prop · H803224 · 2021-09-13 00:00:00 — Den närmare innebörden av personuppgiftsansvaret framgår av övriga bestämmelser i lagen och föreskrifter som har meddelats i anslutning till lagen. Personuppgiftsansvaret omfattar alltså all behandling av person- uppgifter som utförs vid myndigheten. Det gäller både behandling som utförs genom en aktiv handling, t.ex. insamling eller sökning, och passiv behandling, t.ex. lagring. Ansvaret omfattar däremot inte sådan behandling som myndigheten utför i egenskap av personuppgiftsbiträde. Genom att ansvaret knyts till behandling som utförs under ledning tydliggörs att det inte är myndigheten som utför personuppgiftsbehandlingen utan de anställda. är också ansvarig för den behandling av person- uppgifter som utförs på myndighetens vägnar. Med det avses främst sådan behandling som har uppdragit åt ett person- uppgiftsbiträde att utföra. kan uppdra åt ett biträde Prop. 2020/21:224 att utföra viss behandling av personuppgifter, men kan inte genom det avsäga sig personuppgiftsansvaret. Personuppgiftsansvaret sträcker sig då utanför Försvarets radioanstalts egen verksamhet. Personuppgiftsbiträdets behandling ska styras av skriftliga avtal eller andra skriftliga överenskommelser och får endast utföras enligt instruktioner från , se författningskommentarerna till 4 kap. 7 och Två eller flera personuppgiftsansvariga kan behandla samma person- uppgifter för olika ändamål, t.ex. om de har direktåtkomst till personuppgifter i samma system. Varje personuppgiftsansvarig är dock ansvarig för den behandling som utförs under dennes ledning eller på dennes vägnar. 2 kap. Behandling av personuppgifter Grundläggande krav på behandlingen 1 § Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål som de ursprungligen behandlades för. I paragrafen regleras grundläggande krav på behandlingen av person- uppgifter i fråga om krav på ändamål. Övervägandena finns i avsnitt 7.1. Enligt första stycket får personuppgifter bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Det ställs alltså krav på att varje personuppgiftsbehandling ska ha koppling till de ändamål som anges i lagen, dvs. vara relevant i de verksamheter som utgör rättsliga grunder för personuppgiftsbehandling och är ägnade att lösa Försvarets radioanstalts uppgifter enligt lag eller annan författning, eller ett enskilt beslut från regeringen. Detta innebär att ändamålen med en behandling av personuppgifter måste bestämmas redan när uppgifterna samlas in. Av andra stycket framgår att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål som de ursprungligen behandlades för. Bestämmelsen ger uttryck för den generella s.k. finalitetsprincipen, dvs. att fortsatt behandling inte får ske för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen behandlades. Vad som kan utgöra oförenliga ändamål måste avgöras i det enskilda fallet. Det innebär att den personuppgiftsansvarige måste hålla reda på för vilka ändamål varje personuppgift ursprungligen har behandlats för. 2 § Personuppgifter får behandlas i Försvarets radioanstalts försvars- underrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. 2020/21:224 Paragrafen anger de ändamål för vilka får behandla personuppgifter i sin försvarsunderrättelseverksamhet. Övervägandena finns i avsnitt 7.3.1. I paragrafen hänvisas till den verksamhet som ska bedrivas enligt lagen (2000:130) om försvarsunderrättelseverksamhet och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. Försvarsunderrättelse- verksamheten ska identifiera och redovisa eller ge förvarning om sådana förändringar i omvärldsläget att detta kan ligga till grund för politiska beslut om totalförsvarets anpassning . I underrättelseverksamhetens natur ligger att det inte går att på förhand göra tydliga avgränsningar av vilka uppgifter som måste inhämtas för att nå det slutliga målet att åstadkomma de underrättelser som uppdragsgivarna efterfrågar. Inhämtad information kan motivera inhämtning av annan information som man från början inte kände till. Det kan också uppkomma behov av att värdera trovärdigheten hos källor, som man heller inte kände till från början. Verksamheten kan också gå ut på att söka efter företeelser och hot som är okända men som antas existera. 3 § De personuppgifter som har fått tillgång till i myndighetens försvarsunderrättelseverksamhet får fortsätta behandlas i den verksamheten, om det behövs för att fullgöra den. Första stycket gäller endast om inte något annat följer av denna lag eller en förordning som regeringen har meddelat i anslutning till lagen. Paragrafen kompletterar 2 § när det är tillåtet att behandla personuppgifter iFörsvarets radioanstalts försvarsunderrättelseverksamhet. Övervägan- dena finns i avsnitt 7.3.1. I första stycket anges att de personuppgifter som har fått tillgång till i sin försvarsunderrättelseverksamhet även fortsättningsvis får behandlas i den verksamheten, om det behövs för att fullgöra den. Härigenom möjliggörs en fortsatt behandling av personuppgifter som finns inom Försvarets radioanstalts försvarsunder- rättelseverksamhet, under förutsättning att en sådan behandling är nödvändig för att fullgöra den verksamheten. Härigenom möjliggörs en behandling som inte alltid direkt kan hänföras till regeringens gällande inriktning av försvarsunderrättelseverksamheten. Det är av grundläggande betydelse att kan behandla äldre information, inbegripet personuppgifter, för att kunna förstå och bedöma den underrättelsemässiga relevansen av sådant som sker . Första stycket gäller endast om inte något annat följer av lag eller förordning som regeringen har meddelat i anslutning till lagen. Detta framgår av andra stycket. 4 § Personuppgifter som behandlas med stöd av 2 och 3 §§ får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1. i verksamhet hos berörda myndigheter som avses i 2 § första stycket lagen (2000:130) om försvarsunderrättelseverksamhet, 2. med anledning av samarbete med andra länder och internationella organisationer enligt lagen om försvarsunderrättelseverksamhet och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet, 3. i utvecklingsverksamheten för de ändamål som anges i 5 §, 4. i informationssäkerhetsverksamheten för de ändamål som anges i 7 §, eller 5. för att biträda andra myndigheter i den utsträckning det följer av lag eller Prop. 2020/21:224 förordning eller om regeringen har beslutat om det i ett enskilt fall. Paragrafen reglerar vidarebehandling av personuppgifter inom försvarsunderrättelseverksamheten. Övervägandena finns i avsnitt 7.3.1. I punkten 1 anges att får behandla person- uppgifter för att tillhandahålla information som behövs hos berörda myndigheter som avses i 2 § första stycket lagen (2000:130) om försvarsunderrättelseverksamhet. Av den bestämmelsen följer att försvars- underrättelsemyndigheterna ska rapportera underrättelser till berörda myndigheter. Vilken den enskilda mottagande myndigheten är beror på det enskilda fallet. Enligt punkten 2 får vidarebehandla person- uppgifter med anledning av samarbete med andra länder och inter- nationella organisationer enligt lagen om försvarsunderrättelseverksamhet och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. Punkten innebär ett uttryckligt stöd för den behandling av personuppgifter som utför i sitt internationella samarbete inom försvarsunderrättelseverksamheten och signalspaning i sådan verksamhet. Av punkten 3 följer att även får vidarebehandla personuppgifterna om det är nödvändigt att tillhandahålla information som behövs i utvecklingsverksamheten för de ändamål som anges i 5 §. Genom punkten 4 får vidarebehandling av personuppgifterna även ske i Försvarets radioanstalts informationssäkerhetsverksamhet för de ändamål som anges i 7 §. Enligt punkten 5 får vidarebehandla person- uppgifterna om det är nödvändigt för att tillhandahålla information som behövs för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall. 5 § Om det är nödvändigt för försvarsunderrättelseverksamheten får behandla personuppgifter för att 1.följa förändringar i signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, och 2.fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten. Paragrafen reglerar de ändamål för vilka får behandla personuppgifter i sin utvecklingsverksamhet. Övervägandena finns i avsnitt 7.3.2. får behandla personuppgifter för att följa förändringar i signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet (punkten 1) och fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten (punkten 2). I samtliga fall krävs att behandlingen ska vara nödvändig för Försvarets radioanstalts försvarsunderrättelseverksamhet. 6 § Personuppgifter som behandlas med stöd av 5 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 2020/21:224 1. med anledning av samverkan med annan i fråga om utvecklingsverksamhet, 2.med anledning av samarbete om utvecklingsverksamhet med andra länder eller internationella organisationer enligt lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet, 3.i försvarsunderrättelseverksamheten för de ändamål som anges i 2 och 3 §§, 4.i informationssäkerhetsverksamheten för de ändamål som anges i 7 §, eller 5.för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall. Paragrafen reglerar vidarebehandling av personuppgifter som har behandlats inom utvecklingsverksamheten. Övervägandena finns i avsnitt 7.3.2. Enligt punkten 1 får även behandla de aktuella personuppgifterna för att tillhandahålla information som behövs med anledning av samverkan med annan i fråga om utvecklingsverksamhet. Sådan samverkan kan ske med andra myndigheter, men också andra aktörer. Av punkten 2 följer att får behandla person- uppgifterna med anledning av samarbete om utvecklingsverksamhet med andra länder eller internationella organisationer enligt lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. Enligt punkten 3 får även behandla person- uppgifterna om det är nödvändigt att tillhandahålla information som behövs i försvarsunderrättelseverksamheten för de ändamål som anges i 2 och 3 §§. Genom punkten 4 får behandling av personuppgifterna även ske i Försvarets radioanstalts informationssäkerhetsverksamhet för de ändamål som anges i 7 §. Enligt punkten 5 får även vidarebehandla personuppgifterna om det är nödvändigt för att tillhandahålla information som behövs för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall. 7 § Personuppgifter får behandlas i Försvarets radioanstalts informations- säkerhetsverksamhet om det är nödvändigt för att kunna skydda den egna myndigheten eller för att kunna stödja andra verksamheter som är av betydelse för säkerhet. Uppgiften att lämna stöd till andra verksamheter ska följa av lag eller förordning eller beslut av regeringen i ett enskilt fall. Paragrafen reglerar ändamålet för behandlingen av personuppgifter i Försvarets radioanstalts informationssäkerhetsverksamhet. dena finns i avsnitt 7.3.3. Enligt första meningen får behandling av personuppgifter ske om det är nödvändigt för att kunna skydda den egna myndigheten eller för att kunna stödja andra verksamheter som är av betydelse för säkerhet. får efter begäran stödja myndigheter och statligt ägda bolag som hanterar information som bedöms vara känslig från sårbarhetssynpunkt eller i ett säkerhets- eller försvarspolitiskt avseende säkra kryptografiska funktioner till och organisationer (4 § förordningen instruktion för och 17 § förordningen [2015:1053] Prop. 2020/21:224 om totalförsvar och höjd beredskap). Försvarets radioanstalts stöd innebär bl.a. att på uppdragsgivarens begäran söker efter och analyserar brister i säkerheten i datorsystemen. Av andra meningen framgår att uppgiften att lämna stöd till andra verksamheter ska följa av lag eller förordning eller ett beslut av regeringen i ett enskilt fall. 8 § Personuppgifter som behandlas med stöd av 7 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1.i verksamhet hos den som tar emot uppgifter om informationssäkerhet, 2.med anledning av samverkan med andra som verkar på informations- säkerhetsområdet såväl inom som utom landet i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall, 3.i försvarsunderrättelseverksamheten för de ändamål som anges i 1 § andra stycket 5 och 7 lagen (2008:717) om signalspaning i försvarsunderrättelse- verksamhet, eller 4.i utvecklingsverksamheten för de ändamål som anges i 5 §. Paragrafen reglerar sekundära ändamål för behandling av personuppgifter som först kommit att behandlas inom informationssäkerhetsverksamheten. Övervägandena finns i avsnitt 7.3.3. I punkten 1 anges att även får behandla personuppgifterna för att tillhandahålla information som behövs i verksamhet hos den som tar emot uppgifter om informationssäkerhet. Det kan röra sig om andra myndigheter och andra aktörer för vilkas räkning har utfört aktiva it-kontroller eller installerat ett tekniskt detekterings- och varningssystem. Av punkten 2 följer att får behandla person- uppgifterna inom ramen för nationell och internationell samverkan på informationssäkerhetsområdet. Behandling får endast ske i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall. Genom punkten 3 får även vidarebehandla personuppgifter om det är nödvändigt för att tillhandahålla information som behövs för vissa syften som anges i 1 § andra stycket lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. Det ska vara fråga om att kartlägga allvarliga yttre hot mot samhällets infrastruktur (andra stycket 5) och främmande underrättelseverksamhet mot svenska intressen (andra stycket 7). Genom punkten 4 får vidarebehandling av personuppgifter även ske i Försvarets radioanstalts utvecklingsverksamhet för de ändamål som anges i 5 §. 9 § får behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för den verksamhet som anges i 2, 5 och 7 §§. Paragrafen ger stöd för behandling av personuppgifter som utgör allmänt tillgänglig information. Övervägandena finns i avsnitt 7.4. 2020/21:224 får enligt paragrafen behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för den verksamhet som anges i 2, 5 och 7 §§. För att kunna bedriva en effektiv försvarsunderrättelseverksamhet behöver , utöver den information som myndigheten inhämtar genom särskilda metoder, också ha god tillgång till allmänt tillgänglig information. Därigenom kan den på särskilt sätt inhämtade informationen på ett bättre sätt sättas in i sitt rätta sammanhang. Motsvarande behov finns i myndighetens utvecklings- verksamhet och informationssäkerhetsverksamhet. Av intresse här är framför allt information som utgörs av personuppgifter som kan påträffas vid sökning på internet eller vid sökningar i öppna databaser. 10 § får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom denna lags tillämpningsområde. I paragrafen anges att får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom lagens tillämpningsområde. Övervägandena finns i avsnitt 7.5. Genom paragrafen ges möjlighet att behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål. Författningsenlig och korrekt behandling 11 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. Paragrafen reglerar författningsenlig och korrekt behandling av person- uppgifter. Övervägandena finns i avsnitt 8.1.1. Enligt paragrafen ska personuppgifter behandlas författningsenligt och på ett korrekt sätt. Att behandlingen ska ske författningsenligt innebär att den ska ske i enlighet med lag eller annan författning. Författningarna är även av betydelse för att en behandling ska anses ske på ett korrekt sätt. Vad som är ett korrekt sätt för behandling styrs dock inte enbart av författning. beslut om allmänna råd och uttalanden i fråga om personuppgiftsbehandling har också betydelse, liksom Försvarets radioanstalts interna regler. Otillåten behandling av personuppgifter kan i vissa fall vara straffbar enligt bestämmelser i , bl.a. bestämmelsen i 4 kap. 9 c § om dataintrång. Tänkbara exempel på dataintrång kan vara externa angrepp eller att någon som har tillgång till ett it-system överskrider sina befogenheter. 12 § Personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, uppdaterade. Personuppgifterna ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Paragrafen reglerar personuppgifternas kvalitet. Enligt första stycket ska de behandlade uppgifterna vara riktiga och, om det är nödvändigt uppdaterade. Personuppgifterna ska också vara adekvata och relevanta i förhållande till ändamålet med behandlingen. En personuppgift är riktig om den stämmer överens med de verkliga För att bestämma vilka de verkliga förhållandena är får man söka ledning i ändamålen med behandlingen. Det är ändamålen i det enskilda fallet som avses. Inom lagens tillämpningsområde måste frågan om en personuppgift är riktig inte bara vägas mot ändamålen med behandlingen utan även ses mot bakgrund av vad uppgiften rör, när den lämnas och vem som lämnar den. För att kunna avgöra om personuppgifterna är riktiga är det också av stor betydelse att veta om de grundar sig på fakta eller på personliga bedömningar. personuppgifter ska vara riktiga innebär inte något hinder mot att samla in exempelvis osäkra underrättelseuppgifter, under förutsättning att personuppgifterna är relevanta för arbetet och att det framgår att det är osäkert om uppgiften är riktig. De personuppgifter som behandlas behöver vara uppdaterade bara om det är nödvändigt. Frågan om det är nödvändigt att de är uppdaterade får avgöras med hänsyn till ändamålen med behandlingen. uppgifter om telefonnummer eller andra kontaktuppgifter ändras under handläggningen av ett ärende och därmed behöva uppdateras. Att personuppgifterna ska vara adekvata och relevanta innebär att ovidkommande uppgifter inte får behandlas. En prövning av om en personuppgift är nödvändig för behandlingen ska göras kontinuerligt av , inte bara när uppgiften registreras eller på annat sätt samlas in. Även vid en senare behandling ska personuppgiften behövas för just den behandlingen, annars är kravet på adekvans och relevans inte uppfyllt. Enligt andra stycket ska uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. med bestämmelsen är att förhindra att personers utseende beskrivs i ordalag som kan vara kränkande för individen. Uppgifter om utseende är inte i sig att betrakta som känsliga personuppgifter. Enligt tredje stycket får inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. utgör nödvändig behandling får avgöras av den personuppgiftsansvarige vid varje behandling. Att uppgifterna inte får vara fler än nödvändigt understryker kravet på att en fortlöpande bedömning görs. Sammantaget måste det vid all behandling prövas om det går att utelämna personuppgifter, eller i vart fall att endast använda uppgifter som indirekt går att hänföra till en viss person. är ett fullgott alternativ till att använda direkta eller indirekta person- uppgifter är förutsättningarna för att behandla personuppgifterna inte 13 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. 2020/21:224 När personuppgifter behandlas får de dock kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Paragrafen, som utformas enligt Lagrådets förslag, reglerar känsliga personuppgifter. Övervägandena finns i avsnitt 8.2. Enligt första stycket får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning inte behandlas. Det innebär att det inte är tillåtet att föra register över eller på annat sätt göra anteckningar om enskilda på den grunden att de utifrån etniskt ursprung, politiska åsikter eller något annat i paragrafen angivet förhållande kan hänföras till en viss kategori av människor. En uppgift om utseende är typiskt sett inte en känslig personuppgift och den får alltså behandlas, med den begränsning som följer av 12 § andra stycket. Om en sådan uppgift innebär uppgift om etniskt ursprung omfattas den dock av förbudet. Bestämmelsen hindrar inte att uppgifter om en persons nationalitet behandlas, eftersom en sådan uppgift normalt inte ger upplysning om etniskt ursprung (prop. 2009/10:85 s. 325). Uppgifter om att en viss person kommer från en viss världsdel eller ett visst land faller också som regel utanför förbudet mot behandling av känsliga personuppgifter. Skulle en sådan personuppgift i det enskilda fallet t.ex. avslöja etniskt ursprung är dock förbudet tillämpligt. Andra stycket innehåller ett undantag från huvudregeln att känsliga personuppgifter inte får behandlas. Personuppgifter som behandlas på annan grund får kompletteras med känsliga personuppgifter, om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Det innebär att personuppgifter som samlas in i ett visst fall får kompletteras med uppgifter om exempelvis religiös övertygelse eller etniskt ursprung om det är av stor betydelse för syftet med behandlingen. Med hänsyn till den restriktivitet som ligger i uttrycket absolut nödvändigt måste dock behovet av att göra sådana kompletteringar prövas noga i det enskilda fallet. I 14 och 15 § finns ytterligare bestämmelser om behandling av känsliga personuppgifter. 14 § Biometriska uppgifter får behandlas om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Genetiska uppgifter får inte behandlas. Paragrafen, som utformas enligt Lagrådets förslag, reglerar i vilken utsträckning biometriska uppgifter får behandlas. Övervägandena finns i avsnitt 8.2. Enligt första stycket får biometriska uppgifter behandlas om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Stycket möjliggör användning av särskild teknisk behandling för att bekräfta identifiering av en person. Det innebär att t.ex. fingeravtryck, ansikts- geometri, röstigenkänning eller rörelsemönster kan användas för att identifiera en person. Behovet av att behandla biometriska uppgifter måste prövas noga i varje enskilt fall. I andra stycket anges att inte får behandla Prop. 2020/21:224 genetiska uppgifter. Stycket innebär ett förbud för att behandla sådana uppgifter. 15 § Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas som sökbegrepp om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen.