sou · H8B368 · 2020-11-27 00:00:00 — Regeringen bör av motsvarande skäl ensam ansvara för inriktningen av signalspaning som sker inom ramen för Försvarets radioanstalts internationella samarbete i myndighetens försvarsunderrättelse- och utvecklingsverksamhet. Förslag: Det ska framgå av lagen om signalspaning i försvarsunderrättelseverksamhet att förstöringsplikten enligt 2 a § och 7 §, med de undantag som bestämmelserna innehåller, även gäller för upptagningar och uppteckningar som har fått från ett annat land eller en internationell organisation inom ramen för ett internationellt samarbete. Som framgår av avsnitt 3.4.1 innehåller 2 a och 7 §§ LSF bestämmelser om en förstöringsplikt om vissa förhållanden föreligger när har inhämtat en upptagning eller uppteckning av uppgifter enligt LSF. Inom ramen för det internationella underrättelse- och säkerhetssamarbetet mottar upptagningar och uppteckningar från andra länders underrättelse- och säkerhetstjänster och internationella organisationer. På samma sätt som gäller i Försvarets radioanstalts egen signalspaning kan det inte uteslutas att ett annat land eller en internationell organisation i sin signalspaningsverksamhet har råkat inhämta upptagningar eller uppteckningar av de slag som måste förstöras enligt 2 a och 7 §§ LSF om hade inhämtat dem. Bestämmelserna har ett tydligt integritetsskyddande syfte. har upplyst utredningen om att myndigheten tillämpar bestämmelserna i 2 a och 7 §§ på så sätt att mottagna upptagningar och uppteckningar förstörs om det vid en analys framkommer att det är fråga om sådan information som avses i bestämmelserna. Utredningen bedömer att Försvarets radioanstalts tillämpning av bestämmelserna är både rimlig och lämplig. Med hänsyn till bestämmelsernas integritetsskyddande karaktär, men också som ett tydliggörande stöd för i myndighetens relation till utländska samarbetsparter, bör det av 2 a § och 7 §, med de undantag som bestämmelserna innehåller, framgå att förstöringsplikten även gäller för upptagningar eller uppteckningar som signalspaningsmyndigheten har fått från ett annat land eller en internationell organisation inom ramen för ett internationellt samarbete. Bedömning: Det saknas anledning att justera bestämmelserna om ansökan till och tillstånd från Försvarsunderrättelsedomstolen till följd av Försvarets radioanstalts internationella samarbete i försvarsunderrättelse- och utvecklingsverksamheten. Bestämmelser om vad en ansökan till Försvarsunderrättelsedomstolen ska innehålla och vad domstolen ska pröva anges i 4 a och 5 §§ LSF. Bestämmelserna närmare innehåll redovisas i avsnitt 3.4.2. Även den signalspaning som utför inom ramen för sitt internationella samarbete sker genom användning av sökbegrepp eller kategorier av sökbegrepp, vilka ska vara godkända av Försvarsunderrättelsedomstolen. De förslag som lämnas av utredningen påverkar således inte vad en ansökan ska innehålla eller vad Försvarsunderrättelsedomstolen ska pröva (prop. 2008/09:201 s. 56–59 och 111–112). Vikten av Försvarets radioanstalts internationella samarbete i syfte att upprätthålla bästa möjliga försvarsunderrättelse- och utvecklingsverksamhet kommer till uttryck i lagstiftningen med tillhörande förarbeten samt regeringens närmare bestämmande och inriktning av verksamheten. Det ankommer på att, utifrån de behov som finns inom ramen för myndighetens internationella samarbete i försvarsunderrättelse- och utvecklingsverksamheten, formulera en ansökan till Försvarsunderrättelsedomstolen i enlighet med vad som krävs enligt LSF. Bedömning: Det saknas anledning att justera bestämmelserna om kontroll och tillsyn till följd av Försvarets radioanstalts internationella samarbete i försvarsunderrättelse- och utvecklingsverksamheten. I avsnitt 3.6.1 och 3.6.2 beskrivs de bestämmelser som gäller för Siuns och Datainspektionens kontrollrespektive tillsynsansvar. ska löpande informera Siun om de principer som tillämpas för samarbete i underrättelsefrågor med andra länder och internationella organisationer. Sådan information ska bl.a. upplysa om med vilka länder och organisationer sådant samarbete sker, omfattningen av samarbetet och, när det bedöms vara motiverat, om resultatet, erfarenheterna och den fortsatta inriktningen av ska även lämna information i andra viktiga frågor som rör försvarsunderrättelseverksamhet till Siun (6 § förordningen om försvarsunderrättelseverksamhet). En sådan annan viktig fråga bör t.ex. kunna röra den till försvarsunderrättelseverksamheten knutna utvecklingsverksamheten. När det gäller de sökbegrepp som ska använda i sin signalspaning ska dessa inte enbart beaktas vid den sammanvägda proportionalitetsbedömning som Försvarsunderrättelsedomstolen ska utföra utan också i efterhand granskas utifrån vad som i 3 § LSF föreskrivs om användning av sökbegrepp. Av 10 § LSF följer att Siun särskilt ska granska sökbegreppen. Detta kontrollansvar gäller alla de sökbegrepp eller kategorier av sökbegrepp som Försvarsunderrättelsedomstolen har godkänt och som har använt eller avser använda, även de inom ramen för myndighetens internationella samarbete i försvarsunderrättelse- och utvecklingsverksamheten. Datainspektionens tillsynsansvar omfattar all Försvarets radioanstalts personuppgiftsbehandling. Siun ska också granska den behandling av personuppgifter som utför enligt FRA-PuL. Försvarets radioanstalts verksamhet omfattas av sekretess. Siuns och Datainspektionens kontroll- och tillsynsansvar fyller därför en viktig funktion ur ett insyns- och integritetsskyddsperspektiv. Siuns kontrollfunktion är uttryckligt reglerad beträffande Försvarets radioanstalts internationella samarbete. Bestämmelserna om kontroll och tillsyn är tydliga och ändamålsenliga. Det saknas anledning att justera regelverket till följd av de förslag som utredningen lämnar eller i övrigt i förhållande till Försvarets radioanstalts internationella samarbete inom myndighetens försvarsunderrättelse- och utvecklingsverksamhet. 6.3Lagen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet 6.3.1Personuppgifter får behandlas inom ramen för internationellt samarbete Bedömning: I avvaktan på en ny personuppgiftsreglering för föreslås inga nya ändamålsbestämmelser för den behandling av personuppgifter utför i sin försvarsunderrättelse- och utvecklingsverksamhet med anledning av samarbete med andra länder och internationella organisationer. Det saknas anledning att införa nya typer av uppgiftssamlingar för den behandling av personuppgifter som utför i sitt internationella samarbete. Nuvarande reglering om ändamål för behandling av personuppgifter Försvarets radioanstalts behandling av personuppgifter inom ramen för myndighetens försvarsunderrättelse- och utvecklingsverksamhet regleras i FRA-PuL. I lagens 1 kap. 8–9 §§ anges de primära ändamål för vilka behandling av personuppgifter är tillåten avseende Försvarets radioanstalts försvarsunderrättelseverksamhet (8 §) och utvecklingsverksamhet (9 §). Enligt förstnämnda bestämmelse får personuppgifter behandlas i Försvarets radioanstalts försvarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet. Av paragrafens andra stycke framgår att uppgifter om en person endast får behandlas om personen har anknytning till en preciserad inriktning för försvarsunderrättelseverksamheten och behandlingen är nödvändig för att fullfölja den inriktningen. Med preciserad inriktning avses de interna inriktningar som fastställer för närmare avgränsning av verksamheten. Myndigheten beslutar en preciserad inriktning med produktionsplan som bl.a. utgör en prioritering av vad myndigheten anser sig kunna utföra av de behov som uppdragsgivarna genom sina inriktningar gett uttryck för (SOU 2018:63 s. 175). Enligt 1 kap. 9 § får personuppgifter behandlas av om det är nödvändigt för att följa förändringar av signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, och fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten. 1 kap. 6 § 4 FRA-PuL ger möjlighet till att fortsatt behandla insamlade personuppgifter så länge de inte behandlas för något ändamål som är oförenligt med det för vilket personuppgifterna samlades in (finalitetsprincipen). Denna bestämmelse möjliggör för att föra över personuppgifter till en utländsk myndighet eller en internationell organisation, under förutsättning att ändamålet med en sådan överföring inte är oförenligt med det för vilket personuppgifterna samlades in. Som utredningen har redovisat i avsnitt 3.7.2 finns det i SOU 2018:63 ett förslag till ny lagstiftning för bl.a. den behandling av personuppgifter som sker i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. Betänkandet har remissbehandlats och bereds i . Utredningen har att förhålla sig till gällande lagstiftning på området, men också till förslaget till ny lagstiftning som lämnats i SOU 2018:63. Som framgår av följande avsnitt föreslår utredningen endast ändringar som är av tydliggörande och integritetsskyddsstärkande karaktär i förhållande till FRA-PuL och SOU 2018:63. Ett primärt ändamål behöver inte införas för behandling av personuppgifter vid internationellt samarbete Personuppgifter får endast behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen samlades in. bedriver internationellt samarbete inom ramen för sin försvarsunderrättelse- och utvecklingsverksamhet och får då behandla personuppgifter i den verksamheten enligt vad som följer av 1 kap. 8 och 9 §§ FRA-PuL. Lagförslaget i SOU 2018:63 avseende innehåller förslag om rättsliga grunder och sekundära ändamålsbestämmelser för behandling av personuppgifter. Förslaget om sekundära ändamålsbestämmelser innebär att det i lagen bl.a. ska anges att person- uppgifter som behandlas i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet även får behandlas om det är nödvändigt för att tillhandahålla information som behövs med anledning av samarbete med andra länder och internationella organisationer enligt lagen om försvarsunderrättelseverksamhet och LSF. Utöver de sekundära ändamålsbestämmelserna gäller finalitetsprincipen (SOU 2018:63 s. 173 f.). Ändamålsbestämmelser för behandling av personuppgifter måste vara tillräckligt tydliga och konkreta för att det ska kunna avgöras i vilken utsträckning en myndighets personuppgiftsbehandling håller sig inom angivna ramar. är verksamheten av sådan art att det inte ansetts möjligt att i lagform reglera den i detalj (prop. 2006/07 s. 64 och prop. 1999/2000:24 s. 12). FRA-PuL innehåller inte ett eget särskilt uttalat primärt eller sekundärt ändamål för att behandla personuppgifter vid myndighetens internationella samarbete. Det är tydligt att Försvarets radioanstalts internationella samarbete sker inom ramen för myndighetens försvarsunderrättelse- och utvecklingsverksamhet. Med hänsyn till det befintliga rättsliga stöd FRA-PuL ger för Försvarets radioanstalts behandling av personuppgifter inom nämnda verksamhet och till den rättsliga reglering som föreslås i SOU 2018:163, bedömer utredningen att det inte finns skäl att införa ett nytt uttalat ändamål i FRA-PuL för Försvarets radioanstalts behandling av personuppgifter vid internationellt samarbete. Någon ny typ av uppgiftssamling behöver inte införas I Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet får personuppgifter behandlas i uppgiftssamlingar under de förutsättningar som anges i FRA-PuL (1 kap. 7 § FRA-PuL). Enligt vad regeringen har föreskrivit i FRA-PuF får det finnas uppgiftssamlingar för råmaterial, analyser, underrättelser, information om signalmiljön, information om företeelser mot vilka signalspaningen får inriktas, information om teknik- och metodikutveckling samt information om signalskydd. Bestämmelserna för de nämnda typerna av tillåtna uppgiftssamlingar beskrivs närmare i avsnitt 3.7.1. bedriver internationellt samarbete i sin försvarsunderrättelse- och utvecklingsverksamhet. Utredningen bedömer att de befintliga typerna av uppgiftssamlingar uppfyller de behov som finns för den behandling av personuppgifter som behöver kunna genomföra med anledning av sitt internationella samarbete. I enlighet med 1 kap. 16 § FRA-PuL ska tillse att tillgången till personuppgifter inom myndigheten alltid begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Detta krav gäller generellt och därmed också de personuppgifter som behandlas inom ett internationellt samarbete. 6.3.2Förutsättningarna för överföring av personuppgifter till utländska aktörer bör preciseras Förslag: Personuppgifter ska få föras över till andra länder eller internationella organisationer endast om det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet och 1.överföringen riktas till en utländsk underrättelse- eller säkerhetstjänst, eller ett underrättelse- eller säkerhetsorgan i en internationell organisation, 2.sekretess inte hindrar en överföring, och 3.mottagaren garanterar tillräckligt skydd för personuppgifterna. Regeringen får meddela föreskrifter om att överföring får ske även i andra fall än som anges i första stycket 1. Regeringen får också besluta om sådan överföring i ett enskilt fall. Överföring av personuppgifter till ett annat land eller en internationell organisation regleras i 1 kap. 17 § FRA-PuL. Av bestämmelsen framgår att personuppgifter får föras över till andra länder eller mellanfolkliga organisationer endast om sekretess inte hindrar det och det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet, om inte regeringen har meddelat föreskrifter eller i ett enskilt fall beslutat om att överföring får ske även i andra fall då det är nödvändigt för verksamheten vid . Bestämmelsen i 7 § FRA-PuF ger möjlighet att lämna ut uppgifter till en utländsk myndighet eller en internationell organisation om utlämnandet tjänar den svenska statsledningen eller det svenska totalförsvaret. En ytterligare förutsättning enligt bestämmelsen är att uppgifter som lämnar till andra länder och internationella organisationer inte får vara till skada för svenska intressen. Bestämmelsen har sekretessbrytande karaktär. Möjligheten att kunna överföra information till utländska myndigheter och internationella organisationer är av avgörande betydelse för Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. Informationen innehåller inte sällan personuppgifter. Nuvarande reglering ger ett tydligt stöd för att överföra personuppgifter till en utländsk myndighet eller en internationell organisation om det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet. Utredningen ser dock skäl att föreslå vissa ändringar i 1 kap. 17 § FRA-PuL som skapar ytterligare förutsebarhet för Försvarets radioanstalts internationella samarbete och bidrar till att än mer stärka integritetsskyddet för enskilda. Förslaget består av tre punkter som ska vara uppfyllda för att en överföring av personuppgifter ska vara tillåten. Punkterna i den justerade bestämmelsen utvecklas nedan. Mottagaren av Försvarets radioanstalts information är av naturliga skäl inte vilken utländsk myndighet som helst och inte heller vilken organisationsenhet som helst i en internationell organisation. till denna verklighet, men också utifrån ett förutsebarhets- och integritetsskyddsperspektiv, finns det anledning att i bestämmelsen ytterligare precisera de utländska mottagarna. justeras på så sätt att det i en ny punkt 1 anges att personuppgifter endast får överföras till en utländsk underrättelse- eller säkerhetstjänst, eller ett underrättelse- eller säkerhetsorgan i en internationell organisation. EU, FN och Nato är exempel på internationella organisationer som har denna typ av organ. På motsvarande sätt som bör det i bestämmelsen finnas en möjlighet för regeringen att genom en föreskrift eller ett beslut förordna att överföring av personuppgifter även får ske i förhållande till andra internationella aktörer än de som anges i lagen. Ett sådant behov kan t.ex. uppkomma inom ramen för en internationell insats där mottagaren av Försvarets radioanstalts underrättelser är ett organ i en annan stats väpnade styrkor som inte kan sägas vara ett underrättelse- eller säkerhetsorgan (prop. 2006/07:46 s. 125 och 133). Den nuvarande begränsningen om att en överföring av personuppgifter endast får ske om sekretess inte hindrar det är ett villkor av grundläggande betydelse och bör även fortsatt ingå som ett villkor i punkt 2 i den reviderade bestämmelsen. De personuppgifter som Försvarets radioanstalts behandlar inom ramen för myndighetens försvarsunderrättelse- och utvecklingsverksamhet omfattas som regel av sekretess enligt 15 kap. 1 och 2 §§ offentlighets- och sekretesslagen. Uppgifter om enskilda i nämnda verksamhet omfattas också vanligen av sekretess enligt 38 kap. 4 § offentlighets- och sekretesslagen. Uppgifter som omfattas av sekretess får enligt 8 kap. 3 § offentlighets- och sekretesslagen inte röjas för en utländsk myndighet eller en mellanfolklig organisation. Lagstiftaren har dock i samma bestämmelse föreskrivit undantag från denna huvudregel om utlämnandet görs i enlighet med särskild föreskrift i lag eller förordning, eller om uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen. En sådan särskild föreskrift finns i 7 § FRA-PuF. Enligt bestämmelsen får uppgifter lämnas ut till en utländsk myndighet eller en internationell organisation, om utlämnandet tjänar den svenska statsledningen eller det svenska totalförsvaret. De uppgifter som lämnar till andra länder eller internationella organisationer får inte vara till skada för svenska intressen. bör ur ett sekretesshänseende även fortsatt ha möjlighet att lämna ut personuppgifter till en utländsk myndighet eller internationell organisation på samma sätt som . De förslag som utredningen lämnar inverkar inte på tillämpligheten av 7 § FRA-PuF och några andra skäl till att ändra bestämmelsen har inte framkommit. Utredningen föreslår därför inte någon ändring av bestämmelsen. Viss skyddsnivå ska vara säkerställd hos mottagaren Den försvarsunderrättelseverksamhet och utvecklingsverksamhet som bedriver sker inom ramen för nationella säkerhet och försvar, och omfattas därför inte av unionsrätten. Därmed omfattar inte heller EU:s dataskyddsreglering den behandling av personuppgifter som utför inom ramen för dessa verksamheter. Som anges i avsnitt 4.3.1 omfattar emellertid dataskyddskonvention även försvarsområdet. Bestämmelser om överföring av personuppgifter till andra länder finns i konventionen, genom ett tilläggsprotokoll som undertecknade . Enligt artikel 2 första punkten i tilläggsprotokollet ska varje part endast möjliggöra överföring av personuppgifter till en mottagare som lyder under en stats eller en organisations jurisdiktion och som inte är part i konventionen, om staten eller organisationen tryggar en tillräcklig grad av skydd för den avsedda uppgiftsöverföringen. Som undantag från första punkten får en part tillåta överföring om det är tillåtet enligt den nationella lagstiftningen på grund av den registrerades särskilda intressen, eller när legitima intressen överväger, i synnerhet viktiga allmänna intressen. Möjligheten att inom det internationella försvarsunderrättelse- och säkerhetssamarbetet utbyta personuppgifter med andra länder utgör ett sådant legitimt allmänt intresse som avses i dataskyddskonventionen. Det ska noteras att de krav som ställs i 1 kap. 17 § FRA-PuL för överföring av personuppgifter gäller i förhållande till alla länder, även dem som inte är parter till dataskyddskonventionen. Utredningen bedömer att regleringen på ett än tydligare sätt bör slå fast att en förutsättning för överföring av personuppgifterna bör vara att mottagaren garanterar ett tillräckligt skydd för dem. En sådan ökad tydlighet medför såväl ett stöd för i dess internationella samarbete som ett ökat integritetsskydd för enskilda. Ett villkor om att viss skyddsnivå ska vara säkerställd hos mottagaren bör därför anges i en punkt 3 i den reviderade bestämmelsen. Personuppgifter bör få överföras om har tagit hänsyn till alla omständigheter kring överföringen och dragit slutsatsen att tillräckliga skyddsåtgärder för personuppgifterna föreligger. Det faktum att en mottagande stat är ansluten till dataskyddskonventionen eller en annan internationell överenskommelse som innehåller bestämmelser om dataskydd och registrerades rättigheter innebär att lämpliga skyddsåtgärder bör anses föreligga. bör vidare t.ex. kunna beakta att den som ska behandla personuppgifterna i det andra landet eller i den internationella organisationen kommer att ha tystnadsplikt som omfattar de överförda uppgifterna eller att det garanteras att personuppgifterna inte kommer att behandlas för något annat ändamål än det för vilket de överförs. Även åtaganden om att inte föra personuppgifterna vidare eller att inte använda personuppgifterna efter en viss tidpunkt bör kunna beaktas. 7Konsekvenser och genomförande av förslagen Bedömning: Förslagen medför inga kostnadsökningar för det allmänna eller för enskilda, eller får några övriga konsekvenser av de slag som anges i kommittéförordningen. Förslagen stärker skyddet för enskildas personliga integritet. Utredningens förslag medför inte några kostnadsökningar för berörda myndigheter, eller i övrigt för det allmänna. Förslagen medför inte heller några kostnadsökningar för enskilda. Konsekvenser för den personliga integriteten Förslagen om att de regler om förstöringsskyldighet av uppgifter som finns i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet på motsvarande sätt ska gälla för upptagningar och uppteckningar som har mottagit från en utländsk aktör och de föreslagna lagändringarna avseende Försvarets radioanstalts överföring av personuppgifter vid internationellt samarbete stärker skyddet för enskildas personliga integritet. Konsekvenser och genomförande av förslagen Utredningens förslag får inte någon betydelse för den kommunala självstyrelsen och inte heller för brottsligheten och det brottsförebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet eller små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags. Förslagen förväntas inte få några konsekvenser för jämställdheten mellan kvinnor och män och inte heller påverka möjligheterna till att nå de integrationspolitiska målen. Förslag: De föreslagna ändringarna ska träda i kraft . Bedömning: De föreslagna ändringarna kräver inte några övergångsbestämmelser. Skälen för förslaget och bedömningen De föreslagna författningsändringarna bör kunna träda i kraft . De föreslagna ändringarna är inte av sådant slag att övergångsbestämmelser behövs. 8.1Förslaget till lag om ändring i lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet 17 § Personuppgifter som behandlas med stöd av denna lag får föras över till andra länder eller internationella organisationer endast om det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet och 1.överföringen riktas till en utländsk underrättelse- eller säkerhetstjänst, eller ett underrättelse- eller säkerhetsorgan i en internationell organisation,