prop · H803224 · 2021-09-13 00:00:00 — Dokumentationen kan avse exempelvis de register som och personuppgiftsbiträden ska föra. Det kan också vara fråga om upplysningar om och dokumentation av vilka organisatoriska och tekniska åtgärder som vidtogs i samband med att en viss typ av behandling påbörjades. Det kan också röra sig om åtgärder för att garantera säkerheten, begränsa den interna tillgången till uppgifter eller förhindra otillåten behandling och åtgärder för intern kontroll. Informationen kan avse exempelvis ändamålen med behandlingen eller förteckningar över pågående behandlingar I punkten 3 regleras tillsynsmyndighetens rätt att få tillträde till lokaler som den personuppgiftsansvarige eller personuppgiftsbiträdet disponerar och tillgång till utrustning och andra medel som används för behandlingen. Rätten till tillträde ger inte myndigheten rätt att bereda sig tillträde med tvång. Om eller personuppgiftsbiträdet inte samarbetar kan tillsynsmyndigheten utnyttja sina korrigerande befogenheter enligt 4 §. har också rätt att få tillgång till den utrustning som tillsynsobjektet disponerar för att, med hjälp av tillsynsobjektets personal, kunna göra nödvändiga körningar och kontroller. Punkten ger således inte tillsynsmyndigheten någon rätt att fritt använda tillsynsobjektets utrustning och datasystem. Punkten 4 klargör att tillsynsmyndigheten har rätt att få hjälp med de sökningar och andra åtgärder som den begär och annan nödvändig hjälp för att genomföra tillsynen. Punkten ger även tillsynsmyndigheten rätt till information som inte har direkt anknytning till behandlingen av personuppgifter men som myndigheten behöver för tillsynen. Informationen kan avse t.ex. verksamhetsplaner som beskriver den verksamhet där behandlingen utförs. 4 § Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå eller personuppgiftsbiträdet att vidta åtgärder för att motverka den risken. får besluta om en skriftlig varning, om en planerad behandling av personuppgifter riskerar att strida mot lag eller annan författning. Detsamma gäller om en pågående behandling riskerar att strida mot lag eller annan Prop. 2020/21:224 författning. Paragrafen reglerar tillsynsmyndighetens befogenheter i det förebyggande arbetet. Övervägandena finns i avsnitt 13.3.2. Av första stycket framgår att tillsynsmyndigheten, om det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska försöka förmå eller personuppgifts- biträdet att motverka risken genom råd, rekommendationer och påpekanden. Rådgivning kan avse såväl formella som informella samråd. De befogenheter som anges i stycket får även i vissa fall användas i korrigerande syfte, vilket framgår av 5 § första stycket 1. Enligt andra stycket får tillsynsmyndigheten besluta om en skriftlig varning om en planerad behandling riskerar att stå i strid med lag eller annan författning. En varning är en mer ingripande åtgärd än åtgärderna i första stycket. Varning kan användas för att visa hur allvarligt tillsyns- myndigheten ser på den planerade behandlingen. behöver inte ha uttömt andra förebyggande åtgärder innan den beslutar om en varning. Av beslutet om varning ska framgå varför tillsynsmyndigheten bedömt att behandlingen inte kommer att vara författningsenlig. Ett beslut om varning har inte några rättsverkningar, men den som får en varning förväntas rätta sig efter den. Varning får också beslutas om en pågående behandling riskerar att strida mot lag eller annan författning. 5 § Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning, eller att eller ett personuppgiftsbiträde på annat sätt inte fullgör sina skyldigheter, får tillsynsmyndigheten 1.genom sådana åtgärder som anges i 4 § första stycket försöka förmå eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter, eller 2.besluta att förelägga eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter. Av ett beslut om föreläggande ska det framgå när föreläggandet senast ska ha följts och, om det är lämpligt, vilka åtgärder som ska vidtas. I paragrafen, som utformas enligt förslag och efter synpunkter från Lagrådet, regleras tillsynsmyndighetens korrigerande befogenheter. Övervägandena finns i avsnitt 13.3.3. har möjlighet att successivt använda olika medel och på så sätt öka påtryckningarna på den som inte självmant rättar sig. De korrigerande befogenheterna får användas om tillsynsmyndigheten konstaterar att eller ett personuppgiftsbiträde behandlar personuppgifter i strid med lag eller annan författning eller annars inte fullgör sina skyldigheter. De skyldigheter som avses är framför allt skyldigheterna i 4 kap. har emellertid också skyldigheter enligt 2 och 5 kap. och skyldighet att bistå tillsynsmyndig- heten enligt 2 §. Även underlåtenhet att fullgöra sådana skyldigheter med anledning av denna lag omfattas. 2020/21:224 Enligt första stycket 1 får tillsynsmyndigheten använda de förebyggande befogenheter som regleras i 4 § första stycket för att försöka förmå eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter. Enligt första stycket 2 får tillsynsmyndigheten besluta att förelägga eller personuppgiftsbiträdet att vidta åtgärder för att viss behandling av personuppgifter ska bli författningsenlig eller för att de ska uppfylla andra skyldigheter. Av andra stycket framgår att det av ett beslut om föreläggande alltid ska framgå när föreläggandet senast ska ha följts ha följts och, om det är lämpligt, vilka åtgärder som ska vidtas. Om föreläggandet avser rättelse, radering eller begränsning av behandlingen bör det framgå av föreläggandet vad som ska göras. får emellertid överlåta åt eller personuppgiftsbiträdet att avgöra vilka åtgärder som ska vidtas för att behandlingen ska bli författningsenlig eller hur andra skyldigheter ska fullgöras. 1 § Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med denna lag, föreskrifter som har meddelats i anslutning till lagen eller beslut med stöd av lagen. Ersättningsskyldigheten kan, i den utsträckning det är skäligt, jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne. I paragrafen regleras skadestånd. Övervägandena finns i avsnitt 14.3.2. Av första stycket framgår att rätt till skadestånd kan uppkomma på grund av behandling i strid med bestämmelser i lagen, föreskrifter som har meddelats i anslutning till lagen eller beslut med stöd av lagen. För att den personuppgiftsansvarige ska bli ersättningsskyldig måste den registrerade bevisa att behandling av dennes personuppgifter stått i strid med bestämmelserna om personuppgiftsbehandling och att den har skadat eller kränkt honom eller henne. Den registrerades rätt till skadestånd omfattar ersättning för kränkning av den personliga integriteten och för annan skada. Med skada avses personskada, sakskada eller ren förmögenhetsskada. Det är bara sådan kränkning eller skada som behandlingen av person- uppgifter har vållat som ersätts. Ersättningen för kränkning får uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det enskilda fallet. Sådana faktorer som att det funnits risk för otillbörlig spridning av känsliga eller felaktiga person- uppgifter eller att den som uppgifterna rör genom behandlingen av uppgifterna drabbats av beslut eller åtgärder som kunnat få negativa följder hör till det som bör beaktas. Den praxis som finns om tillämpningen av bestämmelserna i den upphävda lagen (2007:259) om Försvarets radioanstalts behandling av personuppgifter i försvarsunderrättelse- och utvecklingsverksamhet och personuppgiftslagen är avsedd att vara Prop. 2020/21:224 vägledande. Av andra stycket följer att ersättningsskyldigheten, i den utsträckning det är skäligt, kan jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne. Överklagande av Försvarets radioanstalts beslut 2 § Försvarets radioanstalts beslut enligt 5 kap. 2 § att inte lämna information och beslut enligt 5 kap. 5 § i fråga om rättelse, radering, begränsning av behandlingen eller underrättelse till tredje part, får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Paragrafen reglerar överklagande av Försvarets radioanstalts beslut. Övervägandena finns i avsnitt 14.4.1. Enligt första stycket får Försvarets radioanstalts beslut enligt 5 kap. 2 § att inte lämna information och beslut enligt 5 kap. 5 § i fråga om rättelse, radering, begränsning av behandlingen eller underrättelse till tredje part överklagas till allmän förvaltningsdomstol. Uppräkningen är, som framgår av 4 §, uttömmande. Vilken förvaltningsdomstol som är behörig framgår av 14 § förordningen (1977:937) om allmänna förvaltningsdomstolars behörighet m.m. Enligt andra stycket krävs det prövningstillstånd vid överklagande till kammarrätten. Överklagande av tillsynsmyndighetens beslut 3 § beslut om föreläggande enligt 6 kap. 5 § första stycket 2 får överklagas till allmän förvaltningsdomstol. När ett beslut överklagas är tillsynsmyndigheten motpart i domstolen. Prövningstillstånd krävs vid överklagande till kammarrätten. Paragrafen reglerar överklagande av tillsynsmyndighetens beslut. Övervägandena finns i avsnitt 14.4.2. Enligt första stycket får tillsynsmyndighetens beslut om föreläggande enligt 6 kap. 5 § första stycket 2 överklagas till allmän förvaltnings- domstol. I stycket anges vidare att tillsynsmyndigheten är motpart i domstolen när ett beslut överklagas. Enligt andra stycket krävs prövningstillstånd vid överklagande till kammarrätten. 4 § Andra beslut enligt denna lag än de som anges i 2 och 3 §§ får inte överklagas. Paragrafen innehåller ett överklagandeförbud. Övervägandena finns i avsnitt 14.4.1 och 14.4.2. Av paragrafen framgår att andra beslut enligt lagen än de som anges i 2 och 3 §§ inte får överklagas. Uppräkningen är uttömmande. 2020/21:224 att med stöd av förvaltningslagen (2017:900) överklaga andra beslut som Försvarsmakten eller tillsynsmyndigheten enligt lagen finns alltså inte. 1.Denna lag träder i kraft . 2.Genom lagen upphävs lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. 3.Äldre föreskrifter gäller fortfarande för överklagande av beslut som har meddelats före ikraftträdandet. Ikraftträdande- och övergångsbestämmelserna behandlas i avsnitt 17. Enligt punkten 1 träder lagen i kraft . Genom punkten 2 upphävs lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. Av punkten 3 följer att äldre föreskrifter fortfarande gäller för överklagande av beslut som har meddelats före ikraftträdandet. Med äldre föreskrifter avses lagen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet, förord- ningen (2007:261) om behandling av personuppgifter i Försvarets radio- anstalts försvarsunderrättelse- och utvecklingsverksamhet, person- uppgiftslagen (1998:204) och personuppgiftsförordningen (1998:1191). 19.3Förslaget till lag om ändring i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet 1 § I försvarsunderrättelseverksamhet enligt lagen (2000:130) om försvars- underrättelseverksamhet får den myndighet som regeringen bestämmer (signalspaningsmyndigheten) inhämta signaler i elektronisk form vid signalspaning. Signalspaning i försvarsunderrättelseverksamhet får endast ske i de fall regeringen eller en myndighet som anges i 4 § närmare har bestämt inriktningen av signalspaningen. Signalspaning i försvarsunderrättelseverksamhet får ske endast i syfte att kartlägga 1. yttre militära hot mot landet, 2. förutsättningar för svenskt deltagande i fredsfrämjande och humanitära internationella insatser eller hot mot säkerheten för svenska intressen vid genomförandet av sådana insatser, 3. strategiska förhållanden avseende internationell terrorism och annan grov gränsöverskridande brottslighet som kan hota väsentliga nationella intressen, 4. utveckling och spridning av massförstörelsevapen, krigsmateriel och produkter som avses i lagen (2000:1064) om kontroll av produkter med dubbla användningsområden och av tekniskt bistånd, 5. allvarliga yttre hot mot samhällets infrastrukturer, 6. konflikter utomlands med konsekvenser för internationell säkerhet, 7. främmande underrättelseverksamhet mot svenska intressen, 8. främmande makts agerande eller avsikter av väsentlig betydelse för svensk utrikes-, säkerhets- eller försvarspolitik, eller 9. sådana företeelser som avses i 1–8, men som inte riktas mot eller rör svenska intressen, om det är nödvändigt för ett samarbete i underrättelsefrågor med andra länder och internationella organisationer som signalspanings- Prop. 2020/21:224 myndigheten deltar i. Om det är nödvändigt för försvarsunderrättelseverksamheten får signaler i elektronisk form inhämtas vid signalspaning även för att 1.följa förändringar i signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, samt 2.fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamhet enligt denna lag. Paragrafen reglerar bl.a. ändamål för signalspaning. Övervägandena finns i avsnitt 15.1. I andra stycket 9, som är ny, anges ett uttryckligt ändamål som medger att signalspaningsmyndigheten får bedriva signalspaning i syfte att kartlägga sådana företeelser som avses i 1–8, men som inte riktas mot eller rör svenska intressen, om det är nödvändigt för ett samarbete i underrättelsefrågor med andra länder och internationella organisationer som signalspaningsmyndigheten deltar i. Punkten avser det internationella samarbete som sker inom ramen för signalspaningsmyndighetens försvarsunderrättelseverksamhet. Bedömningen om signalspaning enligt punkten är nödvändig för ett samarbete i underrättelsefrågor som signalspaningsmyndigheten deltar i görs utifrån regeringens bestämmande av samarbetet och inriktning av verksamheten. Har regeringen bestämt att ett samarbete med ett annat land eller en internationell organisation får bedrivas och därtill har inriktat signalspaning enligt 4 § andra stycket är nödvändighetskravet uppfyllt. 2 a § Inhämtning får inte avse signaler mellan en avsändare och mottagare som båda befinner sig i . Om sådana signaler inte kan avskiljas redan vid inhämtningen, ska upptagningen eller uppteckningen förstöras så snart det står klart att sådana signaler har inhämtats. Kravet på förstöring gäller även i fråga om upptagningar och uppteckningar som signalspaningsmyndigheten har fått från ett annat land eller en internationell organisation inom ramen för ett internationellt samarbete. Första stycket tillämpas inte i fråga om 1.signaler som utväxlas autonomt mellan tekniska system i sådana fall där signalerna inte innehåller personuppgifter, eller 2.signaler som sänds från eller till utländsk militär personal, utländska statsfartyg, statsluftfartyg eller militära fordon. Paragrafen reglerar förbud mot signalspaning i vissa fall. Övervägandena finns i avsnitt 15.3. Enligt första stycket första meningen får inhämtning inte avse signaler mellan en avsändare och mottagare som båda befinner sig i . Om sådana signaler inte kan avskiljas redan vid inhämtningen, ska upptagningen eller uppteckningen, enligt andra meningen, förstöras så snart det står klart att sådana signaler har inhämtats. Av första stycket tredje meningen, som är ny, framgår att kravet på förstöring enligt första och andra meningarna även gäller i fråga om upptagningar eller uppteckningar som signalspaningsmyndigheten har fått från ett annat land eller en internationell organisation inom ramen för ett internationellt samarbete. ska således förstöra upptagningar eller uppteckningar av sådana signaler som ursprungligen 2020/21:224 har inhämtats av en utländsk part så snart det står klart att signalerna har inhämtats på ett sätt som inte är tillåtet för signalspaningsmyndigheten. I andra stycket, som är nytt, införs två nya undantag från förbudet i första stycket. Enligt andra stycket 1 gäller förstöringsskyldigheten inte för signaler som utväxlas autonomt mellan tekniska system i sådana fall där signalerna inte innehåller personuppgifter. Av andra stycket 2 framgår att förbudet enligt första stycket inte heller gäller för signaler som sänds till eller från utländsk militär personal. 4 § I lagen (2000:130) om försvarsunderrättelseverksamhet finns bestämmelser om regeringens och myndigheters inriktning av sådan verksamhet. Inriktning av signalspaning får anges endast av regeringen, , Försvarsmakten, Säkerhetspolisen och Nationella operativa avdelningen i . Regeringen bestämmer inriktningen av sådan verksamhet som bedrivs enligt 1 § andra stycket 9 och tredje stycket. En inriktning av signalspaning får inte avse endast en viss fysisk person. Paragrafen reglerar inriktning av signalspaningsmyndighetens signal- spaning. Övervägandena finns i avsnitt 15.2. Andra stycket ändras på så sätt att det införs en bestämmelse som innebär att regeringen även ansvarar för att inrikta den signalspaning som får bedrivas för det ändamål som anges 1 § andra stycket 9, dvs. inom ramen för signalspaningsmyndighetens samarbete i underrättelsefrågor med andra länder och internationella organisationer. Regeringen ansvarar således ensam för inriktningen av den signalspaning som signalspanings- myndigheten får bedriva inom ramen för myndighetens internationella samarbete i försvarsunderrättelse- och utvecklingsverksamheten. 7 § En upptagning eller uppteckning av uppgifter som har inhämtats enligt denna lag eller som signalspaningsmyndigheten har fått från ett annat land eller en internationell organisation inom ramen för ett internationellt samarbete ska omgående förstöras om innehållet 1.berör en viss fysisk person och har bedömts sakna betydelse för verksamhet som avses i 1 §, 2.avser uppgifter för vilka tystnadsplikt gäller enligt 3 kap. 3 § tryckfrihetsförordningen eller 2 kap. 3 § yttrandefrihetsgrundlagen, eller som i 3 kap. 5 § tryckfrihetsförordningen eller 2 kap. 5 § yttrandefrihetsgrundlagen, 3.omfattar uppgifter i sådana meddelanden mellan en person som är misstänkt för brott och hans eller hennes försvarare vilka skyddas enligt 27 kap. 22 § första stycket , eller 4.avser uppgifter lämnade under bikt eller enskild själavård, såvida det inte finns synnerliga skäl att behandla uppgifterna för syften som anges i 1 § andra stycket. Paragrafen reglerar krav på förstöring av uppgifter. Övervägandena finns i avsnitt 15.3. Första stycket ändras på så sätt att kravet på förstöring även omfattar en upptagning eller uppteckning av uppgifter som signalspanings- myndigheten har fått från ett annat land eller en internationell organisation inom ramen för ett internationellt samarbete. 12 a § I lagen (2021:000) om behandling av personuppgifter vid . 2020/21:224 radioanstalt finns ytterligare bestämmelser om behandlingen av inhämtade Paragrafen innehåller en upplysning om att det i lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvars- underrättelse- och utvecklingsverksamhet finns ytterligare bestämmelser om behandlingen av inhämtade personuppgifter. Övervägandena finns i avsnitt 16. Ändringen innebär att hänvisningen till lagen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet ersätts med en hänvisning till lagen (2021:000) om behandling av personuppgifter vid . 19.4Förslaget till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning 3 § Bestämmelserna i 2 § gäller inte i verksamhet som omfattas av 1.lagen (2021:000) om behandling av personuppgifter vid Försvarsmakten, 2.lagen (2021:000) om behandling av personuppgifter vid , eller 3.lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter. Paragrafen reglerar undantag från 2 §, vilken utsträcker EU:s dataskydds- förordnings tillämpningsområde. Övervägandena finns i avsnitt 16. Ändringen innebär att hänvisningarna till lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelse- verksamhet och militära säkerhetstjänst och lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvars- underrättelse- och utvecklingsverksamhet ersätts med hänvisningar till lagen om behandling av personuppgifter vid Försvarsmakten respektive lagen om behandling av personuppgifter vid . 19.5Förslaget till lag om ändring i brottsdatalagen (2018:1177) 4 § Lagen gäller inte vid behandling av personuppgifter som rör nationell säkerhet eller om har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Lagen gäller inte i verksamhet enligt lagen (2021:000) om behandling av personuppgifter vid Försvarsmakten. Paragrafen reglerar verksamhet som brottsdatalagen inte gäller. Övervägandena finns i avsnitt 16. 2020/21:224 Ändringen i andra stycket innebär att hänvisningen till lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunder- rättelseverksamhet och militära säkerhetstjänst ersätts med en hänvisning till lagen om behandling av personuppgifter vid Försvarsmakten. Övriga ändringar är endast språkliga. Sammanfattning av betänkandet Personuppgiftsbehandlingen vid Försvarsmakten och (SOU 2018:63) Sedan nuvarande särskilda regler för personuppgiftsbehandling i Försvarsmaktens och Försvarets radioanstalts verksamheter trädde ikraft har det skett en omfattande utveckling och ett reformarbete på personuppgiftsområdet. Bl.a. har Europeiska unionen (EU) enats om en genomgripande dataskyddsreform som genomfördes . Reformen omfattade dels en allmän dataskyddsförordning, dels ett dataskyddsdirektiv som behandlar dataskyddet vid bl.a. brotts- bekämpning, lagföring och straffverkställighet. En konsekvens av EU:s reform är att den svenska personuppgiftslagen har upphävts och att all personuppgiftslagstiftning som anknyter till denna lag därför behöver ses över och anpassas. Verksamheter inom försvar och nationell säkerhet är uttryckligen undantagna från EU:s lagstiftningskompetens. Viss verksamhet vid Försvarsmakten och regleras emellertid av personuppgiftslagen, varför utredningen fick i uppdrag bl.a. att göra en översyn av de författningar som reglerar personuppgifts- behandling inom Försvarsmakten och . Utredningen fick även i uppdrag att analysera huruvida rådande lagstiftning är ändamålsenlig för Försvarsmaktens och Försvarets radioanstalts verksamheter och om den är tillräcklig i fråga om skyddet för enskildas personliga integritet. 2020/21:224 Bilaga 1 Anpassningar och andra ändringar genom två nya lagar Utredningen föreslår att viss, särskilt angiven verksamhet hos För- svarsmakten och även fortsättningsvis ska sär- regleras i två nya heltäckande och självständiga lagar. Utredningen föreslår ett antal ändringar i förhållande till nuvarande regler för personuppgiftsbehandling hos de båda myndigheterna. Bl.a. vidgas tillämpningsområdet för vilka verksamheter hos de båda myndigheterna som omfattas av den särskilda lagregleringen. Tillåtna rättsliga grunder och behandling för nya ändamål Som anförts ovan föreslår utredningen vidgade tillämpningsområden för de båda nya lagarna jämfört med nuvarande lagstiftning. De nya lagarna innehåller emellertid också tydliga och uttömmande rättsliga grunder som anger vilka personuppgiftsbehandlingar som omfattas av de båda nya lagarna. För införs dessutom bestämmelser om s.k. preciserad finalitet, vilket innebär förbättrad förutsägbarhet om i vilka syften får vidarebehandla inhämtade uppgifter.