prop · H803224 · 2021-09-13 00:00:00 — nya lagen med den skillnaden att behandling av personuppgifter för detta ändamål även får avse sådana uppgifter som den enskilde har gjort offentliga (se avsnitt 8.4). Enligt utredningens förslag ska det inte heller ställas krav på en förteckning. Som skäl för detta anför utredningen att Försvarsmakten är skyldig att spara sådana uppgifter redan på grund av bl.a. lagens krav om rättslig grund och loggning. förslag har även dataskyddsombudet till uppgift att föra förteckning över Regeringen konstaterar att den förteckning som i vissa fall ska föras inom ramen för signalkontrollverksamheten avser en specifik behandling 2020/21:224 som syftar till att identifiera en person och de uppgifter som utgjort anledningen till behandlingen. Ifrågavarande förteckning skiljer sig därför från de förteckningar över myndighetens personuppgiftsbehandling som den personuppgiftsansvarige ska föra (se avsnitt 11.4). Med hänsyn till förteckningens värde ur ett integritetsskyddsperspektiv bör ett motsvarande krav även införas i den nya lagen. Med den justeringen bör utredningens förslag genomföras. 7.2.5Ärendehandläggning och liknande uppgifter Regeringens förslag: Försvarsmakten får behandla personuppgifter om det är nödvändigt för diarieföring, arkivering eller handläggning av ett ärende eller för att utföra andra liknande uppgifter som myndigheten har. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen använder uttrycket rättslig grund. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Tillämpningsområdet för den nya lagen inbegriper även administrativ verksamhet hos Försvarsmakten. Enligt nuvarande ordning regleras detta i personuppgiftslagen och FM- PuL saknar därför bestämmelser om diarieföring, arkivering eller handläggning av ärenden eller andra liknande uppgifter som Försvarsmakten har. Regeringen anser, i likhet med utredningen, att det av den nya lagen bör framgå att myndigheten även får behandla personuppgifter kopplade till sådana åtgärder. Försvarsmakten har elektroniska ärendehanteringssystem i vilka person- uppgifter är sökbara enligt särskilda kriterier och behörigheter. Diarie- föringen vid Försvarsmakten avser handlingar som rör försvar och säkerhet. Detsamma gäller de arkiverade handlingarna. Ärende- handläggningen vid myndigheten kan t.ex. avse skadeståndsärenden, tillträdesärenden där en annan stat begär att få tillträde till svenskt territorium, ärenden inom Försvarsmaktens tillsyns- och inspektions- verksamhet, ärenden då Försvarsmakten ansöker om miljötillstånd, ärenden enligt förfogandelagstiftningen, ärenden om kvalificerade skyddsidentiteter och ärenden om utlämnande av allmän handling. Myndigheten är också skyldig att t.ex. besvara frågor rörande försvar och att kommunicera med anställda eller värnpliktiga i frågor som rör deras tjänst. Det förekommer också ärenden om utvärdering av den egna verksamheten såsom tidredovisning, lönesättning och sjuktal. Som utredningen föreslår bör den behandling av personuppgifter som uppkommer i bl.a. dessa verksamheter omfattas av den nya lagen. 7.2.1behandlas även vissa bestämmelser i övrigt som kommer att bli tillämpliga i Försvarsmaktens administrativa verksamhet. Regeringens förslag: Personuppgifter får behandlas i Försvarets radioanstalts försvarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen om försvarsunder- rättelseverksamhet och lagen om signalspaning i försvarsunderrättelse- verksamhet. De personuppgifter som har fått tillgång till i sin försvarsunderrättelseverksamhet får även fortsätta behandlas i den verksamheten, om det behövs för att fullgöra den. Detta gäller dock endast om inte något annat följer av den nya lagen eller en förordning som har meddelats i anslutning till lagen. Personuppgifter som behandlar i försvars- underrättelseverksamheten får myndigheten även behandla om det är nödvändigt för att tillhandahålla information som behövs 1.i verksamhet hos berörda myndigheter som avses i 2 § lagen (2000:130) om försvarsunderrättelseverksamhet, 2.med anledning av samarbete med andra länder och internationella organisationer enligt lagen om försvarsunderrättelseverksamhet och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet, 3.i Försvarets radioanstalts utvecklingsverksamhet för det ändamål som gäller för den verksamheten, 4.i Försvarets radioanstalts informationssäkerhetsverksamhet för det ändamål som gäller för den verksamheten, eller 5.för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Datainspektionen anser att behovet av att ta bort nuvarande krav på preciserad inriktning för att kunna bedriva en effektiv underrättelseverksamhet bör vägas mot lagstiftarens skäl för att införa begränsningen. Datainspektionen ställer sig vidare tveksam till utredningens bedömning att förslaget till sekundära ändamåls- bestämmelser utgör en kodifiering av gällande finalitetsprincip. Statens inspektion för försvarsunderrättelseverksamheten anser att det är sannolikt att ett borttaget krav på en anknytning till en preciserad inriktning vid personuppgiftsbehandling leder till att fler personuppgifter behandlas och därmed medför en risk för ökat integritetsintrång för den enskilde. Myndigheten pekar vidare på risken för ett ökat integritetsintrång för den enskilde då utbyten av personuppgifter mellan försvarsunderrättelse- verksamheten och informationssäkerhetsverksamheten innebär att uppgifterna kommer fler till del. Skälen för regeringens förslag Behandling av personuppgifter i försvarsunderrättelseverksamheten får enligt nuvarande ordning behandla personuppgifter om det är nödvändigt för att bedriva den verksamhet som anges i lagen om försvarsunderrättelseverksamhet (1 kap. 8 § första stycket FRA-PuL). bedriver signalspaning i försvarsunderrättelseverksamhet enligt lagen om signalspaning i försvarsunderrättelseverksamhet. I enlighet med utredningens förslag bör en ändamålsbestämmelse ge uttryck för att får behandla personuppgifter i sin försvarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen om försvarsunderrättelseverksamhet och lagen om signalspaning i försvarsunderrättelseverksamhet. På motsvarande sätt som gäller för FM-PuL, finns även i FRA-PuL ett krav på att uppgifter om en person endast får behandlas om personen har anknytning till en preciserad inriktning för försvarsunderrättelse- verksamheten och behandlingen är nödvändig för att fullfölja den inriktningen (1 kap. 8 § andra stycket FRA-PuL). Utredningen föreslår, i likhet med sitt förslag till ny lag för Försvarsmaktens personuppgiftsbehandling, att kopplingen enligt nuvarande ordning till en preciserad inriktning ska tas bort för Försvarets radioanstalts behandling av personuppgifter (jfr avsnitt 7.2.2). Inom finns, på motsvarande sätt som för Försvarsmakten, ett behov av att i försvarsunderrättelseverksamheten behandla äldre information, inbegripet personuppgifter, för att man ska kunna förstå och bedöma den underrättelsemässiga relevansen av sådant som sker . Utredningens förslag ger också ett stöd för behandling av personuppgifter som behövs för att ska kunna uppfylla de krav som uppdragsgivarna ställer på snabbhet och flexibilitet i samband med internationella kriser och andra hastigt uppkomna händelser. Enligt Datainspektionen kan det finnas en risk för att förslaget i denna del möjliggör även kan behandla personuppgifter som inte har samlats in i enlighet med lagstiftningen. Med hänsyn till den tydliga ram som lagen om försvarsunderrättelseverksamhet och lagen om signalspaning i försvarsunderrättelseverksamhet ger, ser regeringen inte någon sådan risk. Utredningens förslag i denna del bör därför genomföras. Som Statens inspektion försvarsunderrättelseverksamheten uppmärk- sammar kan förslaget komma att medföra att tidigare inhämtade personuppgifter behandlas i större utsträckning jämfört med nuvarande reglering. Regeringen bedömer att det allmännas behov av en sådan ordning överväger det begränsade integritetsintrång för enskilda som en fortsatt behandling innebär. Det är den försvarsunderrättelseverksamhet som ska och får bedrivas med stöd av lagen om försvarsunderrättelse- verksamhet och lagen om signalspaning i försvarsunderrättelseverksamhet som ytterst sätter gränserna. Lagrådet anser att det kan finnas skäl att tydliggöra att de ändamål som förslaget innehåller i fråga om Försvarets radioanstalts behandling av personuppgifter i utvecklingsverksamheten och informationssäkerhets- verksamheten utgör särskilda bestämmelser för försvarsunderrättelse- Lagrådet föreslår därför att det i den nya lagen införs en särskild upplysningsbestämmelse om detta. Regeringen anser dock att utformningen enligt lagrådsremissens förslag är tillräckligt tydligt ur ett rättstillämpningsperspektiv och därför bör stå kvar. Behandling av personuppgifter för sekundära ändamål Vidarebehandling av personuppgifter för vissa andra ändamål än de ursprungliga ändamålen får göras med stöd av 1 kap. 6 § 4 FRA-PuL. Bestämmelsen ger uttryck för finalitetsprincipen, dvs. att den personuppgiftsansvarige har möjlighet att fortsatt behandla insamlade personuppgifter så länge de inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in. Som utredningen föreslår bör det i den nya lagen införas preciserade ändamålsbestämmelser om i vilka fall får behandla personuppgifter för ett annat ändamål än för det ändamål för vilket personuppgifterna har samlats in. En sådan ordning skapar enligt regeringens mening ökad tydlighet och innebär ett stärkt integritetsskydd. Försvarets radioanstalts verksamhetsansvar är av sådan tydligt avgränsad omfattning att ett införande av sekundära ändamål är lämpligt när det gäller behandling av personuppgifter i myndighetens försvarsunderrättelse- och utvecklingsverksamhet, samt informations- säkerhetsverksamhet, vilket utredningen också föreslår. Regeringen anser, till skillnad från Datainspektionen, att det inte finns skäl att ifrågasätta utredningens bedömning att förslaget innebär en kodifiering av finalitetsprincipen och en möjlighet att i tydliggörande bestämmelser reglera personuppgiftsbehandling för sekundära ändamål. Förslaget har uppenbara fördelar ur ett integritetsskyddsperspektiv och motsvarande reglering om behandling av personuppgifter för sekundära ändamål finns även i andra regelverk om personuppgiftsbehandling, t.ex. totalförsvars- datalagen. Det bör således av den nya lagen framgå att personuppgifter som behandlas i Försvarets radioanstalts försvarsunderrättelseverksamhet även får behandlas i myndighetens utvecklingsverksamhet om det är nödvändigt för att tillhandahålla information som behövs i utvecklings- verksamheten för de ändamål som gäller för den verksamheten. Informationsverksamheten är nära knuten till vissa delar av försvarsunderrättelseverksamheten vilket ger unika möjligheter till ökad säkerhet på it-området. Av den anledningen är det viktigt att person- uppgifter som behandlas i försvarsunderrättelseverksamheten också får behandlas i informationssäkerhetsverksamheten enligt de ändamål som anges för den verksamheten. bör även få behandla personuppgifter i syfte att kunna lämna information till andra i verksamhet hos berörda myndigheter som avses i 2 § lagen om försvarsunderrättelse- verksamhet, vid samarbete med andra länder och internationella organisationer enligt lagen om försvarsunderrättelseverksamhet och lagen om signalspaning i försvarsunderrättelseverksamhet, samt vid biträde till andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall. Den föreslagna regleringen innebär således att personuppgifts- behandling för vissa sekundära ändamål uttryckligen anges i lagen i stället 2020/21:224 för att som tidigare enbart grundas på den lagstadgade finalitetsprincipen. Finalitetsprincipen, som även föreslås komma till uttryck i den nya lagen, gäller därutöver. Förslaget i denna del är enligt regeringen att betrakta som ett tydliggörande i förhållande till befintlig bestämmelse i FRA-PuL om finalitetsprincipen. Med hänsyn till de behov av skyddsåtgärder som finns på försvarsunderrättelse- och informationssäkerhetsområdet kan det, som Statens inspektion försvarsunderrättelseverksamheten påpekar, förväntas att utbytet av personuppgifter inom kan komma att öka. Som behandlas i avsnitt 11.3.2 ska det även fortsatt framgå av lag att tillgången till personuppgifter ska begränsas till vad var och en behöver för att fullgöra sina arbetsuppgifter. Det begränsade intrång i den personliga integriteten som förslaget innebär får anses vara acceptabelt i förhållande till verksamheternas syfte. Försvarets radioanstalts personaladministrativa verksamhet omfattas inte av den nya lagen Utredningen föreslår inte att den nya lagen ska omfatta även personal- administrativ verksamhet hos . Regeringen anser att en sådan ordning i och för sig skulle kunna övervägas. Det saknas dock beredningsunderlag för att göra detta inom ramen för nu aktuellt lagstiftningsprojekt. Regeringens förslag: får i utvecklings- verksamheten behandla personuppgifter om det är nödvändigt för försvarsunderrättelseverksamheten för att 1.följa förändringar i signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, och 2.fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten. Personuppgifter som behandlas i Försvarets radioanstalts utvecklingsverksamhet får myndigheten även behandla om det är nödvändigt för att tillhandahålla information som behövs 1.med anledning av samverkan med annan i fråga om utvecklings- verksamhet, 2.med anledning av samarbete om utvecklingsverksamhet med utländsk underrättelse- eller säkerhetstjänst enligt lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet, 3.i Försvarets radioanstalts försvarsunderrättelseverksamhet för det ändamål som gäller för den verksamheten, 4.i Försvarets radioanstalts informationssäkerhetsverksamhet för det ändamål som gäller för den verksamheten, eller 5.för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: tillstyrker utredningens Prop. 2020/21:224 förslag. Övriga remissinstanser yttrar sig inte över utredningens förslag. Skälen för regeringens förslag Behandling av personuppgifter i utvecklingsverksamheten ska enligt sin instruktion särskilt följa förändringen av signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet. Myndigheten ska också fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten enligt lagen om signalspaning i försvarsunderrättelseverksamhet, som anger att signaler i elektronisk form får inhämtas vid signalspaning för dessa syften. Myndigheten ska enligt sin instruktion även utföra matematiska bedömningar av kryptosystem för totalförsvaret samt biträda andra myndigheter vid värdering, utveckling, anskaffning och drift av signalspaningssystem. När teknik utvecklas och när nya metoder för forcering av krypterad information arbetas fram används oftast autentiskt signalspaningsmaterial för att man ska kunna vara säker på teknikens riktighet. Det autentiska materialet kan innehålla personuppgifter. Stöd för denna personuppgifts- behandling finns i 1 kap. 9 § FRA-PuL. Enligt bestämmelsen får personuppgifter behandlas av om det är nödvändigt för att följa förändringar av signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, och fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten. I enlighet med utredningens förslag bör en motsvarande bestämmelse införas i den nya lagen. Behandling av personuppgifter för sekundära ändamål Från integritetsskyddssynpunkt är det en fördel att så långt som möjligt precisera i vilka fall personuppgiftsbehandling får ske för annat ändamål än det ändamål enligt vilket uppgifterna har samlats in (jfr avsnitt 7.3.1). Den information som strävar efter att finna och rapportera, i syfte att tillgodose uttryckta underrättelsebehov, är ofta konfidentiell och således skyddsvärd för den källa som hanterar informationen. Informationen är därför ofta försedd med någon form av åtkomstskydd för att förhindra obehörig åtkomst. För att framgångsrikt kunna bedriva försvarsunderrättelseverksamhet krävs därför aktuell och ingående kunskap dels om hur signaler förmedlas och hanteras i elektronisk form, dels om de mekanismer som används för att skydda informationen. Personuppgifter som behandlas i Försvarets radioanstalts utvecklingsverksamhet bör därför även få behandlas om det är nödvändigt för att tillhandahålla information som behövs i samverkan med annan avseende utvecklingsverksamhet eller med anledning av samarbete om utvecklingsverksamhet med utländsk underrättelse- eller säkerhetstjänst enligt lagen om signalspaning i försvarsunderrättelseverksamhet. Eftersom utvecklingsverksamheten syftar till att främja försvarsunder- rättelseverksamheten är det inte oförenligt med det ändamål för vilket uppgifterna samlas in att uppgifterna också behandlas för att tillhandahålla information som behövs i försvarsunderrättelseverksamheten. som utredningen föreslår komma till uttryck i den nya lagen. 2020/21:224 Försvarets radioanstalts utvecklingsverksamhet har också betydelse för myndighetens informationssäkerhetsverksamhet. Även i detta fall är det inte oförenligt med det ändamål för vilket uppgifterna samlats in att de också behandlas för att tillhandahålla information i den verksamheten. Den föreslagna regleringen innebär således att personuppgifts- behandling för vissa sekundära ändamål uttryckligen anges i lagen i stället för att som tidigare enbart grundas på den lagstadgade finalitetsprincipen. Finalitetsprincipen, som även föreslås komma till uttryck i den nya lagen, gäller därutöver. Regeringens förslag: Personuppgifter får behandlas i Försvarets radioanstalts informationssäkerhetsverksamhet om det är nödvändigt för att kunna skydda den egna myndigheten eller för att kunna stödja andra verksamheter som är av betydelse för säkerhet. Uppgiften att lämna stöd till andra verksamheter ska följa av lag eller förordning eller beslut av regeringen i ett enskilt fall. Personuppgifter som behandlas i Försvarets radioanstalts informationssäkerhetsverksamhet får myndigheten även behandla om det är nödvändigt för att tillhandahålla information som behövs 1.i verksamhet hos den som tar emot informationssäkerhetsuppgifter, 2.med anledning av samverkan med andra som verkar på informationssäkerhetsområdet såväl inom som utom landet i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall, 3.i Försvarets radioanstalts försvarsunderrättelseverksamhet när det gäller att kartlägga allvarliga yttre hot mot samhällets infrastruktur och främmande underrättelseverksamhet mot svenska intressen, samt 4.i Försvarets radioanstalts utvecklingsverksamhet för det ändamål som gäller för den verksamheten. Utredningens förslag överensstämmer i huvudsak med regeringens Remissinstanserna: tillstyrker utredningens Statens inspektion för försvarsunderrättelseverksamheten påminner om att myndigheten inte har fått till uppgift att granska Försvarets radioanstalts informationssäkerhetsverksamhet. Skälen för regeringens förslag Behandling av personuppgifter i informationssäkerhetsverksamheten har i uppdrag att vara statens resurs för teknisk informationssäkerhet och ska ha hög kompetens inom informations- säkerhetsområdet. Myndigheten får efter begäran stödja myndigheter och statligt ägda bolag som hanterar information som bedöms vara känslig från sårbarhetssynpunkt eller i ett säkerhets- eller försvarspolitiskt avseende samt tilldela säkra kryptografiska funktioner till ett antal civila myndigheter och organisationer (4 § förordningen med instruktion för och 17 § förordningen om totalförsvar och höjd Försvarets radioanstalts stöd innebär bl.a. att Försvarets radioanstalt på uppdragsgivarens begäran söker efter och analyserar brister i säkerheten i datorsystemen. Ett annat exempel på stöd är Försvarets radioanstalts tekniska detekterings- och varningssystem som beskrivs i avsnitt 4.2.2. Den personuppgiftsbehandling som genomför i egenskap av personuppgiftsansvarig inom ramen för informations- säkerhetsverksamheten omfattas inte av FRA-PuL. Regeringen anser i likhet med utredningen att det i den nya lagen bör införas en bestämmelse som anger att personuppgifter får behandlas i Försvarets radioanstalts informationssäkerhetsverksamhet om det är nödvändigt för att kunna skydda den egna myndigheten eller för att kunna stödja andra verksamheter som är av betydelse för säkerhet. Försvarets radioanstalts uppgift att lämna stöd till andra verksamheter ska följa av lag eller förordning eller beslut av regeringen i ett enskilt fall. Härigenom får en samlad reglering som gäller oavsett om myndigheten har inlett en behandling av personuppgifter i sin försvarsunderrättelseverksamhet eller inom informationssäkerhets- verksamheten. Som Statens inspektion för försvarsunderrättelseverksamheten uppmärksammar har myndigheten inte till uppgift att granska Försvarets radioanstalts informationssäkerhetsverksamhet. Regeringen vill med anledning av detta understryka att Statens inspektion för försvars- underrättelseverksamheten har getts en särskild och betydelsefull uppgift att kontrollera den försvarsunderrättelseverksamhet som bedrivs av berörda myndigheter och Försvarets radioanstalts signalspaning i försvars- underrättelseverksamhet. Statens inspektion för försvarsunderrättelse- verksamheten ska också särskilt granska den personuppgiftsbehandling som sker i dessa verksamheter hos . ska enligt regeringens förslag ha tillsynsansvaret för Försvarets radioanstalts personuppgiftsbehandling i informationssäkerhetsverksamheten (se avsnitt 13). Detta påverkar inte Statens inspektion för försvarsunderrättelseverksamhetens möjlighet att granska personuppgifter som behandlas i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. Granskningsansvaret för Försvarets radioanstalts behandling av personuppgifter inom den verksamheten gäller oaktat för vilket ändamål som personuppgifterna ursprungligen har samlats in. Behandling av personuppgifter för sekundära ändamål Från integritetsskyddssynpunkt är det en fördel att så långt som möjligt precisera i vilka fall får behandla personuppgifter för andra ändamål än det för vilket uppgifterna har samlats in (jfr avsnitt 7.3.1). Om personuppgifter hämtas in inom ramen för Försvarets radioanstalts informationssäkerhetsverksamhet bör dessa i enlighet med utredningens förslag kunna behandlas även om det är nödvändigt för att tillhandahålla information som behövs hos den som tar emot uppgifter om informationssäkerhet. Enligt Lagrådet bör det övervägas om inte lagförslaget i denna del bör få en tydligare och mer avgränsad utformning. Regeringen konstaterar att mottagaren av uppgifter om informationssäkerhet kan vara en annan 2020/21:224 myndighet eller en annan aktör för vars räkning har utfört aktiva it-kontroller eller installerat ett tekniskt detekterings- och varningssystem. Försvarets radioanstalts stöd till vissa skyddsvärda aktörer på informationssäkerhetsområdet är av stor betydelse för säkerhet, men är också av avgränsad omfattning. Med hänsyn till detta anser regeringen att lagrådsremissens lagförslag är både ändamålsenligt och tillräckligt tydligt. Det bör därför stå kvar.