättas av en ny lagstiftning . Redovisningen av den norska regleringen omfattar därför endast den kommande regleringen. Redovisningen av de tre ländernas lagstiftningar som rör signalspaning och behandling av personuppgifter inom den verksamheten gör inte anspråk på att ge en fullständig bild. Regleringen i andra nordiska länder I anger 1 § om Forsvarets Efterretningstjeneste (FE), (602/2013), att det är Forsvarets Efterretningstjeneste (FE) som är utrikesunderrättelsetjänst och militära underrättelsetjänst. Av bestämmelsen följer att underrättelseverksamheten ska vara riktad mot utländska förhållanden och ge ett underrättelsemässigt underlag för dansk utrikes-, säkerhets- och försvarspolitik. FE ska också medverka till att förebygga och motverka hot mot och danska intressen. Bestämmelsen anger vidare att FE för angivna ändamål har att insamla, inhämta, bearbeta, analysera och rapportera om förhållanden i utlandet som är av betydelse för och danska intressen, t.ex. danska enheter m.m. i utlandet. FE ansvarar för att leda den militära säkerhetstjänsten och upprätthåller funktionen som nationell säkerhetsmyndighet på försvarsområdet. FE är därtill it-säkerhetsmyndighet, militärt för cybersäkerhet och myndighet för informationssäkerhet och beredskap på teleområdet.