prop · H803224 · 2021-09-13 00:00:00 — verksamhet som rör försvar och säkerhet. 2020/21:224 uppgift att bedriva sådan verksamhet ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen har gett myndigheten i uppdrag att ansvara för uppgiften. I utredningens lagförslag anges inte kollektivavtal eller annat avtal som uttryckliga stöd för behandlingen av personuppgifter. Enligt dataskydds- lagen får personuppgifter behandlas med stöd av artikel 6.1 c i EU:s dataskyddsförordning om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som t.ex. följer av kollektivavtal (2 kap. 1 §). Av dataskyddsförordningen följer att personuppgifter också får behandlas om det är nödvändigt för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås (artikel 6.1 b). Med hänsyn till det bredare tillämpningsområde som den nya lagen för Försvarsmakten föreslås få kommer även personuppgifter inom myndighetens personaladministrativa verksamhet att behandlas med stöd av den nya lagen (se vidare nedan). Det bredare tillämpningsområdet inbegriper även Försvarsmaktens behandling av personuppgifter som föranleds av myndighetens kontakter med bl.a. leverantörer vid upphandling, markägare vid upplåtelse av mark i samband med Försvarsmaktens övningar och fodervärdar för Försvarsmaktens tjänstehundar. Regeringen anser att det i den nya lagen bör tydliggöras att Försvarsmakten får behandla personuppgifter med stöd av kollektivavtal eller annat avtal, om behandlingen är nödvändig för att planera, förbereda och genomföra verksamhet som rör försvar och säkerhet (jfr prop. 2017/18:105 s. 51–52). Utredningens lagförslag bör justeras i enlighet med detta. Regeringen noterar att utredningens förslag innehåller såväl uttrycken rättslig grund som ändamål för när behandling av personuppgifter ska vara tillåten. Rättslig grund är ett uttryck som företrädesvis används i den särskilda dataskyddsreglering som finns inom det brottsbekämpande området. FM-PuL och FRA-PuL, innehåller i stället bestämmelser om primära och sekundära ändamål. Detta gäller även för andra författningar, som t.ex. totalförsvarsdatalagen och kustbevakningsdatalagen. Regeringen ser ett värde för tillämpningen att i den nya lagen behålla det vedertagna ordet ändamål och föreslår därför att det ordet ska användas i den nya lagen. Lagrådet invänder inte mot den valda terminologin, men efterfrågar en ökad tydlighet när det gäller hur bestämmelserna om vissa ändamål förhåller sig till regleringen i fråga om andra ändamål enligt den nya lagen. Lagrådet föreslår även en annan författningsteknisk lösning. De rättsliga grunderna för Försvarsmaktens behandling av person- uppgifter finns i de regelverk som ligger till grund för myndighetens verksamheter. Ur ett tillämpningsperspektiv är det väsentligt att den nya lagen innehåller tydliga ändamålsbestämmelser. Detta innebär enligt regeringen inte att det alltid är nödvändigt att i en ändamålsbestämmelse ange den eller de författningar som ligger till grund för den aktuella verksamheten eller att i en sådan bestämmelse ange att en viss verksamhet förutsätter stöd i lag, förordning eller en annan rättslig grund. Ur ett rättstillämpningsperspektiv framstår Lagrådets förslag till författningsteknisk lösning, enligt regeringens mening, inte som mer ändamålsenligt och tydligt. Regeringen väljer därför att behålla lagråds- Prop. 2020/21:224 remissens förslag. Internationellt försvars- och säkerhetssamarbete Internationellt samarbete på försvars- och säkerhetsområdet utgör en viktig del i upprätthållandet av försvar och säkerhet. Försvarsmakten bedriver internationellt försvars- och säkerhetssamarbete enligt regeringens bestämmande. Samarbete sker t.ex. inom det nordiska försvarssamarbetet Nordefco, men också med Nato och inom EU och FN. har bilaterala försvarssamarbeten med bl.a. , , och , i vilka Försvarsmakten deltar. Försvarsmakten deltar även i internationella fredsfrämjande och humanitära insatser, samt i underrättelsesamarbeten inom ramen för exempelvis EU. Försvarsmaktens personuppgiftsbehandling som aktualiseras inom det internationella samarbetet, är en del av försvar och säkerhet och omfattas därmed av den nya lagen. Behandlingen bör stödjas av ett tydligt ändamål. I likhet med utredningen föreslår regeringen att Försvarsmakten bör få behandla personuppgifter om behandlingen är nödvändig för att planera, förbereda och genomföra verksamhet som avser internationellt försvars- och säkerhetssamarbete. Försvarsmaktens uppgift att bedriva sådan verksamhet ska framgå av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att ansvara för uppgiften. Även vid deltagande i internationella militära insatser eller vid andra uppdrag i utlandet som Försvarsmaktens personal deltar i, kan kollektivavtal eller avtal med t.ex. en leverantör utgöra grund för en nödvändig behandling av personuppgifter inom Försvarsmakten. Utredningens lagförslag bör justeras i enlighet med detta. Som Statens inspektion för försvarsunderrättelseverksamheten framhåller utgör Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst en del i försvar och säkerhet. Med hänsyn till dessa verksamheters särskilda karaktär och att de enligt nuvarande ordning regleras särskilt i FM-PuL bedömer regeringen, i likhet med utredningen, att Försvarsmaktens behandling av personuppgifter inom myndighetens försvarsunderrättelseverksamhet och militära säkerhets- tjänst även i den nya lagen bör regleras i särskilda ändamålsbestämmelser. Detta bör komma till uttryck i den nya lagen. Ska regleringen även omfatta Försvarsmaktens personaladministrativa verksamhet? Utredningen föreslår att den nya lagen även ska omfatta Försvarsmaktens administrativ verksamhet bör antingen särregleras eller behandlas i ett särskilt kapitel i den nya lagen. Regeringen konstaterar, i likhet med Datainspektionen, att utredningens förslag att inbegripa personaladministrativ verksamhet i tillämpnings- området för den nya lagen skiljer sig från vad som gäller för övriga myndigheter, vars verksamhet i och för sig ligger utanför unionsrätten. den lag som gäller för Säkerhetspolisens verksamhet har inte den 2020/21:224 Säkerhetspolisens behandling av personuppgifter, prop. 2018/19:163 s. 54). I fråga om föreslås inte heller en sådan lösning som inbegriper den personaladministrativa verksamheten (se avsnitt 7.3.1). Försvarsmaktens militära förmåga och utvecklingen av densamma är beroende av myndighetens personalförsörjning. Med hänsyn till Försvarsmaktens huvuduppgift, som är att militärt försvara , och de tydliga kopplingar som finns mellan myndighetens krigs- organisation och personaladministrativa verksamhet anser regeringen att lagen här även behöver omfatta Försvarsmaktens personaladministrativa verksamhet. Någon praktisk åtskillnad mellan dessa uppgifter är nämligen inte möjlig att göra. Utöver ändamålsbestämmelsen om försvar och säkerhet och internationellt försvars- och säkerhetssamarbete föreslås även en ändamålsbestämmelse för behandling av personuppgifter om det är nödvändigt för bl.a. Försvarsmaktens ärendehandläggning (avsnitt 7.2.5). Även den nya lagens bestämmelser om t.ex. känsliga personuppgifter och författningsenlig och korrekt behandling och säkerhet för personuppgifter kommer att vara tillämpliga i myndighetens personaladministrativa verksamhet. Regeringen bedömer att ytterligare bestämmelser inte krävs. För denna verksamhet, liksom för myndighetens verksamhet i övrigt, gäller att en bedömning om hanteringen rör personuppgifter med koppling till verksamhet som rör försvar och säkerhet eller internationellt försvars- och säkerhetssamarbete krävs och styr tillämpningen. Regeringens förslag: Personuppgifter får behandlas i Försvarsmaktens försvarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen om försvarsunderrättelseverksamhet. De personuppgifter som Försvarsmakten har fått tillgång till i sin försvarsunderrättelseverksamhet får fortsätta behandlas i den verksamheten, om det behövs för att fullfölja den. Detta gäller dock endast om inte något annat följer av den nya lagen eller en förordning som har meddelats i anslutning till den lagen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen ifrågasätter inte att det kan finnas ett behov att ta bort det krav på preciserad inriktning som gäller enligt nuvarande lagstiftning för att kunna bedriva en effektiv underrättelseverksamhet, men anser att behovet behöver vägas mot vad lagstiftaren har framfört som skäl för att införa begränsningen. Enligt Statens inspektion för försvarsunderrättelseverksamheten kommer ett borttaget krav på anknytning till en preciserad inriktning vid personuppgiftsbehandling sannolikt att leda till att fler personuppgifter kommer att behandlas och därmed medföra en risk för ökat integritetsintrång för den enskilde. Skälen för regeringens förslag: Försvarsmakten får enligt nuvarande ordning behandla personuppgifter om det är nödvändigt för att bedriva den verksamhet som anges i lagen om försvarsunderrättelseverksamhet (1 kap. 8 § första stycket FM-PuL). I enlighet med utredningens förslag bör en motsvarande bestämmelse införas i den nya lagen. Enligt nuvarande reglering får uppgifter om en person endast behandlas om personen har anknytning till en preciserad inriktning för försvarsunderrättelseverksamheten och behandlingen är nödvändig för att fullfölja den inriktningen (1 kap. 8 § andra stycket FM-PuL). Utredningen föreslår att ett sådant krav inte ska införas i den nya lagen, men föreslår att personuppgifter som Försvarsmakten har fått tillgång till i sin försvarsunderrättelseverksamhet fortsatt ska få behandlas i den verksamheten, om det behövs för att fullfölja den. Detta ska dock endast gälla om inte något annat följer av den nya lagen eller en förordning som har meddelats i anslutning till lagen. Regeringen konstaterar att försvarsunderrättelseverksamhet huvud- sakligen är framåtsyftande. I sådan verksamhet kartläggs företeelser i syfte att kunna förvarna om bl.a. avsikter, aktiviteter och hot till stöd för att ge de inriktande myndigheterna ett förbättrat kunskapsläge. Kartläggningar avser bl.a. skeenden, organisationer och aktörer av betydelse för förståelsen för den omvärldsutveckling som inriktningarna adresserar. För att kunna förstå ett skeende eller en aktörs agerande behöver det som observeras emellertid ofta sättas in i ett kontextuellt och historiskt sammanhang. Först därefter kan bedömningar om underrättelserelevans göras. Det som observeras behöver således analyseras och jämföras med tidigare observationer. För vissa företeelser behöver sådana jämförelser kunna göras med observationer som har gjorts långt tillbaka i tiden, inte sällan 10–. Försvarsunderrättelseverksamhet förutsätter ett beslut om inriktning från regeringen. Inom ramen för sådan inriktning får de myndigheter som regeringen bestämmer ange en närmare inriktning av verksamheten (1 § andra stycket lagen om försvarsunderrättelseverksamhet). Vad som avses med preciserad inriktning anges inte i FM-PuL. Försvarsmakten tar fram en inhämtandeplan för verksamhetens utförande som preciserar inriktningen. I planen gör myndigheten de prioriteringar som den anser vara nödvändiga för att avgränsa myndighetens verksamhet inom försvarsunderrättelseområdet. Inriktningarna och planeringen utgör avgränsningar av behandlingen av personuppgifter på så sätt att de anger underrättelsebehoven. Det är dock inte möjligt att med ledning av inriktningarna och planeringen i detalj avgöra vilken personuppgiftsbehandling som kan vara och bli nödvändig. Mot denna bakgrund anser regeringen, i likhet med utredningen, att krav på anknytning till en preciserad inriktning inte bör införas i den nya lagen. till det särskilda behov som finns att fortsatt kunna behandla insamlade personuppgifter inom försvarsunderrättelseverksamheten, bör den nya lagen även ge uttryck för att personuppgifter som Försvarsmakten har fått tillgång till i sin försvarsunderrättelseverksamhet ska få fortsätta behandlas i den verksamheten, om det behövs för att fullfölja den. En förutsättning för detta bör vara att något annat inte följer av den nya lagen eller i en förordning som har meddelats i anslutning till lagen. Enligt Datainspektionen kan det finnas en risk för att förslaget i denna del möjliggör att Försvarsmakten även kan behandla personuppgifter som 2020/21:224 inte har inhämtats i enlighet med lagstiftningen. Med hänsyn till den tydliga ram som lagen om försvarsunderrättelseverksamhet ger, liksom den nu föreslagna lagen om Försvarsmaktens behandling av person- uppgifter, ser regeringen inte någon sådan risk. Som Statens inspektion för försvarsunderrättelseverksamheten framhåller kan tidigare inhämtade personuppgifter väntas komma att fortsatt behandlas i större utsträckning jämfört med nuvarande ordning. Regeringen bedömer att de tydliga behov som föranleder en sådan ordning överväger det begränsade integritetsintrång som en fortsatt behandling innebär. Det är, på motsvarande sätt som enligt nuvarande ordning, den försvarsunderrättelseverksamhet som ska och får bedrivas med stöd av lagen om försvarsunderrättelseverksamhet som ytterst sätter gränserna. Regeringens förslag: Personuppgifter får behandlas i Försvarsmaktens militära säkerhetstjänst för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen, om det är nödvändigt för att klarlägga verksamhet som innefattar hot mot säkerhet eller för att vidta åtgärder som hindrar eller försvårar säkerhetshotande verksamhet. Personuppgifter får behandlas för de angivna ändamålen endast om 1. personuppgifterna är nödvändiga för att kartlägga verksamhet som innefattar brott som kan hota säkerhet eller terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott eller enligt motsvarande 2. personuppgifterna är nödvändiga för att kartlägga underrättelse- verksamhet riktad mot Försvarsmakten och dess säkerhetsintressen, 3. personuppgifterna är nödvändiga för att kartlägga annan säkerhets- hotande verksamhet än som avses i 1 och som innefattar brott eller åsidosättande av skyldigheter i anställning hos Försvarsmakten, och det finns särskilda skäl till att uppgiften ska behandlas, 4. personuppgifterna är nödvändiga för att bedöma om en person som har lämnat uppgifter om säkerhetshotande verksamhet är trovärdig, 5. personuppgifterna är nödvändiga för att genomföra säkerhets- prövning enligt säkerhetsskyddslagen (2018:585) eller för att utföra en uppgift som rör säkerhetsskydd. Personuppgifter som behandlas för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen ska förses med upplysning om på vilken av de angivna grunderna uppgiften behandlas. Om behandlingen av en personuppgift motiveras av något annat än ett antagande om att en person har utövat eller kommer att utöva brottslig verksamhet ska det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att en sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säkerhetshotande verksamhet ska förses med en särskild upplysning om detta, om det inte på annat sätt klart framgår att ett sådant antagande inte finns. Personuppgifter som behandlas enligt punkterna 1–3 ska i före- kommande fall förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen ifrågasätter utredningens förslag som enligt myndigheten innebär att fler personuppgifter kan komma att behandlas inom ramen för den militära säkerhetstjänsten. Övriga remissinstanser yttrar sig inte särskilt i denna del. Skälen för regeringens förslag: Enligt nuvarande ordning får Försvarsmakten behandla personuppgifter i den militära säkerhetstjänsten. Behandling får ske i verksamhet som syftar till att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen, om det är nödvändigt för att klarlägga verksamhet som innefattar hot mot rikets säkerhet. Behandling får också ske om det är nödvändigt för att vidta åtgärder som hindrar eller försvårar säkerhetshotande verksamhet (1 kap. 9 § FM-PuL). De beskrivna ända- målen avser Försvarsmaktens säkerhetsunderrättelsetjänst respektive säkerhetsskyddstjänst (prop. 2006/07:46 s. 25). I FM-PuL ställs vissa krav för behandlingen av personuppgifter i den militära säkerhetstjänsten. En behandling av personuppgifter är endast tillåten om uppgifterna ger grundad anledning att anta att en person har utövat eller kan komma att utöva verksamhet som innefattar brott som kan hota rikets säkerhet eller terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott eller motsvarande brottslighet enligt tidigare lagstiftning. Behandling är vidare tillåten om uppgifterna ger grundad anledning att anta att en person har utövat eller kan komma att utöva annan underrättelseverksamhet riktad mot Försvarsmakten och dess säkerhetsintressen eller att personen utövar annan säkerhetshotande verksamhet och som innefattar brott eller åsidosättande av åligganden i anställning hos Försvarsmakten, och det finns särskilda skäl till att uppgifterna behandlas. Försvarsmakten får enligt gällande rätt även behandla personuppgifter om den berörda personen har lämnat uppgifter om säkerhetshotande verksamhet och uppgifterna är nödvändiga för att bedöma personens trovärdighet eller sådana uppgifter som avser information som har framkommit i samband med att en person har genomgått registerkontroll eller särskild personutredning enligt säkerhetsskyddslagen. Personuppgifter som behandlas ska förses med upplysning om på vilken grund uppgiften behandlas. Om behandlingen av en personuppgift föranleds av något annat än antagande om att en person har utövat eller kommer att utöva brottslig verksamhet ska det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säkerhetshotande verksamhet ska förses med en särskild upplysning om detta, om det inte på annat sätt klart framgår att sådant antagande inte finns. Personuppgifter som behandlas i syfte att klarlägga hotande verksamhet mot Försvarsmakten och dess säkerhetsintressen ska i förekommande fall förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak (1 kap. 10 § FM-PuL). 2020/21:224 Utredningen föreslår att motsvarande bestämmelser, med vissa justeringar, bör införas i den nya lagen för Försvarsmakten. En skillnad är att uttrycken registerkontroll eller särskild personutredning ersätts med ordet säkerhetsprövning. På så sätt omfattas alla delar som ingår i en säkerhetsprövning enligt säkerhetsskyddslagen. Utredningen föreslår vidare att personuppgifter ska få behandlas om uppgifterna är nödvändiga för att kartlägga verksamhet som kan hota rikets säkerhet eller terroristbrott enligt 2 § lagen om straff för terroristbrott eller enligt motsvarande äldre föreskrifter, underrättelseverksamhet riktad mot Försvarsmakten och dess säkerhetsintressen. Utredningen föreslår att detsamma ska gälla i fråga om annan säkerhetshotande verksamhet än brott som kan hota säkerhet eller terroristbrott enligt 2 § lagen om straff för terroristbrott eller enligt motsvarande äldre föreskrifter och som innefattar brott eller åsidosättande av åligganden i anställning hos Försvarsmakten, och det finns särskilda skäl till att uppgiften ska behandlas. Datainspektionen ifrågasätter utredningens förslag i denna del som enligt myndigheten kan leda till att fler personuppgifter kan komma att behandlas inom ramen för den militära säkerhetstjänsten. Regeringen anser att utredningens förslag på ett lämpligt sätt speglar Försvarsmaktens verksamhetsuppdrag för den militära säkerhetstjänsten. Någon ändring i sak i fråga om vilka personuppgifter som får behandlas är dock inte avsedd. I enlighet med vad som gäller enligt nuvarande ordning kommer det även fortsatt att krävas särskilda skäl för att Försvarsmakten ska få behandla vissa personuppgifter. Detta gäller för personuppgifter som är nödvändiga för att kartlägga annan säkerhetshotande verksamhet än sådan verksamhet som innefattar brott som kan hota säkerhet eller terroristbrott enligt nuvarande eller tidigare lagstiftning, och som innefattar brott eller åsidosättande av skyldigheter i anställning hos Försvarsmakten. Det innebär att personuppgifter inte får behandlas vid en rent bagatellartad förseelse som inte ens om den upprepades eller sammantaget med annan verksamhet skulle föranleda någon åtgärd. Någon ytterligare omständighet krävs för att behandling ska få ske, t.ex. att det bedöms föreligga risk för upprepning eller att personen i fråga har en sådan position att uppföljning är nödvändig. Som en grundläggande förutsättning gäller att den säkerhetshotande verksamheten ska vara riktad mot Försvarsmakten och dess säkerhetsintressen (prop. 2006/07:46 s. 70– 71). Regeringen föreslår en motsvarighet till nuvarande reglering om Försvarsmaktens behandling av personuppgifter inom myndighetens militära säkerhetstjänst, med utredningens föreslagna justeringar, ska föras in i den nya lagen. Regeringens förslag: Personuppgifter som ingår i eller har uppkommit i samband med användning av totalförsvarets telekommunikations- och informationssystem får behandlas i den militära säkerhetstjänsten för att förhindra obehörig insyn i och påverkan av dessa system. även känsliga personuppgifter, personnummer och samordnings- nummer samt personuppgifter, om den registrerade har lämnat sitt uttryckliga samtycke till behandling eller på ett tydligt sätt har Behandling som särskilt syftar till att identifiera en person får dock endast utföras om det är nödvändigt för att kartlägga – verksamhet som innefattar brott som kan hota säkerhet eller terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott eller enligt motsvarande äldre föreskrifter, – underrättelseverksamhet som riktas mot Försvarsmakten och dess – annan säkerhetshotande verksamhet än brott som kan hota säkerhet eller terroristbrott och som innefattar brott eller åsidosättande av skyldigheter i anställning hos Försvarsmakten, och det finns särskilda skäl till att uppgiften ska behandlas. Försvarsmakten ska föra en förteckning över de behandlingar som särskilt syftar till att identifiera en person och de uppgifter som har utgjort anledningen till behandlingen. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår inte att Försvarsmakten ska föra en förteckning över de behandlingar som särskilt syftar till att identifiera en person och de uppgifter som utgjort anledningen till behandlingen. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Enligt nuvarande ordning får personuppgifter som ingår i eller har uppkommit i samband med användning av totalförsvarets telekommunikations- och informations- system behandlas för att förhindra obehörig insyn i och påverkan av dessa Det gäller även känsliga personuppgifter och personnummer. Försvarsmakten ska föra en förteckning över de behandlingar som särskilt syftar till att identifiera en person och de uppgifter som utgjort anledningen En sådan förteckning har till syfte att möjliggöra kontroll i efterhand av grunden för att en behandling utförts i syfte att identifiera en person (1 kap. 11 § FM-PuL). Utredningen föreslår att en motsvarande bestämmelse ska tas in i den