prop · H803224 · 2021-09-13 00:00:00 — Enligt förordningen om försvarsunderrättelseverksamhet får de myndigheter som bedriver försvarsunderrättelseverksamhet samarbeta i underrättelsefrågor med andra länder och internationella organisationer endast under förutsättning att syftet med samarbetet är att tjäna den svenska statsledningen och det svenska totalförsvaret. De uppgifter som myndigheterna lämnar till andra länder och internationella organisationer får inte vara till skada för svenska intressen (3 §). Utöver statens intresse har detta i rättstillämpningen även ansetts inbegripa intressen hos svenska företag och enskilda. En motsvarande reglering finns för Försvarets radioanstalts internationella samarbete i utvecklingsverksamheten (9 § andra stycket lagen om signalspaning i försvarsunderrättelseverksamhet och 6 § förordningen om signalspaning i försvarsunderrättelseverksamhet). IFM-PuF och FRA-PuF finns bestämmelser som ger Försvarsmakten respektive möjlighet att lämna ut uppgifter till en utländsk myndighet eller en internationell organisation om utlämnandet tjänar den svenska statsledningen eller det svenska totalförsvaret. En ytterligare förutsättning enligt bestämmelsen är att uppgifter som lämnar till andra länder och internationella organisationer inte får vara till skada för svenska intressen (6 § FM-PuF och 7 § FRA-PuF). Bestämmelserna har sekretessbrytande karaktär. Möjligheten att kunna överföra information till utländska myndigheter och internationella organisationer är av avgörande betydelse för Försvarsmaktens och Försvarets radioanstalts verksamheter. Informationen innehåller inte sällan personuppgifter. Som Utredningen om behandlingen av personuppgifter vid Försvarsmakten och föreslår bör en bestämmelse som motsvarar nuvarande reglering föras in i den nya lagen för Försvarsmakten. För att bättre ge uttryck för den nya lagens breda tillämpningsområde anser regeringen, i likhet med utredningen, att ordet försvarsunderrättelse- samarbete inte längre bör användas utan ersättas med försvarssamarbete. Försvarsmaktens försvarsunderrättelsesamarbete är ett exempel på internationellt samarbete som faller inom ramen för myndighetens försvarssamarbete. Andra exempel är Försvarsmaktens deltagande i bilaterala och multilaterala samarbeten med andra länder inom försvarsområdet. På motsvarande sätt som gäller enligt nuvarande reglering kan regeringen i förordning meddela föreskrifter eller i ett enskilt fall besluta om att överföring får ske i andra fall om det är nödvändigt för verksamheten hos Försvarsmakten. Ett behov av överföring av person- uppgifter kan t.ex. uppkomma i myndighetens administrativa verksamhet. I syfte att skapa ytterligare förutsebarhet för i det internationella samarbetet och ett ökat skydd för den enskildes integritet, föreslår regeringen, i enlighet med Utredningen om Försvarets radioanstalts internationella samarbetes förslag, en något mer preciserad bestämmelse för . Förslaget innebär att det i bestämmelsen anges särskilda villkor som ska vara uppfyllda för att en överföring av personuppgifter ska vara tillåten. I bestämmelsen ska anges att personuppgifter endast får överföras till en utländsk underrättelse- eller säkerhetstjänst, eller ett underrättelse- eller säkerhetsorgan i en internationell organisation. EU, FN och Nato är exempel på internationella organisationer som har denna typ av organ. På motsvarande sätt som enligt gällande rätt bör det finnas en möjlighet för regeringen att genom föreskrifter eller beslut i enskilda fall möjliggöra att överföring av personuppgifter även kan få ske i förhållande till andra internationella aktörer än dem som anges i den nya lagen. Ett sådant behov kan t.ex. uppkomma inom ramen för en internationell insats där mottagaren av Försvarets radioanstalts underrättelser är ett organ i en annan stats väpnade styrkor som inte kan sägas vara ett underrättelse- eller säkerhetsorgan (prop. 2006/07:46, s. 125 och 133). Den nuvarande begränsningen, att en överföring av personuppgifter endast får ske om sekretess inte hindrar det, är ett villkor av grundläggande betydelse och bör även fortsatt ingå som ett villkor i bestämmelsen. De personuppgifter som behandlar inom ramen för myndighetens försvarsunderrättelse- och utvecklingsverksamhet omfattas som regel av sekretess enligt 15 kap. 1 och 2 §§ offentlighets- och Uppgifter om enskilda i sådan verksamhet omfattas också typiskt sett av sekretess enligt 38 kap. 4 § offentlighets- och sekretess- lagen. Slutligen bör krävas att en viss skyddsnivå ska vara säkerställd hos mottagaren. Det bör därför i den nya lagen införas bestämmelser som innebär ett krav på att analysera och bedöma om den mottagande utländska underrättelse- eller säkerhetstjänsten eller det mottagande underrättelse- eller säkerhetsorganet i en internationell organisation erbjuder en tillräcklig skyddsnivå för de mottagna personuppgifterna. efterfrågar en ökad precisering av vad en tillräcklig skyddsnivå hos mottagaren innebär. Regeringen vill med anledning av detta framhålla att det blir en fråga för att göra en sammanvägd bedömning. Personuppgifter bör få överföras om har tagit hänsyn till alla omständigheter kring överföringen och dragit slutsatsen att tillräckliga skyddsåtgärder för personuppgifterna föreligger. Det faktum att en mottagande stat är ansluten till dataskydds- konventionen eller en annan internationell överenskommelse som innehåller bestämmelser om dataskydd och registrerades rättigheter innebär som utgångspunkt att lämpliga skyddsåtgärder bör anses föreligga. bör vidare t.ex. kunna beakta att den som ska behandla personuppgifterna i det andra landet eller i den internationella organisationen kommer att ha tystnadsplikt som omfattar de överförda uppgifterna eller att det garanteras att personuppgifterna inte kommer att behandlas för något annat ändamål än det för vilket de överförs. Även åtaganden från mottagarens sida om att inte föra personuppgifterna vidare eller att inte använda personuppgifterna efter en viss tidpunkt är omständigheter som bör kunna beakta vid sin bedömning. Ömsesidighet är av grundläggande betydelse vid internationellt samarbete. Med anledning av advokatsamfunds synpunkter angående förstöringsskyldighet konstaterar regeringen att det bör ingå i den samlade bedömning som ska göra inför en överföring. I likhet med bedömer regeringen att förslaget bidrar till att stärka integritetsskyddet för enskilda. Med hänvisning till Utredningen om Försvarets radioanstalts internationella samarbetes förslag om en ny ändamålsbestämmelse i lagen om signalspaning i försvarsunderrättelseverksamhet (se avsnitt 15.1) lyfter Statens inspektion för försvarsunderrättelseverksamheten frågan om inte rätten att behandla de personuppgifter som har inhämtat med stöd av nämnda bestämmelse bör begränsas till vad som krävs för att inhämta och överföra personuppgifterna inom det internationella samarbetet. Regeringen konstaterar att Försvarets radioanstalts internationella samarbete sker inom ramen för myndighetens försvarsunderrättelse- och utvecklingsverksamhet och att det, med hänsyn till de ändamål som föreslås i den nya lagen om behandling av personuppgifter vid , inte finns skäl att införa ett ytterligare särskilt uttryckt ändamål för Försvarets radioanstalts behandling av personuppgifter vid internationellt samarbete. En sådan lösning skulle, som Statens inspektion för försvarsunderrättelseverksamheten framhåller, kunna bidra till att begränsa behandlingen av aktuella personuppgifter och därmed vara integritetsskyddsstärkande. En sådan ordning riskerar dock att påtagligt hämma Försvarets radioanstalts möjlighet att, inom ramen för det internationella samarbetet, effektivt kunna utföra försvarsunderrättelse- och utvecklingsverksamheten till nytta för säkerhet. Regeringen bedömer att skyddet för den enskildes integritet upprätthålls på ett fullgott sätt, dels genom den nu föreslagna lagstiftningen, dels genom regleringen i lagen om signalspaning i försvarsunderrättelse- verksamhet, med krav på inriktning samt tillstånd från Försvarsunder- rättelsedomstolen för Försvarets radioanstalts signalspaning, liksom Statens inspektion för försvarsunderrättelseverksamhetens kontroll- verksamhet. Något behov av att införa en särskild ändamålsbestämmelse för Försvarets radioanstalts behandling av personuppgifter vid internationellt samarbete finns därför inte. Förslaget uppfyller krav enligt praxis i fråga om skydd av personuppgifter vid överföring utomlands har i stor sammansättning (Grand Chamber) i sitt avgörande i målet mot (35252/08) funnit att den svenska lagstiftningen om signalspaning i försvarsunderrättelseverksamhet i huvudsak är förenlig med , men att det i några avseenden finns brister. anser bl.a. att det saknas tydliga bestämmelser om att den personliga integriteten ska beaktas när avser att överföra uppgifter till ett annat land. Domstolen anser vidare att det saknas ett rättsligt bindande krav för att analysera och bedöma huruvida mottagaren av uppgifterna erbjuder ett tillräckligt skydd för uppgifterna (se särskilt p. 326–330 i domen). Regeringens förslag innebär att det i den nya lagen införs bestämmelser som innebär ett krav på att analysera och bedöma huruvida en utländsk mottagare av uppgifterna erbjuder ett tillräckligt skydd för dem. Regeringen anser att den brist som har pekat på i detta avseende kommer att åtgärdas genom den föreslagna bestämmelsen. dom behandlas även i avsnitt 15.1. Underrättelsesamarbete bygger på ett ömsesidigt förtroende , och uppmärksammar den utmaning som finns när det gäller att kontrollera hur en mottagande utländsk aktör kommer att behandla personuppgifter som den har mottagit vid ett informationsutbyte. Det kan finnas en viss grad av osäkerhet när det gäller att överföra personuppgifter till ett annat land eller en internationell organisation. Det kommer därför att även fortsatt medföra ett stort ansvar för Försvarsmakten och när det gäller att bedöma i vilka fall personuppgifter kan överföras. Regeringen konstaterar att båda myndigheterna har erfarenhet av att göra denna typ av bedömningar. Den föreslagna regleringen för och vad anförs ovan bidrar ytterligare till att tydliggöra vad en tillräcklig skyddsnivå hos mottagaren innebär. Regeringen vill även framhålla att underrättelsesamarbete bygger på ett ömsesidigt förtroende. En motpart Prop. 2020/21:224 som missbrukar förtroendet kommer inte längre att få ta del av Det bör understrykas att Försvarsmakten och inte i något fall är skyldiga att överföra personuppgifter till ett annat land eller en internationell organisation. Närmare villkor för i vilka fall överföring av personuppgifter till utlandet ska få ske, kan på motsvarande sätt som enligt gällande rätt lämpligen regleras i förordning. 11.1Vem är personuppgiftsansvarig? Regeringens förslag: Personuppgiftsansvarig ska vara den som ensam eller tillsammans med andra bestämmer ändamålen med eller medlen för behandlingen av personuppgifter. Försvarsmakten respektive ska vara person- uppgiftsansvarig för all behandling av personuppgifter som myndigheten utför, som utförs under myndighetens ledning eller på dess vägnar. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen och Försvarsmakten anser att den andra meningen i utredningens lagtextförslag bör utgå då definitionen av personuppgiftsansvarig anges i de nya lagarna. Skälen för regeringens förslag: Vad som avses med personuppgifts- ansvarig definieras inte i FM-PuL och FRA-PuL. Liksom utredningen ser regeringen ett värde i att i de nya lagarna införa en sådan definition. Med personuppgiftsansvarig bör avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. I de nya lagarna bör vidare anges att Försvarsmakten respektive är personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför. Som Lagrådet föreslår bör det av bestämmelserna också uttryckligen framgå att personuppgiftsansvaret även inbegriper behandling av person- uppgifter som utförs under myndighetens ledning eller på dess vägnar. Ingen reglering av gemensamt Regeringens bedömning: De nya lagarna bör inte innehålla någon särskild bestämmelse om gemensamt personuppgiftsansvar. Utredningens förslag överensstämmer inte med regeringens Utredningen föreslår att Försvarsmakten och Försvarets radioanstalt ska få vara gemensamt personuppgiftsansvariga med annan 2020/21:224 endast i den utsträckning det följer av regeringen i ett enskilt fall beslutar om det. Remissinstanserna: välkomnar möjligheten till gemensamt personuppgiftsansvar på det sätt som utredningen föreslår. Datainspektionen konstaterar att utredningens förslag är en nyhet jämfört med befintliga bestämmelser. dataskyddsförordning där gemensamt personuppgiftsansvar bedöms utifrån de materiella förutsättningarna i sak. Skälen för regeringens bedömning: Enligt förslaget ska med personuppgiftsansvarig avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen. personuppgiftsansvariga kan alltså vara gemensamt personuppgifts- ansvariga för viss behandling. Ett samarbete mellan två eller flera myndigheter medför inte automatiskt ett gemensamt ansvar för behandlingen av personuppgifter. Det avgörande är i stället om de deltagande myndigheterna i någon mån tillsammans bestämmer ändamålen med och medlen för behandlingen. I många fall då myndigheter samarbetar framgår det av de faktiska omständigheterna vem som är ansvarig för vilken personuppgiftsbehandling, t.ex. genom att det endast är en myndighet som har tillgång till personuppgifterna eller it-systemet, eller om myndigheterna agerar i olika skeden av en process. förhållandet att två myndigheter använder samma datasystem eller att en myndighet ger en annan myndighet direktåtkomst till ett visst datasystem innebär inte heller per automatik att det uppstår ett gemensamt Utredningen föreslår att det i de nya lagarna ska tas in bestämmelser om att Försvarsmakten och ska kunna vara gemensamt personuppgiftsansvariga med annan endast i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. Ett gemensamt personuppgiftsansvar kan då inte uppstå rent faktiskt i en viss situation, utan endast i den utsträckning som eller regeringen har beslutat om det. Ordningen för när gemensamt personuppgiftsansvar uppkommer skulle enligt utredningen därmed bli Vidare följer av utredningens förslag att de förpliktelser var och en av myndigheterna kommer att ha i egenskap av personuppgiftsansvarig ska regleras i en skriftlig överenskommelse och kunna följas upp av tillsyns- och kontrollmyndigheter. välkomnar utredningens förslag medan Datainspektionen konstaterar att förslaget är en nyhet jämfört med gemensamt personuppgiftsansvar enligt EU:s dataskyddsförordning bedöms utifrån de materiella förutsättningarna i sak. Regeringen noterar att Utredningen om 2016 års dataskyddsdirektiv lämnade ett motsvarande författningsförslag i förslagen till brottsdatalag (Brottsdatalag – kompletterande lagstiftning, SOU 2017:74). brottsdatalagen bedömde regeringen att skillnaden mellan lydelsen i dataskyddsdirektivet och lydelsen enligt utredningens förslag skulle kunna medföra att ett gemensamt personuppgiftsansvar i vissa fall föreligger enligt direktivet men inte enligt den föreslagna lagen. kunde detta leda till oklarheter vid rättstillämpningen, särskilt med hänsyn till att det är osäkert hur den EU-rättsliga tolkningen av begreppet Prop. 2020/21:224 gemensamt personuppgiftsansvar kan komma att utvecklas . Regeringen bedömde därför att bestämmelsens utformning borde följa formuleringen i dataskyddsdirektivet (prop. 2017/18:232 s. 214–216). beslutade att anta regeringens förslag (bet. 2017/18:JuU37, rskr. 2017/18:392). Regeringen noterar vidare att lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter inte innehåller någon bestämmelse om gemensamt personuppgiftsansvar. Med hänvisning till att det redan av definitionen av personuppgiftsansvarig följer att två eller flera kan vara gemensamt personuppgiftsansvariga, bedömde regeringen i det lagstiftningsarbetet att varken dataskyddsförordningen eller brotts- datalagen kan sägas innehålla något direkt förtydligande i denna del. Mot den bakgrunden fann regeringen inte skäl att i den nya lagen göra ett förtydligande om gemensamt personuppgiftsansvar. Regeringen konstaterade vidare att gemensamt personuppgiftsansvar kan uppkomma utan en särskild bestämmelse och att gemensamt personuppgiftsansvar torde förekomma väldigt sällan i Säkerhetspolisens verksamhet. Regeringen fann därför att det inte fanns behov av att i den nya lagen införa någon bestämmelse om gemensamt personuppgiftsansvar (prop. 2018/19:163 s. 130–132). beslutade att anta regeringens förslag (bet. 2019/20:JuU9, rskr. 2019/20:44). Sammantaget anser regeringen att det är tydligt att gemensamt personuppgiftsansvar kan uppkomma om Försvarsmakten eller tillsammans med någon annan aktör i eller utomlands har bestämt ändamålen med och medlen för behandlingen av personuppgifter. Detta följer redan av den föreslagna definitionen av personuppgiftsansvarig. En ordning som förutsätter ett särskilt medgivande i författning eller förvaltningsbeslut för att ett gemensamt personuppgiftsansvar ska få förekomma är således inte nödvändig för att ett sådant ansvar ska uppkomma. Utredningens förslag bör därför inte genomföras. Det bör lämpligen överlämnas till rättstillämpningen att utveckla närmare praxis kring frågan om personuppgiftsansvarets fördelning. Författningsenlig behandling genom lämpliga tekniska och organisatoriska åtgärder Regeringens förslag: Försvarsmakten och ska genom lämpliga tekniska och organisatoriska åtgärder säkerställa att behandlingen av personuppgifter är författningsenlig och att den registrerades rättigheter skyddas. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår bestämmelser om loggning av viss personuppgifts- behandling hos Försvarsmakten och . Remissinstanserna: Flertalet remissinstanser tillstyrker eller invänder inte mot utredningens förslag. Datainspektionen anser att skyldigheten att 2020/21:224 föra loggar inte ska begränsas till gemensamt tillgängliga uppgifter. Försvarsmakten framför att loggningskravet för myndigheten endast ska avse den personuppgiftsbehandling som sker i uppgiftssamlingar inom försvarsunderrättelseverksamheten och den militära säkerhetstjänsten. Skälen för regeringens förslag: Regeringen anser i likhet med utredningen att det i de nya lagarna bör införas bestämmelser om en generell skyldighet för Försvarsmakten och att, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa att behandlingen av personuppgifter är författningsenlig och att myndigheterna skyddar rättigheterna för den vars uppgifter behandlas. Utredningen föreslår att de nya lagarna ska innehålla en uttrycklig bestämmelse om loggning av viss personuppgiftsbehandling hos Försvarsmakten och . En logg utgör en behandlingshistorik som sparas så att åtkomsten till personuppgifterna kan kontrolleras. Regeringen konstaterar att ansvar för loggning och logguppföljning indirekt följer av de allmänna kraven på lämpliga tekniska och organisatoriska åtgärder. Försvarsmakten och för enligt gällande ordning loggar som en del i myndigheternas informationssäkerhetsarbete. EU:s dataskyddsförordning och dataskydds- lagen ställer inte krav på att loggning måste ske vid behandling av personuppgifter. Mot denna bakgrund anser regeringen att de nya lagarna inte bör innehålla uttryckliga bestämmelser om loggning. De närmare tekniska och organisatoriska åtgärder som Försvarsmakten och bör vidta beror på vilken verksamhet hos de båda myndigheterna det rör sig om. Vilka närmare åtgärder som Försvarsmakten och ska vidta eller vilka omständigheter som de ska beakta vid beslut om åtgärder kan lämpligen regleras i förordning. Regeringens förslag: Försvarsmakten och ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling, och mot förlust, förstöring eller annan oavsiktlig skada. Försvarsmakten och ska se till att tillgången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte över utredningens förslag. Skälen för regeringens förslag: Försvarsmakten respektive ska enligt nuvarande ordning vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade personuppgifterna är (3 kap. 2 § FM-PuL och FRA-PuL). Som utredningen föreslår bör motsvarande bestämmelser införas i de nya lagarna. Det kan i förordning Prop. 2020/21:224 anges vilka omständigheter som Försvarsmakten och Försvarets radioanstalt ska beakta vid beslut om åtgärder. Vid den bedömningen har det betydelse bl.a. vilka personuppgifter som ska behandlas, mängden uppgifter och hur integritetskänsliga uppgifterna är. Vidare gäller att tillgången till personuppgifter alltid ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter (1 kap. 16 § FM-PuL och FRA-PuL. Bestämmelsen avser såväl tillgången till uppgifterna inom de berörda myndigheterna som den tillgång som personal vid andra myndigheter ges genom direktåtkomst. Regeringen föreslår att motsvarande ska gälla enligt de nya lagarna. 11.3.3Inget krav på en särskild konsekvensbedömning Regeringens bedömning: Särskilda bestämmelser om konsekvens- bedömningar bör inte införas i de nya lagarna. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser tillstyrker eller invänder inte mot utredningens bedömning. Skälen för regeringens bedömning: EU:s dataskyddsförordning ställer krav på konsekvensbedömningar och en skyldighet för den person- uppgiftsansvarige att samråda med tillsynsmyndigheten. Enligt kraven ska konsekvenserna för skyddet av personuppgifter bedömas om en ny typ av behandling, eller betydande förändringar avseende redan pågående behandling, kan antas medföra särskild risk för intrång i registrerades personliga integritet. Bedömningen ska ske innan typen av behandling påbörjas eller förändringen genomförs. Om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång ska personuppgiftsansvarig myndighet samråda med tillsynsmyndigheten innan behandlingen påbörjas eller betydande förändringar genomförs. Konsekvensbedömningarna bör omfatta relevanta system och processer, men inte enskilda fall. Det ska alltså vara fråga om en typ av behandling. En konsekvensbedömning ska dokumenteras, exempelvis i en skriftlig rapport. Regeringen bedömer att lagförslagen innebär att den personuppgifts- ansvarige kontinuerligt måste bedöma konsekvenserna för skyddet av personuppgifter. Någon särskild bestämmelse om att Försvarsmakten och ska genomföra en konsekvensbedömning vid behandling av personuppgifter är därför inte är nödvändig. 11.3.4Ingen skyldighet att anmäla personuppgiftsincidenter Regeringens bedömning: Försvarsmakten och bör inte vara skyldiga att anmäla personuppgiftsincidenter till tillsyns- myndigheten. Utredningens bedömning överensstämmer med regeringens. 2020/21:224 Remissinstanserna: Datainspektionen och delar utredningens bedömning att det inte bör införas en rapporterings- skyldighet av personuppgiftsincidenter. TCO anser att en sådan rapporteringsskyldighet bör införas.