sou · H8B368 · 2020-11-27 00:00:00 — Om myndigheten efter sin utredning kan konstatera att ingen signalspaning över huvud taget har förekommit eller att signalspaning visserligen har förekommit men skett lagenligt, bör enligt förarbetena till lagen den enskilde få besked om att inget otillbörligt skett. Om Siun vid en sådan kontroll skulle finna att meddelanden inhämtats i strid med LSF bör den enskilde i normalfallet upplysas om detta och få del av de uppgifter som kan lämnas med hänsyn till sekretessen. Vidare bör Siun anmäla sina iakttagelser till den myndighet som ansvarar för aktuell fråga. Om Siun exempelvis finner förhållanden som bedöms innebära att personuppgiftsbehandling skett utan stöd av lag, bör detta anmälas till Datainspektionen (prop. 2008/09:201 s. 91 f. och SOU 2011:13 s. 37–38). Försvarets radioanstalts internationella samarbete Enligt 6 § förordningen om försvarsunderrättelseverksamhet ska löpande informera Siun om de principer som tillämpas för samarbete i underrättelsefrågor med andra länder och internationella organisationer. Sådan information ska bl.a. upplysa om med vilka länder och organisationer sådant samarbete sker, omfattningen av samarbetet och, när det bedöms vara motiverat, om resultatet, erfarenheterna och den fortsatta inriktningen av samarbetet. Information ska även lämnas i andra viktiga frågor som rör försvarsunderrättelseverksamheten. ska särskilt informera om innehållet i den instruktion och de föreskrifter som gäller för den eller de enheter inom myndigheten som inhämtar underrättelser med särskilda metoder. Om information enligt 6 § inte har kunnat lämnas ska, enligt samma bestämmelse, frågan utan dröjsmål anmälas för Siun. Information ska lämnas på det sätt som Siun bestämmer. Betydelsen av Siuns kontrollansvar beträffande Försvarets radioanstalts internationella samarbete framhålls bl.a. av (SOU 2011:13 s. 76). Inkoppling av signalbärare till För att möjliggöra en ändamålsenlig inhämtning av signaler i elektronisk form enligt LSF föreskriver 6 kap. 19 a § lagen (2003:389) om elektronisk kommunikation vissa skyldigheter för operatörer som äger tråd i vilka signaler förs över gräns. törer är skyldiga att överföra signalerna till samverkanspunkter, en geografisk plats där operatörerna lämnar över signalerna till Siun. Siun har ensam rådighet över de signalbärare som operatörerna överför till samverkanspunkterna (12 § LSF). Signalbärare är den minsta fysiska beståndsdel i vilka signaler transporteras. Av 12 § LSF framgår också att Siun ska ge signalspaningsmyndigheten tillgång till signalbärare endast i den utsträckning det följer av tillstånd enligt 5 a eller 5 b § LSF. Enligt 7 § förordningen med instruktion för Statens inspektion för försvarsunderrättelseverksamheten får verkställighetsåtgärder vidtas av den anställde vid Siun som nämnden bestämmer. Datainspektionen är tillsynsmyndighet för den personuppgiftsbehandling som sker vid , inklusive den behandling som sker inom ramen för myndighetens försvarsunderrättelse- och utvecklingsverksamhet. har rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna och tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Om tillsynsmyndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, ska myndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. får hos förvaltningsrätten inom vars domkrets tillsynsmyndigheten är belägen ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas, om ett beslut om utplånande inte skulle vara oskäligt (5 kap. 1–4 §§ lagen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet och 10 § förordningen [2007:261] om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet). Datainspektionen har särskilt granskat Försvarets radioanstalts behandling av personuppgifter enligt lagen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet . Det rör sig om ett regeringsuppdrag och ett eget tillsynsärende. Regeringen gav Datainspektionen i uppdrag att granska den personuppgiftsbehandling som LSF föranleder vid (Fö2009/00355). I uppdraget ingick att analysera vilka särskilda integritetsproblem som kan uppstå i samband med personuppgiftsbehandling i Försvarets radioanstalts signalspaningsverksamhet. Vidare skulle Datainspektionen utreda om de rutiner och riktlinjer som tillämpar är tillräckliga för att hantera sådana problem. I uppdraget ingick även att bistå vid utarbetandet av de eventuella ytterligare rutiner och riktlinjer som kan vara nödvändiga för att tillgodose integritetsskyddsbehovet vid personuppgiftsbehandling i signalspaningsverksamheten. Datainspektionen redovisade sina slutsatser i en rapport till regeringen. Som ett led i sin planerade tillsynsverksamhet och som en uppföljning av den granskning Datainspektionen utförde enligt regeringens uppdrag genomförde myndigheten en granskning av Försvarets radioanstalts behandling av personuppgifter. Granskningen redovisas i Datainspektionens beslut (dnr 2331-2015). Vid finns ett integritetsskyddsråd med de uppgifter som följer av 11 § LSF, dvs. att fortlöpande utöva insyn i de åtgärder som vidtas för att säkerställa integritetsskyddet i signalspaningsverksamheten. Rådet består av tre ledamöter som utses av regeringen . Rådet sammanträder på kallelse av ordföranden. främsta uppgift är att utöva insyn i hur Försvarets radioanstalts verksamhet styrs genom interna föreskrifter och rutiner. Rådet ska rapportera sina iakttagelser till ledning och, om rådet finner att det finns skäl för det, till Siun. Det är ledning som ansvarar för myndighetens verksamhet. fattar inga egna beslut (11 § LSF, 8 och 8 a §§ förordningen med instruktion för och prop. 2006/07:63 s. 119). 3.7Försvarets radioanstalts behandling av personuppgifter behandlar personuppgifter inom ramen för den försvarsunderrättelseverksamhet som beskrivs i avsnitt 3.2. behandlar även personuppgifter inom myndighetens utvecklingsverksamhet. När teknik utvecklas och när nya metoder för forcering av krypterad information arbetas fram används nämligen ofta autentiskt signalspaningsmaterial för att man ska vara säker på teknikens riktighet. Det autentiska materialet kan innehålla personuppgifter. Som nämnts i avsnitt 3.3 genererar utvecklingsverksamheten i sig inte några underrättelser utan syftar endast till att möjliggöra för försvarsunderrättelseverksamheten att generera underrättelser. Försvarets radioanstalts personuppgiftsbehandling inom ramen för myndighetens försvarsunderrättelseverksamhet och utvecklingsverksamhet regleras i lagen och förordningen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet (hädanefter benämnda FRA-PuL och FRA- PuF). Även LSF innehåller vissa bestämmelser om personuppgiftsbehandling, t.ex. användningen av sökbegrepp och förstöringsskyldighet (se avsnitt 3.4.1). Enligt 1 kap. 8 § första stycket FRA-PuL får personuppgifter behandlas i Försvarets radioanstalts försvarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet. Av bestämmelsens andra stycke framgår att uppgifter om en person endast får behandlas om personen också har anknytning till en preciserad inriktning för försvarsunderrättelseverksamheten och behandlingen är nödvändig för att fullfölja den inriktningen. Här kan noteras att förslaget i betänkandet SOU 2018:63 inte innehåller en bestämmelse om att uppgifter om en person endast får behandlas om personen har anknytning till en preciserad inriktning. I betänkandet görs bedömningen att underrättelseverksamhet som bedrivs enligt lagen om försvarsunderrättelseverksamhet och LSF måste kunna avse förhållanden som inte alltid direkt kan hänföras till regeringens gällande inriktning så länge dessa förhållanden har betydelse för fullföljandet av det uppdrag som inriktningen innebär och att det därför måste också måste vara möjligt att behandla personuppgifter som rör dessa förhållanden (SOU 2018:63 s. 160–164 och s. 173 f.). Betänkandet SOU 2018:63 behandlas i avsnitt 3.7.2. Tillgången till personuppgifter inom myndigheten ska alltid begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter (1 kap. 16 § FRA-PuL). Personuppgifter får enligt 1 kap. 9 § FRA-PuL behandlas av om det är nödvändigt för att 1.följa förändringen av signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, och 2.fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten. Personuppgifter får även behandlas av om det är nödvändigt för att biträda andra myndigheter vid värdering utveckling, anskaffning och drift av signalspaningssystem (1 kap. 10§ FRA-PuL). får inte behandla personuppgifter enbart på grund av vad som är känt om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter). Om myndigheten behandlar uppgifter om en person på annan grund får den emellertid komplettera (dvs. behandla) dessa uppgifter med känsliga personuppgifter om det är absolut nödvändigt för ändamålet med behandlingen (1 kap. 11 § FRA-PuL). Den information som inhämtar genom signalspaning är ur ett underrättelseperspektiv alltid obearbetad. Informationen är ofta såväl krypterad som avfattad på ett främmande språk. Det är först sedan de inhämtade signalerna har lagrats och därefter kryptoforcerats och översatts, som informationen kan tas fram i klartext eller sändningarnas innehåll kan beskrivas. Det är alltså först då det är utrett om det insamlade materialet innehåller personuppgifter och om det även är fråga om t.ex. känsliga personuppgifter. Bestämmelsen i 1 kap. 13 § FRA-PuL ger ett uttalat stöd för att de nu beskrivna åtgärderna inte strider mot lagen i det skede av behandlingen då det ännu inte kunnat fastställas om informationen innehåller personuppgifter. Så snart det kunnat fastställas om informationen innehåller personuppgifter måste vidare behandling av sådana uppgifter ske i överensstämmelse med vad som anges i lagen. Här kan nämnas att det i tillämpningen av bestämmelsen har uppkommit en fråga om det är först när får klart för sig vilka personuppgifter som behandlas som det är möjligt för myndigheten att behandla dem enligt bestämmelserna i 1 kap. 6 och 8–12 §§ FRA-PuL. Datainspektionen tog i sitt tillsynsbeslut upp frågan om tolkningen av 1 kap. 13 § FRA-PuL efter det att Siun hade anmält frågan dit (Datainspektionens dnr 2331-2015). Datainspektionen kom fram till att bestämmelsen inte är anpassad till de behov och förutsättningar som gäller för Försvarets radioanstalts signalspaningsverksamhet och uppmärksammade regeringen på behovet av en översyn. Betänkandet SOU 2018:63 innehåller en bestämmelse som i stället tar sikte på det skede då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller. Betänkandet SOU 2018:63 behandlas i avsnitt 3.7.2. Vidarebehandling av personuppgifter för vissa andra ändamål än de ursprungliga, s.k. sekundära ändamål, får göras med stöd av 1 kap. 6 § 4 FRA-PuL. Bestämmelsen ger möjlighet att fortsatt behandla insamlade uppgifter så länge personuppgifterna inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (finalitetsprincipen). En uppgiftssamling är en samling med uppgifter som med hjälp av automatiserad behandling används gemensamt (1 kap. 4 § FRA-PuL). Av 1 kap. 7 § FRA-PuL följer att , under de förutsättningar som anges i lagen, får behandla personuppgifter i uppgiftssamlingar. Enligt samma bestämmelse framgår att regeringen meddelar närmare föreskrifter eller beslut i enskilda fall om vilka uppgiftssamlingar som får finnas hos och vilka uppgifter som får behandlas i respektive samling. Enligt FRA-PuF får det finnas uppgiftssamlingar för: 1.Råmaterial (2 §). Uppgiftssamlingarna får endast innehålla obearbetat och automatiskt bearbetat material som har inhämtats i försvarsunderrättelseverksamheten och utvecklingsverksamheten. 2.Analyser (3 §). Uppgiftssamlingarna får endast innehålla analysresultat samt bearbetnings- och rapportunderlag. 3.Underrättelser (4 §). Uppgiftssamlingarna får endast innehålla färdiga underrättelserapporter. 4.Information om signalmiljön (5 §). Uppgiftssamlingarna får endast innehålla information och tekniska parametrar som rör signalmiljön. 5.Information om företeelser mot vilka signalspaningen inriktas (6 §). Uppgiftssamlingarna får endast innehålla sådan information om signalspaningsobjekt som är nödvändig för att verkställa inriktningar av signalspaningen. 6.Information om teknik- och metodikutveckling (6 a §). Uppgiftssamlingarna får endast innehålla information och tekniska parametrar som rör teknik- och metodikutvecklingen. 7.Information om signalskydd (6 b §). Uppgiftssamlingarna får endast innehålla information och tekniska parametrar som rör signalskyddet. Bestämmelserna i 2, 5 och 6 §§ innehåller även vissa särskilda regler om hur länge personuppgifterna får behandlas. Bestämmelser om gallring redogörs för senare i detta avsnitt. Elektroniskt utlämnande av och direktåtkomst till personuppgifter får endast lämna ut enstaka personuppgifter på medium för automatiserad behandling, om inte regeringen har meddelat föreskrifter eller i ett enskilt fall beslutat om att uppgifter får lämnas ut på sådant medium även i andra fall (1 kap. 14 § FRA- PuL). Av 8 § FRA-PuF framgår att utlämnande på medium för automatiserad behandling får omfatta fler än enstaka uppgifter om uppgifterna lämnas ut till en annan statlig myndighet. Bestämmelser om direktåtkomst regleras i 1 kap. 15 § FRA-PuL. Av bestämmelsens första stycke framgår att får medge Försvarsmakten och Säkerhetspolisen direktåtkomst till uppgifter som utgör analysresultat i en uppgiftssamling för analyser och som behövs inom ramen för myndighetsöverskridande sam- verkan mellan , Försvarsmakten och Säkerhetspolisen för att myndigheterna ska kunna göra bedömningar på strategisk nivå av terrorhotet mot och svenska intressen. Enligt bestämmelsens andra stycke meddelar regeringen föreskrifter om vilka myndigheter som i andra fall får ha direktåtkomst till Försvarets radioanstalts uppgiftssamlingar. Av tredje stycket följer att regeringen, eller den myndighet som regeringen bestämmer, meddelar de ytterligare föreskrifter eller beslut i enskilda fall om omfattningen av direktåtkomsten som behövs. Enligt 9 § FRA-PuF får medge vissa myndigheter direktåtkomst till uppgifter i en uppgiftssamling för underrättelser. Regelverket möjliggör inte för att medge en utländsk myndighet direktåtkomst till Försvarets radioanstalts uppgiftssamlingar. Överföring av personuppgifter till andra länder och internationella organisationer Av 1 kap. 17 § FRA-PuL framgår att personuppgifter som behandlas med stöd av lagen får föras över till andra länder eller mellanfolkliga organisationer endast om sekretess inte hindrar det och det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet, om inte regeringen har meddelat föreskrifter eller i ett enskilt fall beslutat om att överföring får ske även i andra fall då det är nödvändigt för Försvarets radioanstalts verksamhet. Enligt 7 § FRA-PuF får uppgifter lämnas till en utländsk myndighet eller en internationell organisation om utlämnandet tjänar den svenska statsledningen eller det svenska totalförsvaret. De uppgifter som lämnar till andra länder eller internationella organisationer får inte vara till skada för svenska intressen. har att beakta arten av information som lämnas ut, vad den kan komma att användas till och till vem den överlämnas. En överföring av personuppgifter förutsätter väl genomförda etiska överväganden. har föreskrifter och rutiner som syftar till att förhindra att uppgifter som lämnas till andra länder skadar svenska intressen och säkerställa att integritetsintresset beaktas. Information till den enskilde är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om huruvida personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter ska skriftlig information lämnas också om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen, och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Sådan information behöver inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Detta gäller dock inte om uppgifterna har lämnats ut till tredje man eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Informationen ska lämnas inom en månad från ansökan, eller om det finns särskilda skäl. Skyldigheterna om informationsgivning gäller inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut till den registrerade (2 kap. 1–3 §§ FRA-PuL). är skyldig att på begäran av en registrerad rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med FRA-PuL eller föreskrifter som meddelats med stöd av lagen. ska också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver inte lämnas, om detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats (2 kap. 4 § FRA-PuL). Att en personuppgift rättas innebär att den ersätts eller kompletteras med korrekta uppgifter. Med blockering avses en åtgärd som vidtas för att personuppgifter ska vara förknippade med information om att de är spärrade och om anledningen till spärren. Att en uppgift utplånas innebär att den förstörs så att den inte kan återskapas. Staten ska ersätta den registrerade för skada och kränkningar av den personliga integriteten som en behandling av personuppgifter i strid med FRA-PuL eller föreskrifter som meddelats med stöd av lagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas om visar att felet inte berodde på myndigheten. Ett anspråk på ersättning riktas mot staten och handläggs av Justitiekanslern (3 § förordningen [1995:1301] om handläggning av skadeståndsanspråk mot staten). I 3 kap. FRA-PuL anges vad som krävs för att ett personuppgiftsbiträde eller annan person som arbetar under biträdet eller ledning ska få behandla personuppgifter. Vidare tydliggörs att ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas av myndigheten eller av ett personuppgiftsbiträde som myndigheten anlitat. Personuppgiftsombud behandlas i 4 kap. FRA-PuL. Av bestämmelserna följer att ett personuppgiftsombud ska ha till uppgift att självständigt se till att den behandlande myndigheten behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister för myndigheten. Om personuppgiftsombudet har anledning att misstänka att den behandlande myndigheten bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, ska personuppgiftsombudet anmäla förhållandet till tillsynsmyndigheten. Personuppgiftsombudet ska även i övrigt samråda med tillsynsmyndigheten vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personuppgifter ska tillämpas. Personuppgiftsombudets uppgifter omfattar även att föra förteckningar över de behandlingar som genomför och som är helt eller delvis automatiserade. Regeringen, eller den myndighet som regeringen bestämmer, meddelar föreskrifter om vad förteckningarna ska innehålla. Personuppgiftsombudet ska också hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. I6 kap. 1 § FRA-PuL föreskrivs att personuppgifter som har behandlats automatiserat ska gallras så snart uppgifterna inte längre behövs för det ändamål för vilket de behandlas, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Regeringen har gett ett sådant bemyndigande att meddela föreskrifter (12 § FRA-PuF). Sådana föreskrifter får dock inte omfatta personuppgifter i uppgiftssamlingar för råmaterial. Särskild reglering om gallring finns i 2, 5 och 6 §§ FRA-PuF när det gäller uppgiftssamlingar för råmaterial, för information om signalmiljön och för information om företeelser mot vilka signalspaningen inriktas. Personuppgifter i en uppgiftssamling för råmaterial ska gallras senast efter det att behandlingen av uppgifterna påbörjats (2 § FRA-PuF). Personuppgifter i en uppgiftssamling om signalmiljön ska gallras senast vid utgången av efter det att behandlingen av uppgifterna påbörjades, om inte beslutat att uppgifterna ska bevaras därför att de fortfarande behövs för det ändamål för vilket de behandlas. Om uppgifterna bevaras med stöd av ett sådant beslut ska de gallras eller frågan om bevarande prövas på nytt senast vid utgången av efter beslutet (5 § FRA-PuF). Personuppgifter i en uppgiftssamling för information om företeelser mot vilka signalspaningen inriktas ska gallras senast vid utgången av det tredje året efter det att behandlingen av uppgifterna påbörjades, om inte har beslutat att uppgifterna ska bevaras därför att de fortfarande behövs för det ändamål för vilket de behandlas. Om uppgifter bevaras med stöd av ett sådant beslut ska de gallras eller frågan om bevarande prövas på nytt senast vid utgången av det tredje året efter beslutet (6 § FRA-PuF). har beslutat att personuppgifter i Försvarets radioanstalts uppgiftssamlingar för underrättelser ska bevaras för historiska, statistiska och vetenskapliga ändamål (dnr KrA H231-2009/333). har vidare beslutat att även personuppgifter i rapportunderlag i uppgiftssamlingar för analyser ska bevaras för dessa ändamål (dnr KrA H231-2017/2031). 2 § FRA-PuL innehåller bestämmelser om straff för lämnande av osann uppgift vid vissa i bestämmelserna angivna fall och behandling av känsliga personuppgifter i strid med vad som anges i de respektive lagarna. Av 6 kap. 3 § FRA-PuL framgår att Försvarets radioanstalts beslut om viss information som ska lämnas samt om rättelse och underrättelse till tredje man får överklagas till allmän förvaltningsdomstol. Av bestämmelsen framgår vidare att övriga beslut enligt FRA-PuL inte får överklagas och att prövningstillstånd krävs vid överklagande till kammarrätten. 3.7.2Förslag till ny lagstiftning I betänkandet Behandlingen av personuppgifter vid Försvarsmakten och , SOU 2018:63, föreslås en ny lag och förordning om behandling av personuppgifter vid . Den föreslagna lagstiftningen avser den behandling av personuppgifter som utför inom ramen för myndighetens försvarsunderrättelse- och utvecklingsverksamhet, och informationssäkerhetsverksamhet. När det gäller behandling av personuppgifter inom ramen för Försvarets radioanstalts internationella samarbete innehåller betänkandet förslag som motsvarar de bestämmelser som finns i 1 kap. 17 § FRA-PuL och 7 § FRA-PuF. Därutöver föreslås bestämmelser med sekundära ändamål som ger ett uttryckligt stöd för att vidarebehandla personuppgifter för att tillhandahålla information om det behövs inom ramen för ett sam- arbete med andra länder och internationella organisationer.