prop · H803224 · 2021-09-13 00:00:00 — den bör gälla såväl för behandling i Försvarsmaktens och Försvarets radioanstalts olika gemensamt tillgängliga uppgiftssamlingar som för annan behandling. Detta gäller enligt nuvarande ordning och bör enligt regeringens uppfattning gälla även fortsättningsvis. Denna ordning innebär att sökning av känsliga personuppgifter är föremål för en mycket strikt prövning i myndigheternas verksamheter, där absolut nödvändighet är en grundförutsättning för sådana sökningar. 2020/21:224 Skyddet för den enskildes integritet ges på så sätt ett starkt och nödvändigt Regeringen anser att detta utgör en väl avvägd balans mellan verksamhetens krav och integritetsskyddet för enskilda. Någon justering i förhållande till utredningens förslag bör därför inte göras. 8.3Behandling av personnummer och samordningsnummer Regeringens förslag: Uppgifter om personnummer eller samordnings- nummer får behandlas bara när det är klart motiverat med hänsyn till ändamålen med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Utredningens förslag överensstämmer delvis med regeringens förslag. Utredningen föreslår inte att regleringen ska gälla för . Remissinstanserna: instämmer i utredningens bedömning att myndigheten i liten omfattning behandlar personnummer och samordningsnummer. Datainspektionen ifrågasätter utredningens ställningstagande i fråga om . Skälen för regeringens förslag: Enligt nuvarande reglering får uppgifter om personnummer eller samordningsnummer bara behandlas när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering, eller något annat beaktansvärt skäl (1 kap. 13 § FM-PuL och 1 kap. 12 § FRA-PuL). Försvarsmaktens försvarsunderrättelseverksamhet och militära säker- hetstjänst respektive Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet grundas inte på samtycke från den enskilde. Försvarsunderrättelseverksamheten är inriktad på utländska förhållanden och det är inte vanligt förekommande att personnummer och samordnings- nummer behandlas inom denna verksamhet. Detsamma gäller i fråga om Försvarets radioanstalts informationssäkerhetsverksamhet. För Försvarsmaktens verksamhet innebär den nya lagen ett utökat tillämpningsområde i förhållande till FM-PuL, vilket medför att myndigheten kommer att behandla personnummer och samordnings- nummer i stor utsträckning, bl.a. när det gäller egen personal. En bestämmelse som motsvarar nuvarande ordning bör, som utredningen föreslår, införas i den nya lagen om behandling av personuppgifter vid Försvarsmakten. Utredningen föreslår inte någon bestämmelse om behandling av personnummer och samordningsnummer för . Till skillnad från utredningen och anser regeringen dock inte att det faktum att i endast begränsad utsträckning behandlar personnummer och samordningsnummer innebär att det saknas skäl att reglera detta. I den mån sådan behandling aktualiseras bör motsvarande regelverk gälla även för . Regeringen föreslår att en sådan bestämmelse införs i den nya lagen om behandling av personuppgifter vid . 2020/21:224 8.4 Behandling av offentliggjorda personuppgifter Regeringens förslag: Försvarsmakten får behandla andra känsliga personuppgifter än genetiska uppgifter samt personnummer och samordningsnummer, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller har offentliggjort personuppgifterna på ett tydligt sätt. får behandla andra känsliga personuppgifter än genetiska uppgifter samt personnummer och samordningsnummer, om den registrerade har offentliggjort personuppgifterna på ett tydligt sätt. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: FM-PuL och FRA-PuL saknar bestämmelser om att bl.a. känsliga personuppgifter får behandlas, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt har offentliggjort uppgifterna. Som utredningen föreslår bör en sådan reglering, med undantag för genetiska uppgifter, på ett för Försvarsmakten och anpassat sätt införas i de nya lagarna. IFörsvarets radioanstalts försvarsunderrättelse- och utvecklings- verksamhet och informationssäkerhetsverksamhet och Försvarsmaktens försvarsunderrättelseverksamhet aktualiseras inte några samtyckes- situationer. Sådana situationer kan emellertid förekomma i Försvars- maktens övriga verksamhet, exempelvis i Försvarsmaktens militära säkerhetstjänst vid säkerhetsprövningar. Regeringen föreslår, i likhet med utredningen, att Försvarsmakten ska få behandla andra känsliga personuppgifter än genetiska uppgifter samt personnummer och samordningsnummer, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen. I enlighet med utredningens förslag bör Försvarsmakten och också få behandla andra känsliga personuppgifter än genetiska uppgifter samt personnummer och samordningsnummer, om den registrerade på ett tydligt sätt har offentliggjort uppgifterna. Ett tydligt offentliggörande kan ske t.ex. genom att den registrerade gör uppgifterna tillgängliga på internet. Enligt utredningens förslag får enbart Försvars- makten behandla personnummer och samordningsnummer i en sådan situation. Regeringen anser inte att denna skillnad är sakligt motiverad och föreslår därför att detsamma även ska gälla för . 8.5Behandling av personuppgifter i vissa fall Regeringens förslag: Försvarets radioanstalts och Försvarsmaktens hantering av information som innebär behandling av personuppgifter ska inte anses oförenlig med bestämmelserna om tillåtlighet, grundläggande krav, känsliga personuppgifter, personnummer och samordningsnummer, i det skede av behandlingen då det ännu inte har kunnat fastställas vilka personuppgifter som informationen innehåller. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: framhåller att frågan är av central betydelse för myndighetens verksamhet. Datainspektionen anser att en anpassning i förhållande till nuvarande ordning är befogad. Myndigheten ifrågasätter dock utredningens förslag att regleringen även ska omfatta Försvarets radioanstalts informationssäkerhetsverksamhet och Försvarsmakten. Skälen för regeringens förslag Enligt nuvarande ordning ska Försvarets radioanstalts behandling av personuppgifter som innebär inhämtning av personuppgifter genom signalspaning, lagring av uppgifter som sker därefter och bearbetning i form av kryptoforcering och språklig översättning inte anses som oförenlig med bestämmelserna om grundläggande krav, ändamål samt behandling av känsliga personuppgifter och personnummer (1 kap. 13 § FRA-PuL). Så snart det har kunnat fastställas att informationen innehåller personuppgifter måste dock vidare behandling av sådana personuppgifter som förekommer i materialet ske i överenstämmelse med bestämmelserna om detta. Försvarets radioanstalts inhämtning av signaler i tråd ska enligt lagen om signalspaning i försvarsunderrättelseverksamhet ske automatiserat och får endast avse signaler som identifierats genom sökbegrepp. Även vid annan inhämtning ska sökbegrepp användas för identifieringen av signaler (3 §). Detta förfarande reducerar informationsmängden på ett ändamåls- enligt sätt före själva inhämtningen och tillvaratar därmed också integritetsskyddsintresset. Behandling av personuppgifter omfattar all slags behandling, alltså även sådan som sker på automatisk väg (1 kap. Personuppgifter behandlas redan i det tidiga skede när informationen i tillståndsgivna signalbärare genomgår urval med hjälp av sökbegrepp. Det innebär att personuppgiftsbehandling sker även för information som inte inhämtas. Många av de personuppgifter som behandlas automatiskt blir dessutom aldrig föremål för granskning. Det är därmed ingen analytiker som i detta skede bearbetar och bedömer uppgifterna på ett sådant sätt att det går att avgöra om bestämmelserna i om grundläggande krav, ändamål, känsliga personuppgifter samt person- nummer och samordningsnummer aktualiseras. I rättstillämpningen har uppkommit fråga om det är först när får klart för sig vilka personuppgifter som behandlas som det är möjligt för myndigheten att behandla dem enligt bestämmelserna om bl.a. grundläggande krav i FRA-PuL. Utredningen konstaterar att bestämmelsen i 1 kap. 13 § FRA-PuL står i konflikt med den person- uppgiftsbehandling som lagen om signalspaning i försvarsunderrättelse- verksamhet förutsätter ska ske med automatik hos efter inhämtningsskedet (Behandlingen av personuppgifter vid Försvarsmakten och , SOU 2018:63 s. 194). Datainspektionen har gjort motsvarande bedömning i ett tillsynsbeslut den 24oktober 2016 (dnr 2331-2015). Som utredningen föreslår bör den nya regleringen därför utformas så att den tar sikte på det skede då det inte har kunnat fastställas vilka personuppgifterna är. 2020/21:224 Även i Försvarets radioanstalts informationssäkerhetsverksamhet kan det förekomma automatiserade skeenden som inledningsvis innebär att eventuella personuppgifter då ännu inte finns tillgängliga för bedömning i verksamheten, eftersom det också där kan krävas kryptoforcering innan uppgifterna finns tillgängliga för bedömning. Till skillnad från Datainspektionen anser regeringen, i likhet med utredningen, att bestämmelsen därför bör omfatta även Försvarets radioanstalts informationssäkerhetsverksamhet. Enligt den föreslagna bestämmelsen ska således Försvarets radioanstalts hantering av information som innebär behandling av personuppgifter inte anses oförenlig med bestämmelserna om tillåtlighet, grundläggande krav, känsliga personuppgifter samt personnummer och samordningsnummer i det skede av behandlingen då det ännu inte har kunnat fastställas vilka personuppgifter som informationen innehåller. För Försvarsmakten finns inte någon motsvarighet till regleringen om behandling av personuppgifter i vissa fall. Enligt utredningens förslag ska den nya regleringen även gälla för Försvarsmakten, vilket Datainspektionen ifrågasätter. Regeringen konstaterar att syftet med förslaget är att kunna omhänderta den särskilda situationen att inhämtade uppgifter kräver kryptoforcering eller en översättning innan det står klart om det är fråga om personuppgifter som behandlas, eller om en automatiserad hantering av uppgifterna medför att en sådan bedömning inte kan göras . Sådana situationer kan även uppkomma i Försvarsmaktens verksamhet, t.ex. när myndigheten mottar information från andra myndigheter. Lagrådet ifrågasätter om bestämmelserna om undantag som föreslås i de nya lagarna ska vara fullt ut tillämpliga också i de fall när man vet att materialet innehåller personuppgifter och osäkerheten endast gäller vilka personuppgifter det är fråga om. Enligt Lagrådet är det även sannolikt att undantaget genom uppräkningen av paragrafer har blivit för omfattande. Det bör understrykas att förslaget avser att fånga in särskilda och avgränsade situationer, nämligen behandling av personuppgifter i ett skede där det ännu inte har kunnat fastställas vilka personuppgifter som informationen innehåller, t.ex. på grund av att informationen är krypterad eller att personuppgifter som behandlas automatiskt inte blir föremål för granskning. Behandling av personuppgifter enligt förslaget avser även insamling av sådana uppgifter. Regeringen anser att det därför är viktigt att regleringen uttryckligen slår fast att en hantering av information som innebär behandling av personuppgifter inte ska anses vara oförenligt med vissa grundläggande bestämmelser i de nya lagarna i det skede av behandlingen då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller. Det finns inte skäl att göra någon åtskillnad i sak mellan Försvarsmakten och i fråga om vilka bestämmelser som undantaget bör avse. I förhållande till lagrådsremissen bör därför lagförslaget avseende Försvarsmakten justeras på så sätt att det även omfattar personuppgifter som utgör allmänt tillgänglig information (jfr. 8.6Längsta tid som personuppgifter får behandlas Regeringens förslag: Personuppgifter får inte behandlas än vad som behövs för ändamålet med behandlingen. Utredningens förslag överensstämmer delvis med regeringens. Utredningens förslag avser endast personuppgifter som behandlas automatiserat. Remissinstanserna: Försvarsmakten anser inte att det bör göras en avgränsning till enbart personuppgifter som behandlas automatiserat. Enligt Datainspektionen bör de nya lagarna innehålla särskilda regler om att vissa personuppgifter ska rensas efter vissa angivna tidpunkter. Datainspektionen anser även att utredningens förslag om att bevara uppgifter för historiska, statistiska och vetenskapliga ändamål är alltför långtgående. anser att det är viktigt att det finns möjlighet att bevara uppgifter inom underrättelseverksamheten. Enligt Statens inspektion för försvarsunderrättelseverksamheten kan det finnas skäl att överväga någon form av särskild reglering av längsta tid för behandling för vissa av de föreslagna ändamålsbestämmelserna. Skälen för regeringens förslag: Hur länge personuppgifter får bevaras enligt FM-PuL och FRA-PuL regleras i lagarnas bestämmelser om gallring (6 kap. 1 §). Personuppgifter som behandlas automatiserat ska enligt bestämmelserna gallras så snart uppgifterna inte längre behövs för det ändamål för vilket de behandlas, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Som Datainspektionen uppmärksammar har regeringen i förordningar i vissa fall bestämt uttryckliga tidsgränser för när gallring av personuppgifter i angivna uppgiftssamlingar senast ska ske. I försvarsunderrättelseverksamheten och den militära säkerhetstjänsten behöver personuppgifter inte sällan behandlas . Enligt nuvarande huvudregel ska personuppgifter gallras när de inte längre behövs för det ändamål för vilket de behandlas. Det ska ske en fortlöpande prövning om en personuppgift ska behandlas eller inte. Som utredningen föreslår bör detta gälla även fortsättningsvis. Regeringen kommer också även fortsättningsvis att i förordning kunna meddela föreskrifter som innebär avsteg från huvudregeln att personuppgifter ska rensas ur verksamhetssystemen när de inte längre behövs för det ändamål för vilket de behandlas. Regeringen anser, i likhet med Försvarsmakten, att de nya bestämmelserna bör utformas så att de följer den definition som föreslås för behandling av personuppgifter och som innebär att behandling kan ske såväl automatiserat som manuellt (jfr avsnitt 6.5). Statens inspektion för försvarsunderrättelseverksamheten lyfter frågan om lagarna bör innehålla särskilda bestämmelser om längsta tid för behandling av personuppgifter som är allmänt tillgängliga (jfr avsnitt 7.4) och personuppgifter i vissa fall (jfr avsnitt 8.5). Regeringen bedömer dock att det inte är nödvändigt. Regeringen anser därför att en sådan särskild bestämmelse om längsta tid för nu aktuella behandling inte bör införas i de nya lagarna. I enlighet med utredningens förslag kan emellertid 2020/21:224 regeringen, eller den myndighet som regeringen bestämmer, meddela föreskrifter eller beslut i ett enskilt fall om att personuppgifter får behandlas under endast . En sådan ordning gäller enligt nuvarande ordning och bör lämpligen gälla även enligt de nya lagarna. I de nya lagarna bör det även föras in upplysningsbestämmelser om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter eller beslut i ett enskilt fall om att personuppgifter får fortsätta behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål. Förslaget påverkar inte Försvars- maktens och Försvarets radioanstalts möjligheter att arkivera och bevara allmänna handlingar, eller att lämna arkivmaterial till en arkivmyndighet. Regeringens förslag: Personuppgifter får göras gemensamt tillgängliga vid Försvarsmakten om det behövs för något av de ändamål för vilka myndigheten får behandla personuppgifter. Personuppgifter som görs gemensamt tillgängliga inom Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst ska även fortsättningsvis behandlas i uppgiftssamlingar. Personuppgifter får göras gemensamt tillgängliga vid och behandlas i uppgiftssamlingar om det behövs för de ändamål som anges i den nya lagen. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Försvarsmakten anser att utredningens lagförslag bör gälla generellt för myndigheten. Myndigheten förordar vidare att uppgiftssamlingar endast ska användas för gemensamt tillgängliga uppgifter i myndighetens försvarsunderrättelseverksamhet och militära säkerhetstjänst. Övriga remissinstanser yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag Nuvarande reglering om gemensamt tillgängliga uppgifter Enligt FM-PuL och FRA-PuL är en uppgiftssamling en samling med uppgifter som med hjälp av automatiserad behandling används gemensamt (1 kap. 4 §). Personuppgifter får, under de förutsättningar som anges i lagarna, behandlas i uppgiftssamlingar för Försvarsmaktens försvars- underrättelseverksamhet och militära säkerhetstjänst samt för Försvarets Regeringen kan också meddela föreskrifter eller beslut i enskilda fall om vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive samling (1 kap. 7 § FM-PuL och FRA-PuL). är avsett att vara teknikneutralt. när automatiserat behandlade uppgifter ska anses ingå i en uppgiftssamling är att uppgifterna används gemensamt av Försvarsmakten eller Försvarets en viss verksamhet för ändamål som ska styra behandlingen av uppgifter inom verksamheten. När en handläggare arbetar Prop. 2020/21:224 med ordbehandling lagras uppgifter elektroniskt på hårddisken i en dator eller i en server hos Försvarsmakten eller . Uppgiften är då typiskt sett åtkomlig endast för handläggaren själv och systemadministratören vid myndigheten. En sådan uppgift bör därför inte anses vara gemensamt tillgänglig. Syftet med sådan tillfällig behandling är inte att uppgifterna som lagras i datorn ska användas av andra än den som utför behandlingen. När en uppgift behandlas tillfälligt i en dator för att senare tillföras en uppgiftssamling och göras gemensam utgör den inte heller en del av uppgiftssamlingen. En tydligare reglering för gemensamt tillgängliga uppgifter och direktåtkomst En grundläggande förutsättning för att personuppgifter ska anses vara gemensamt tillgängliga är att de kan användas gemensamt av flera, dvs. att fler än en person har åtkomst till uppgifterna. Uppgifter som endast ett fåtal personer har rätt att ta del av är inte att anse som gemensamt tillgängliga. Försvarsmakten invänder mot utredningens förslag att införa särskilda bestämmelser om gemensamt tillgängliga uppgifter och hänvisar till betänkandet SOU 2017:97 Totalförsvarsdatalag – Rekryteringsmyndig- hetens personuppgiftsbehandling. Regeringen anser inte att jämförelsen med totalförsvarsdatalagen är relevant då den lagen är avgränsad till behandlingen av personuppgifter om totalförsvarspliktiga och annan personal som har en uppgift inom totalförsvaret vid höjd beredskap. Uppgiftssamlingar används i FM-PuL och FRA-PuL som beteckning för gemensamt tillgängliga uppgifter. Utredningen föreslår att ordet även ska användas i de nya lagarna, men för Försvarsmakten endast i fråga om försvarsunderrättelseverksamheten och den militära säkerhets- tjänsten. Enligt utredningen fyller ordet uppgiftssamling även fortsatt en funktion i regleringen om behandlingen av personuppgifter i dessa verksamheter. Regeringen, som instämmer i detta, anser att utredningens förslag att de nya lagarna ska innehålla särskilda bestämmelser om gemensamt tillgängliga uppgifter bör genomföras. Försvarsmakten och förutsätts kunna samarbeta med andra, företrädesvis myndigheter. Inom ramen för sådant samarbete kan personuppgifter i gemensamma projekt komma att behandlas. För att bl.a. möjliggöra ett sådant samarbete gör regeringen bedömningen att vissa myndigheter bör kunna medges direktåtkomst till uppgifter som har gjorts gemensamt tillgängliga inom Försvarsmakten och (jfr avsnitt 10.3.1). Syftet med att begränsa åtkomsten till gemensamt tillgängliga uppgifter är att personuppgifter – och behandlingen av sådana uppgifter – bör kringgärdas av ett extra skydd när de sprids till andra myndigheter än Försvarsmakten och . Konsekvensen av begränsningen blir att bestämmelserna om gemensamt tillgängliga uppgifter alltid blir tillämpliga i projekt med deltagare från andra myndigheter, oavsett antalet deltagare i projektet. På samma sätt som enligt nuvarande ordning är det inte möjligt att i författning ange någon exakt gräns för när en viss behandling ska anses ske i en uppgiftssamling och därmed omfattas av de bestämmelser som 2020/21:224 reglerar sådana samlingar. Myndigheterna måste i det enskilda fallet avgöra om uppgifter som behandlas automatiserat är gemensamt tillgängliga eller inte. En handläggare inom Försvarsmakten eller bör enligt regeringen i regel utan svårigheter kunna avgöra om han eller hon för tillfället arbetar med en uppgift direkt i en uppgiftssamling eller i ett ordbehandlingsdokument eller annat program där han eller hon ensam behandlar personuppgiften. Den personuppgifts- ansvarige har emellertid ett ansvar för att gränsdragningsproblem inte uppstår på grund av brister i den tekniska utformningen av ett datorsystem. Genom de höga säkerhetskrav som omgärdar Försvarsmaktens och Försvarets radioanstalts informationssystem är det också nödvändigt att inom verksamheten ha klart för sig huruvida en viss uppgift ingår i en uppgiftssamling eller inte. Den närmare regleringen av vilka kategorier av uppgifter som ska få behandlas bör även fortsättningsvis huvudsakligen regleras i förordning eller genom regeringsbeslut. För att undvika onödig detaljreglering i lag bör därför regeringen, eller den myndighet som regeringen bestämmer, även fortsättningsvis kunna meddela närmare föreskrifter eller beslut i enskilda fall om vilka uppgiftssamlingar som får finnas och vilka personuppgifter som får behandlas i respektive samling. Regeringen föreslår att en upplysningsbestämmelse om detta förs in i de nya lagarna. Enligt förslaget till ny lag för ska personuppgifter få göras gemensamt tillgängliga och behandlas i uppgiftssamlingar under vissa förutsättningar. Lagrådet anser att förslaget enligt sin lydelse förutsätter att det även ska få finnas gemensamt tillgängliga uppgifter som inte är en uppgiftssamling. Regeringen delar inte Lagrådets tolkning av förslaget. Försvarets radioanstalts behandling av gemensamt tillgängliga uppgifter kommer endast att ske i uppgiftssamlingar och regeringen bedömer att förslaget är ändamålsenligt. Som Lagrådet uppmärksammar är det väsentligt att uttrycket gemen- samt tillgängliga uppgifter genomgående ges samma innebörd i de nya lagarna. Regeringen ser dock inte något behov av att införa särskilda definitionsbestämmelser för att säkerställa detta. Närmare om Försvarsmaktens behandling av gemensamt tillgängliga uppgifter När det gäller Försvarsmaktens behandling av gemensamt tillgängliga uppgifter i annan verksamhet än försvarsunderrättelseverksamhet och militär säkerhetstjänst ser utredningen, med hänvisning till bl.a. befintliga användningsbegränsningar för myndighetens personal, inte behov av att uppställa krav på särskilda uppgiftssamlingar. Utredningen föreslår dock att Försvarsmakten ska få bestämma vilka uppgiftssamlingar som ska införas vid myndigheten när det gäller behandling av personuppgifter utanför försvarsunderrättelseverksamheten och den militära säkerhets- tjänsten. Regeringen instämmer i Försvarsmaktens uppfattning att uppgifts- samlingar endast ska användas inom de verksamheter som gäller enligt nuvarande lagstiftning för Försvarsmakten.