prop · H803224 · 2021-09-13 00:00:00 — Av paragrafen framgår att och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning inte gäller vid behandling av personuppgifter enligt lagen. Ord och uttryck i lagen 5 § I denna lag används följande ord och uttryck. En åtgärd eller en kombination åtgärder som vidtas i fråga om personuppgifter eller uppsättningar av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, strukturering, lagring, bearbetning eller eller tillhandahållande på annat sätt, justering, sammanföring, begränsning, radering eller förstöring. teendemässiga kännetecken, som tagits behandling och som möjliggör eller bekräftar identifiering av personen i En fysisk person som utses självständigt kontrollera att person- och på ett korrekt sätt. härrör från analys av ett spår av eller ett biologiskt prov från personen i fråga. Den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Varje upplysning om en identifierad eller identifierbar fysisk person som är Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av person- Den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Den fysiska person som person- – den registrerade, – den personuppgiftsansvarige, – personuppgiftsbiträdet, och – sådana personer som under den uppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter. med uppgifter som med hjälp av automatiserad behandling är I paragrafen definieras vissa ord och uttryck som används i lagen. Uttrycket behandling av personuppgifter omfattar alla åtgärder som vidtas med sådana uppgifter. Uttrycket behandlas i avsnitt 6.5. Så snart personuppgifter hanteras på något sätt är det fråga om behandling som omfattas av lagens bestämmelser, om den är helt eller delvis automatiserad eller avser behandling i en strukturerad samling av personuppgifter. Uppräkningen i definitionen av olika sätt att hantera personuppgifter är således inte uttömmande. Biometri är en samlingsbenämning för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är Uttrycket behandlas i avsnitt 6.5. Den automatiserade tekniken baseras på fysiska karaktärsdrag hos den som ska identifieras. Mönster av fingeravtryck, ansiktsgeometri, ögats iris, regnbågshinna och näthinna, röst, hand, blodkärl, dna eller gång är Prop. 2020/21:224 exempel på områden där sådan teknik kan användas. teknikerna är att kroppen mäts elektroniskt. Biometriska uppgifter är den information som kan tas fram ur ett biometriskt underlag. Uppgifterna kan användas för att skapa en referensmall eller för att jämföra med tidigare lagrade referensmallar i syfte att kontrollera en persons identitet. Fingeravtryck och dna-profiler är de vanligaste formerna av biometriska uppgifter. Biometriska uppgifter i form av fingeravtryck kan framgå av ett spår som påträffas vid utredning av en händelse som exempelvis ett angrepp mot svensk trupp utomlands. Även analys av spåren omfattas av definitionen, trots att de inte går att härleda till en Dna-spår behandlas i författningskommentaren till uttrycket genetiska uppgifter. Av 2 kap. 16 § framgår att biometriska uppgifter bara får behandlas om det är absolut nödvändigt för ändamålet med behandlingen. Fotografier och filmer som inte bearbetas tekniskt i syfte att åstadkomma identifiering faller utanför definitionen. bilder av personer för att förbättra bildkvaliteten, förstärka detaljer och liknande omfattas alltså inte. Om bilder däremot bearbetas i exempelvis ett ansiktsigenkänningsprogram i syfte att identifiera personer omfattas de Fotografier kan omfattas av regleringen om känsliga personuppgifter även på andra grunder, se författningskommentaren till 2 kap. 15 §. Ett dataskyddsombud är en fysisk person som utses av den personuppgifts- ansvarige att självständigt utföra vissa uppgifter i syfte att se till att personuppgifter behandlas författningsenligt och på ett korrekt sätt. behandlas i avsnitt 11.4. Ett dataskyddsombud ska vara anställt hos den personuppgiftsansvarige. Kravet på självständighet innebär att dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombuden förutsätts framför allt ha goda kunskaper om regelverket om personuppgiftsbehandling. Ombuden bör också ha sådan ställning i organisationen att det säkerställs att deras synpunkter och råd beaktas. Med uttrycket genetiska uppgifter avses personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som framför allt härrör från analys av ett spår av eller ett biologiskt prov från personen Det är alltså fråga om all information som rör en persons nedärvda eller förvärvade genetiska kännetecken och som kan tas fram ur ett spår Uttrycket behandlas i avsnitt 6.5. Genetiska uppgifter behandlas vid dna-analyser i forensisk verksamhet för att ta fram dna-profiler eller forensiska uppslag. genetiska uppgifter från såväl identifierade som oidentifierade personer. Eftersom nedärvda eller förvärvade genetiska kännetecken för en person kan framgå av ett spår som påträffas vid utredning av en händelse, omfattas även analys av spåren av definitionen, trots att de vid den 2020/21:224 tidpunkten inte går att härleda till en identifierad person. Den dna-profil som behandlas i ett dna-register utgör däremot inte en genetisk uppgift, eftersom inga nedärvda eller förvärvade genetiska kännetecken kan utläsas ur den. En dna-profil är i stället en biometrisk uppgift, eftersom den tas fram genom en särskild teknisk behandling av en persons arvsmassa för att möjliggöra eller bekräfta identifiering av personen i fråga. Mottagare definieras som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Ordet behandlas i avsnitt 6.5. Undantaget omfattar bl.a. myndigheter som tar del av personuppgifter i sin tillsyn och kontroll av viss verksamhet, t.ex. Integritetsskydds- myndigheten och Statens inspektion för försvarsunderrättelseverksam- heten. Även andra myndigheter som utövar tillsyn, t.ex. ombudsmän () och Justitiekanslern, omfattas av undantaget. Med personuppgift avses varje upplysning om en identifierad eller identifierbar fysisk person som är i livet. Ordet behandlas i avsnitt 6.5. Varje information som kan hänföras till en fysisk person är en personuppgift. Det gäller även information som kan hänföras till en individ om en fysisk person kan identifieras med hjälp av informationen. Det krävs inte att den personuppgiftsansvarige ska förfoga över samtliga uppgifter som gör identifieringen möjlig. Det innebär att t.ex. oidentifierade fingeravtryck och dna-profiler är personuppgifter, eftersom det är möjligt att identifiera en person med hjälp av dem. Även bild- eller ljudupptagningar kan utgöra personuppgifter, om man direkt eller indirekt kan avgöra vilken individ som upptagningen avser. Uppgifter om juridiska personer omfattas inte av definitionen. Personuppgiftsansvarig är enligt definitionen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Ordet behandlas i avsnitt 11.1. Att bestämma ändamålen med behandlingen innebär i princip att bestämma att en behandling ska utföras och varför. Att bestämma medlen för behandlingen avser främst att bestämma över de tekniska och organisatoriska medlen, dvs. hur behandlingen ska gå till. Det kan handla om vilka personuppgifter som ska behandlas, vilka som ska få ta del av dem och hur länge personuppgifterna får behandlas. Den personuppgiftsansvarige styr dock inte alltid själv över alla medel för behandlingen. Vid direktåtkomst bestämmer den som medger åtkomsten hur tillgången tekniskt ska lösas och vilka personuppgifter som ska tillgängliggöras. Den som ges direktåtkomst är personuppgiftsansvarig för behandlingen av de personuppgifter som direktåtkomsten avser. Ett personuppgiftsbiträde är en fysisk eller juridisk person som behandlar personuppgifter för den personuppgiftsansvariges räkning. Ordet behandlas i avsnitt 11.5.1. Ett personuppgiftsbiträde behandlar personuppgifter endast enligt instruktioner från den personuppgiftsansvarige och har inte rätt att själv bestämma över personuppgiftsbehandlingen. Ett personuppgiftsbiträde finns alltid utanför den egna organisationen. En anställd eller någon annan som behandlar personuppgifter under den personuppgiftsansvariges direkta ansvar kan inte vara personuppgiftsbiträde. Med registrerad avses den fysiska person som en personuppgift rör. Ordet behandlas i avsnitt 6.5. Av definitionen av personuppgift framgår bl.a. att personen ska vara i livet. Tredje part är någon annan än den registrerade, personuppgiftsansvarige, dataskyddsombudet, personuppgiftsbiträdet, och sådana personer som under den personuppgiftsansvarige eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter. Uttrycket behandlas i avsnitt 6.5. Uppgiftssamling är en samling med uppgifter som med hjälp av automatiserad behandling är gemensamt tillgängliga. Ordet behandlas i avsnitt 6.5. Avgörande för när automatiserat behandlade uppgifter ska anses ingå i en uppgiftssamling är att uppgifterna är gemensamt tillgängliga i Försvarsmaktens verksamhet enligt vad som framgår av lagen och föreskrifter som har meddelats i anslutning till lagen. 6 § Försvarsmakten är personuppgiftsansvarig för all behandling av person- uppgifter som myndigheten utför, som utförs under myndighetens ledning eller på dess vägnar. Paragrafen reglerar personuppgiftsansvar. Övervägandena finns i avsnitt 11.1. Paragrafen utformas enligt Lagrådets förslag. I paragrafen anges att Försvarsmakten är personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför, som utförs under myndighetens ledning eller på dess vägnar. Den närmare innebörden av personuppgiftsansvaret framgår av övriga bestämmelser i lagen och föreskrifter som har meddelats i anslutning till lagen. Personuppgiftsansvaret omfattar alltså all behandling av person- uppgifter som utförs vid myndigheten. Det gäller både behandling som utförs genom en aktiv handling, t.ex. insamling eller sökning, och passiv behandling, t.ex. lagring. Ansvaret omfattar däremot inte sådan 2020/21:224 behandling som myndigheten utför i egenskap av personuppgiftsbiträde. Genom att ansvaret knyts till behandling som utförs under Försvarsmaktens ledning tydliggörs att det inte är myndigheten som utför personuppgiftsbehandlingen utan de anställda. Försvarsmakten är också ansvarig för den behandling av person- uppgifter som utförs på myndighetens vägnar. Med det avses främst sådan behandling som Försvarsmakten har uppdragit åt ett personuppgiftsbiträde att utföra. Försvarsmakten kan uppdra åt ett biträde att utföra viss behandling av personuppgifter, men kan inte genom det avsäga sig personuppgiftsansvaret. Personuppgiftsansvaret sträcker sig då utanför Försvarsmaktens egen verksamhet. Personuppgiftsbiträdets behandling ska styras av skriftliga avtal eller andra skriftliga överenskommelser och får endast utföras enligt instruktioner från Försvarsmakten, se författnings- kommentarerna till 4 kap. 7 och 9 §§. Två eller flera personuppgiftsansvariga kan behandla samma person- uppgifter för olika ändamål, t.ex. om de har direktåtkomst till personuppgifter i samma system. Varje personuppgiftsansvarig är då ansvarig för den behandling som utförs under dennes ledning eller på dennes vägnar. 2 kap. Behandling av personuppgifter Grundläggande krav på behandlingen 1 § Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål som de ursprungligen behandlades för. I paragrafen regleras grundläggande krav på behandlingen av person- uppgifter i fråga om krav på ändamål. Övervägandena finns i avsnitt 7.1. Enligt första stycket får personuppgifter bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Det ställs alltså krav på att varje personuppgiftsbehandling ska ha koppling till de ändamål som anges i lagen, dvs. vara relevant i de verksamheter som utgör rättsliga grunder för personuppgiftsbehandling och är ägnade att lösa Försvarsmaktens uppgifter enligt lag eller annan författning, eller ett särskilt beslut av regeringen. Detta innebär att ändamålen med en behandling av person- uppgifter måste bestämmas redan när uppgifterna samlas in. Av andra stycket framgår att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål som de ursprungligen behandlades för. Bestämmelsen ger uttryck för den generella s.k. finalitetsprincipen, dvs. att fortsatt behandling inte får ske för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen behandlades. Vad som kan utgöra oförenliga ändamål måste avgöras i det enskilda fallet. Det innebär att den personuppgiftsansvarige måste hålla reda på för vilka ändamål varje personuppgift ursprungligen har behandlats för. 2 § Försvarsmakten får behandla personuppgifter om det är nödvändigt för att planera, förbereda och genomföra verksamhet som rör 1.Sveriges försvar och säkerhet, eller 2.internationellt försvars- och säkerhetssamarbete. Försvarsmaktens uppgift att bedriva sådan verksamhet som anges i första stycket ska följa av lag, förordning, kollektivavtal eller annat avtal, eller ett särskilt beslut där regeringen har gett myndigheten i uppdrag att utföra uppgiften. För Försvarsmaktens behandling av personuppgifter i myndighetens försvarsunderrättelseverksamhet och militära säkerhetstjänst gäller i stället 3–8 §§. Paragrafen anger vissa ändamål för Försvarsmaktens personuppgifts- behandling. Övervägandena finns i avsnitt 7.2.1. Personuppgifter får enligt första stycket behandlas av Försvarsmakten om det är nödvändigt för att planera, förbereda och genomföra viss verksamhet. Enligt första stycket 1 får personuppgifter behandlas om det är nödvändigt för att planera, förbereda och genomföra verksamhet som rör försvar och säkerhet. Bestämmelsen omfattar bl.a. all den verksamhet som krävs för att utveckla och upprätthålla Försvarsmaktens grundläggande uppgift att kunna försvara mot ett väpnat angrepp. Bestämmelsen omfattar även myndighetens personaladministrativa verksamhet, som bl.a. utgör en väsentlig del i Försvarsmaktens krigs- organisation. För Försvarsmaktens diarieföring, arkivering, handläggning av ett ärende eller för att utföra en liknande uppgift som myndigheten har finns en ändamålsbestämmelse i 9 §. Lagen omfattar inte Försvarsmaktens behandling av personuppgifter som sker när myndigheten lämnar stöd till civila aktörer i situationer som inte kan knytas till försvar eller säkerhet. I sådana fall är EU:s dataskyddsförordning och dataskyddslagen (2018:218) tillämpliga för myndighetens behandling av personuppgifter (jfr författnings- kommentaren till 1 kap. 2 §). Enligt första stycket 2 får personuppgifter även behandlas om det är nödvändigt för att planera, förbereda och genomföra verksamhet som rör internationellt försvars- och säkerhetssamarbete. Samarbetet kan vara bilateralt eller multilateralt och myndighetens deltagande i sådant samarbete sker med stöd av föreskrifter i förordning eller regeringens beslut i enskilda fall. Enligt andra stycket ska Försvarsmaktens uppgifter att bedriva verksamhet enligt första stycket framgå av lag, förordning, kollektivavtal eller annat avtal, eller ett särskilt beslut där regeringen har gett myndigheten i uppdrag att ansvara för uppgiften. Förfogandelagen (1978:262) och förordningen (2007:1266) med instruktion för Försvars- makten är exempel på sådana författningar. Tänkbara exempel på annat avtal än kollektivavtal kan vara avtal som Försvarsmakten ingår med en leverantör vid upphandling, med en markägare vid upplåtelse av mark i samband med Försvarsmaktens övningar eller med en fodervärd för en av Försvarsmaktens tjänstehundar. I tredje stycket tydliggörs att ändamålen för behandling av person- uppgifter inom Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst finns i 3–8 §§. 2020/21:224 Försvarsunderrättelseverksamhet 3 § Personuppgifter får behandlas i Försvarsmaktens försvarsunderrättelse- verksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet. Paragrafen anger ändamål för vilka personuppgifter får behandlas i Försvarsmaktens försvarsunderrättelseverksamhet. Övervägandena finns i avsnitt 7.2.2. I paragrafen anges att personuppgifter får behandlas i Försvarsmaktens försvarsunderrättelseverksamhet. En förutsättning för sådan behandling är att det är nödvändigt att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet. Försvarsunderrättelseverksamheten är ett led i Försvarsmaktens uppgifter att i fred, under beredskap och i krig ge underlag för Försvarsmaktens beredskap, operativa verksamhet och förbands- produktion samt för krigsorganisationens utveckling och materiella för- nyelse. Försvarsunderrättelseverksamhet består av inhämtning, bearbetning och analys samt delgivning av information. Härigenom utarbetas underrättelser som delges och andra berörda myndigheter. Det är regeringen som bestämmer inriktningen av försvars- underrättelseverksamheten. I försvarsunderrättelseverksamheten behandlas personuppgifter som avser t.ex. uppgifter om utländsk militär personal, politiker eller andra viktiga befattningshavare. Denna typ av uppgifter är nödvändiga att behandla för att informationsunderlaget för svensk utrikes-, försvars- och säkerhetspolitik ska bli komplett. Försvarsunderrättelseverksamheten ska identifiera och redovisa eller ge förvarning om sådana förändringar i omvärldsläget att detta kan ligga till grund för politiska beslut om totalförsvarets anpassning . 4 § De personuppgifter som Försvarsmakten har fått tillgång till i myndighetens försvarsunderrättelseverksamhet får fortsätta behandlas i den verksamheten, om det behövs för att fullgöra den. Första stycket gäller endast om inte något annat följer av denna lag eller en förordning som regeringen har meddelat i anslutning till lagen. Paragrafen kompletterar 3 § när det är tillåtet att behandla personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet. Övervägandena finns i avsnitt 7.2.2. I första stycket anges att de personuppgifter som Försvarsmakten har fått tillgång till i sin försvarsunderrättelseverksamhet även fortsättningsvis får behandlas i den verksamheten, om det behövs för att fullgöra den. Härigenom möjliggörs en fortsatt behandling av personuppgifter som finns inom Försvarsmaktens försvarsunderrättelseverksamhet, under förutsättning att en sådan behandling är nödvändig för att fullgöra den verksamheten. Det möjliggör i sin tur en behandling som inte alltid direkt kan hänföras till regeringens gällande inriktning av försvarsunderrättelseverksamheten. Det är av grundläggande betydelse att Försvarsmakten kan behandla äldre information, inbegripet person- uppgifter, för att kunna förstå och bedöma den underrättelsemässiga Prop. 2020/21:224 relevansen av sådant som sker vid den aktuella tidpunkten. Första stycket gäller endast om inte något annat följer av lagen eller en förordning som regeringen har meddelat i anslutning till lagen. Detta framgår av andra stycket. 5 § Personuppgifter får behandlas i Försvarsmaktens militära säkerhetstjänst för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen, om det är nödvändigt för att 1.klarlägga verksamhet som innefattar hot mot säkerhet, eller 2.vidta åtgärder som hindrar eller försvårar säkerhetshotande verksamhet. Paragrafen anger de ändamål för vilka personuppgifter får behandlas i den militära säkerhetstjänsten. Övervägandena finns i avsnitt 7.2.3. Ändamålet med behandlingen av personuppgifter inom den militära säkerhetstjänsten är att myndigheten ska kunna fullgöra de uppgifter som följer av bl.a. säkerhetsskyddslagen (2018:585), säkerhetsskydds- förordningen (2018:658) och förordningen (2007:1266) med instruktion för Försvarsmakten. Uppgifter får behandlas i Försvarsmaktens militära säkerhetstjänst för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen. Enligt punkten 1 får personuppgifter behandlas för att klarlägga verksamhet som innefattar hot mot rikets säkerhet. Därvid får, under de närmare förutsättningar som anges i 6 §, också behandlas uppgifter om personer med anknytning till sådan verksamhet. Med denna punkt avses säkerhetsunderrättelsetjänst. Verksamheten sker i stort under samma arbetsformer och med utnyttjande av samma typ av källor som används i försvarsunderrättelseverksamheten. Av punkten 2 framgår att personuppgifter får behandlas om det är nödvändigt för att vidta åtgärder som hindrar eller försvårar säkerhets- hotande verksamhet. Inom säkerhetsskyddstjänsten vidtas olika åtgärder för att förhindra eller försvåra säkerhetshotande verksamhet. Verksamheten består i att förebygga att hemliga uppgifter som rör rikets säkerhet obehörigen röjs, ändras eller förstörs. Verksamheten syftar också till att skydda Försvarsmaktens personal, materiel och anläggningar. Punkten omfattar också signalskyddstjänst, som syftar till att minska verkan av signalspaning, falsk signalering och störsändning mot total- försvarets telekommunikations- och informationssystem. Verksamheten ska förhindra obehörig insyn i och påverkan av totalförsvarets telekommunikationer, samt verka för användning av kryptografiska funktioner i informationssystemen. Signalkontroll innebär att underlag inhämtas främst genom avlyssning av analog och digital signalering i telekommunikations- och informationssystem. De inhämtade underlagen granskas och bearbetas, varefter gjorda iakttagelser delges och rapporteras. Signalkontroll genomförs i totalförsvarets telekom- munikations- och informationssystem stickprovsvis med hjälp av fasta eller rörliga kontrollorgan. I 8 § finns en särskild bestämmelse om personuppgiftsbehandling i signalkontrollverksamheten. 2020/21:224 6 § Personuppgifter får behandlas för de ändamål som anges i 5 § endast om 1.personuppgifterna är nödvändiga för att kartlägga verksamhet som innefattar brott som kan hota säkerhet eller terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott eller enligt motsvarande äldre föreskrifter, 2.personuppgifterna är nödvändiga för att kartlägga underrättelseverksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen, 3.personuppgifterna är nödvändiga för att kartlägga annan säkerhetshotande verksamhet än som avses i 1 och som innefattar brott eller åsidosättande av skyldigheter i anställning hos Försvarsmakten, om det finns särskilda skäl till att uppgiften ska behandlas, 4.personuppgifterna är nödvändiga för att bedöma om en person som har lämnat uppgifter om säkerhetshotande verksamhet är trovärdig, eller 5.personuppgifterna är nödvändiga för att genomföra säkerhetsprövning enligt säkerhetsskyddslagen (2018:585) eller för att utföra en uppgift som rör säkerhetsskydd. I paragrafen preciseras de ändamål för vilka personuppgifter får behandlas inom den militära säkerhetstjänsten. Övervägandena finns i avsnitt 7.2.3. Paragrafen utformas enligt Lagrådets förslag. Enligt punkten 1 får personuppgifter behandlas om de är nödvändiga för att kartlägga verksamhet som innefattar brott som kan hota säkerhet eller terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott eller enligt motsvarande brottslighet enligt äldre föreskrifter.