prop · H803224 · 2021-09-13 00:00:00 — Vid tillkomsten av FM-PuL 2007 överfördes regelverket för den personuppgiftsbehandling som utfördes i myndighetens försvars- underrättelseverksamhet och militära säkerhetstjänst, och som hade reglerats särskilt i förordning, till lag. sker det en utveck- ling av det militära försvaret av och Försvarsmaktens operativa förmåga (Försvarspolitisk inriktning – försvar 2016–2020, prop. 2014/15:109 och Totalförsvaret 2021–2025, prop. 2020/21:30). Vidare har en återuppbyggnad av totalförsvaret med en sammanhängande totalförsvarsplanering inletts. Denna utveckling och Försvarsmaktens särskilda ställning i totalförsvaret i allmänhet och det militära försvaret i synnerhet leder till att det nu finns skäl att – i förhållande till nuvarande ordning – utvidga tillämpningsområdet för den nya särreglering som föreslås gälla vid Försvarsmaktens behandling av personuppgifter. Försvarsmaktens verksamhet omfattas typiskt sett inte av unionsrätten. Regeringen anser, i likhet med utredningen, att den nya lagen så långt det är möjligt och lämpligt bör följa strukturen i EU-regleringen och annan svensk särreglering på dataskyddsområdet som ligger utanför unionsrätten. Detta är en fördel i tillämpningshänseende för såväl Försvarsmakten som tillsyns- och kontrollmyndigheterna, liksom för enskilda ur ett integritetsskyddsperspektiv. Som Lagrådet uppmärksammar bör det i fråga om tillämpningsområdet klart framgå av den nya lagen vilka verksamheter inom Försvarsmakten som lagen omfattar. Den nya lagen bör således omfatta behandlingen av personuppgifter i Försvarsmaktens verksamhet som rör försvar och säkerhet samt internationellt försvars- och säkerhetssamarbete. Regeringen ser inte att det finns någon risk för att en sådan utformning kan leda till tillämpningssvårigheter av det slag som befarar. Nuvarande reglering är tillämplig vid personuppgiftsbehandling som är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. behandling i t.ex. register omfattas alltså av regelverket om uppgifterna är 2020/21:224 tillgängliga för sökning eller sammanställning enligt mer än ett kriterium. Som utredningen föreslår bör den nya lagen ha motsvarande tillämpnings- område. 6.4.2Tillämpningsområdet för lagen om behandling av personuppgifter vid Regeringens förslag: Lagen om behandling av personuppgifter vid ska gälla behandling av personuppgifter i myndighetens försvarsunderrättelse- och utvecklingsverksamhet samt informationssäkerhetsverksamhet. Lagen ska gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad. Den ska också gälla personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda rutiner. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: instämmer i utredningens Datainspektionen delar utredningens bedömning att den nya lagen även bör omfatta informationssäkerhetsverksamhet. Skälen för regeringens förslag: Försvarets radioanstalts försvars- underrättelse- och utvecklingsverksamhet syftar till att upprätthålla försvar och säkerhet. Verksamheten omfattas inte av unionsrätten. I Försvarets radioanstalts informationssäkerhetsverksamhet tillämpas. personuppgiftslagen vid behandling av personuppgifter (se avsnitt 4.5.1). Syftet med informationssäkerhetsverksamheten vid är att stödja verksamheter som har betydelse för säkerhet. Den omfattas därför inte av unionsrätten. Informationssäkerhets- verksamheten har vidare ett nära samband med signalspaning i försvars- underrättelseverksamhet. Enligt lagen om signalspaning i försvars- underrättelseverksamhet får signalspaning ske i syfte att kartlägga bl.a. allvarliga yttre hot mot samhällets infrastruktur (1 § andra stycket 5). Möjligheten till utbyte av information mellan signalspaningen och informationssäkerhetsverksamheten utgör ett viktigt verktyg för att kunna upprätthålla säkerhet. Med hänsyn till att verksamhetsområdena till sin karaktär är nära sammanlänkade, anser regeringen att starka skäl talar för att behandlingen av personuppgifter bör regleras i ett gemensamt regelverk. Som utredningen, med instämmande av och Datainspektionen, föreslår bör därför Försvarets radioanstalts behandling av personuppgifter i informationssäkerhetsverksamheten också regleras i den nya lagen. Nuvarande särreglering är tillämplig vid personuppgiftsbehandling som är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. behandling i t.ex. register omfattas alltså av regelverket om uppgifterna är tillgängliga för sökning eller sammanställning enligt mer än Den nya lagen bör, som utredningen föreslår, utformas på Prop. 2020/21:224 motsvarande sätt. 6.5Vissa ord och uttryck i lagarna ska definieras Regeringens förslag: Vissa ord och uttryck som används i de nya lagarna ska definieras. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår inte någon definition av ordet registrerad. Remissinstanserna: Försvarsmakten föreslår att definitionen av uppgiftssamling för myndighetens vidkommande avgränsas till att avse Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhets- tjänst. Datainspektionen anser att definitionen av dataskyddsombud även bör omfatta juridiska personer och att det för personuppgiftsbiträde inte ska finnas ett uttryckligt krav på skriftligt avtal. Forum för dataskydd ifrågasätter utredningens förslag när det gäller dataskyddsombudets uppgifter. anser att uttryck i de föreslagna lagarna bör definieras på samma sätt som i EU:s dataskyddsförordning. Skälen för regeringens förslag Sedan FM-PuL:s och FRA-PuL:s tillkomst 2007 har bl.a. den tekniska utvecklingen påverkat innebörden av vissa ord och uttryck som används i de lagarna. Utvecklingen innebär också att vissa ord och uttryck har tillkommit medan andra har tagits bort eller bytts ut. Med anledning av EU:s dataskyddsförordning och de lagar och lagändringar som är en följd av dataskyddsdirektiv förekommer vissa ord och uttryck både i lagstiftning som omfattas av och i lagstiftning som inte gör det. I den utsträckning som samma ord och uttryck används, bör de i möjligaste mån ha samma betydelse i även sådan lagstiftning som reglerar verksamhet utanför tillämpningsområde. Om ord och uttryck har samma innebörd i lagarna på dataskyddsområdet kan missförstånd undvikas. Enligt bör uttrycken i de nya lagarna definieras på samma sätt som i EU:s dataskyddsförordning. Som behandlas i avsnitt 6.2 är de föreslagna lagarna fristående från dataskyddsförordningen. Regeringen anser därför inte att en sådan ordning är lämplig. Det är emellertid önskvärt att lagar om behandlingen av personuppgifter utformas på ett enhetligt sätt, bl.a. i fråga om definitioner av vissa förekommande ord och uttryck. I det följande behandlas vissa centrala definitioner i de nya lagarna. Regeringen återkommer till definitionerna av personuppgiftsansvarig (avsnitt 11.1), dataskyddsombud (avsnitt 11.4) och personuppgiftsbiträde (avsnitt 11.5.1). Behandling av personuppgifter definieras i FM-PuL och FRA-PuL som varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Regeringen föreslår att behandling av personuppgifter i de nya lagarna definieras som en åtgärd eller kombination av åtgärder som vidtas i fråga om personuppgifter eller uppsättningar av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämnande, spridning eller tillhandahållande på annat sätt, justering, sammanföring, begränsning, radering eller förstöring. Den föreslagna lydelsen innebär endast vissa språkliga skillnader jämfört med EU:s dataskyddsförordning och vissa ändringar i de angivna exemplen jämfört med nuvarande FM-PuL och FRA-PuL. Orden återvinning, inhämtande, blockering och utplåning tas bort, medan strukturering, framtagning, läsning, justering, sammanföring, begränsning och radering tillkommer. I fråga om orden radering, förstöring och utplåning kan noteras att radering och förstöring finns med i definitionen av personuppgifts- behandling i EU:s dataskyddsförordning (artikel 4), men någon närmare förklaring till vad radering respektive förstöring innebär finns inte utöver att radering kopplas till rätten att bli bortglömd (artikel 17). Radering eller rätten att bli bortglömd antyder att radering enligt dataskyddsförordningen innebär att personuppgifterna ska tas bort på ett sådant sätt att informationen inte kan återskapas vid senare tillfälle (Ny dataskyddslag, SOU 2017:39 s. 317), dvs. samma betydelse som utplåna enligt nuvarande FM-PuL och FRA-PuL (prop. 2006/07:46 s. 90). Ordet radering kan även jämföras med förstöring, som är det ord som används i lagen om signalspaning i försvarsunderrättelseverksamhet. Data ska alltså raderas på ett sådant sätt att den inte kan återskapas. Enligt regeringens mening hindrar en sådan utformning av bestämmelsen inte en fortsatt teknisk utveckling av hur detta genomförs i praktiken, utan att den rättsliga innebörden påverkas. Begränsning kan jämföras med blockering, som används i FM-PuL och FRA PuL. Enligt bestämmelserna utgör blockering en åtgärd som vidtas för att personuppgifterna ska vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte ska lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen (1 kap. 4 §). Definitionen stämmer väl överens med beskrivningen av ordet begränsning, dvs. att den personuppgifts- ansvarige vidtar en åtgärd med personuppgifterna som visar att behandlingen har begränsats. Hur begränsningen bör göras får bedömas med utgångspunkt i vad som är lämpligt i det enskilda fallet. En typisk åtgärd kan vara att avskilja personuppgifterna från det datasystem där de behandlas. Begränsningen kan också ha formen av en teknisk begränsning. En tredje möjlighet att begränsa behandlingen är att inskränka tillgången Prop. 2020/21:224 till personuppgifterna. Biometri är en samlingsbeteckning för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Den baseras på mätning av fysiska karaktärsdrag hos den som ska identifieras (Fingeravtryck i pass, prop. 2008/09:132 s. 6–7). När det gäller pass är det framför allt mönster av fingeravtryck, ansiktsgeometri och ögats iris som används, men även regnbågshinna, näthinna, röst, hand, blodkärl, dna eller gång går att använda. Gemensamt för teknikerna är att kroppen mäts elektroniskt. Biometriska uppgifter är den information som kan tas fram ur ett biometriskt underlag. Dessa uppgifter kan användas för att skapa en referensmall eller för att jämföra med tidigare lagrade referensmallar i syfte att kontrollera en persons identitet. I EU:s dataskyddsförordning anges ansiktsbilder som ett exempel på biometriska uppgifter i definitionen av sådana uppgifter. Det kan leda tanken till att vanliga fotografier och filmer skulle omfattas av definitionen. Om de inte bearbetas tekniskt genom en särskild metod som syftar till identifiering faller de utanför definitionen. Om de däremot bearbetas i exempelvis ett ansiktsigenkänningsprogram så att det går att identifiera personer på bilden eller filmen omfattas de av definitionen. Här kan även anmärkas att personuppgifter, t.ex. fingeravtryck, som förekommer i ett utlåtande som baseras på en teknisk bearbetning av biometriska uppgifter inte i sig utgör biometriska uppgifter. FM-PuL och FRA-PuL saknar en definition av biometriska uppgifter. Uttrycket biometriska uppgifter bör, som utredningen föreslår, införas i de nya lagarna och definieras som personuppgifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar identifiering av personen i fråga. Genetiska uppgifter definieras inte i nuvarande FM-PuL och FRA-PuL. I de nya lagarna bör genetiska uppgifter definieras som personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som framför allt härrör från analys av ett spår av eller ett biologiskt prov från personen i fråga. Genetiska uppgifter handlar framför allt om information som kan tas fram vid dna-analyser, men även motsvarande information som tas fram genom andra analyser omfattas. Genetiska uppgifter behandlas vid dna- analyser för att ta fram dna-profiler eller forensiska uppslag. Eftersom nedärvda eller förvärvade genetiska kännetecken för en fysisk person kan framgå av ett spår omfattas även analys av spåren, trots att de då inte går att härleda till en identifierad person. Själva dna-profilen är endast en sifferkombination och därmed ingen genetisk uppgift. Den är däremot en biometrisk uppgift, eftersom det är möjligt att med hjälp av den unikt identifiera en person. Mottagare definieras i FM-PuL och FRA-PuL som den till vilken person- uppgifter lämnas ut. När personuppgifter lämnas ut från Försvarsmakten eller för att en annan myndighet ska kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte den myndigheten som mottagare. Mottagare bör definieras som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. I förhållande till nuvarande FM-PuL och FRA-PuL bör en ändring av endast språklig karaktär göras. Personuppgifter definieras i FM-PuL och FRA-PuL som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Personuppgift bör i de nya lagarna definieras som varje upplysning om en identifierad eller identifierbar fysisk person som är i livet. Den nya lydelsen är inte avsedd att innebära någon ändring i sak, men gör enligt regeringens mening definitionen mer enhetlig med övriga lagar på området för personuppgiftsbehandling. Registrerad definieras i FM-PuL och FRA-PuL som den som en person- uppgift avser. Utredningen föreslår inte någon definition av registrerad i de nya lagarna. Enligt EU:s dataskyddsförordning är en registrerad en identifierad eller identifierbar fysisk person. I likhet med annan särskild lagstiftning om personuppgiftsbehandling bör registrerad definieras som den fysiska person som personuppgiften gäller. Tredje man definieras i FM-PuL och FRA-PuL som någon annan än den registrerade, den personuppgiftsansvarige, personuppgiftsombudet, personuppgiftsbiträdet och sådana personer som under den person- uppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har befogenhet att behandla personuppgifter. Tredje man bör i förhållande till nuvarande reglering ändras till tredje part i enlighet med utredningens förslag. Tredje part bör definieras som någon annan än den registrerade, den personuppgiftsansvarige, dataskyddsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter. Uppgiftssamling definieras i FM-PuL och FRA-PuL som en samling med uppgifter som med hjälp av automatiserad behandling används gemen- samt. Utredningen föreslår att samma definition ska införas i de nya lagarna med den ändringen att uttrycket används gemensamt byts ut mot är gemensamt tillgängliga. Försvarsmakten anför att definitionen av uppgiftssamling för Prop. 2020/21:224 Försvarsmaktens vidkommande bör avse endast myndighetens försvars- underrättelseverksamhet och militära säkerhetstjänst. Regeringen anser att definitionen av ordet uppgiftssamling lämpligen bör vara densamma i de nya lagarna. Det hindrar inte att regleringen kan skilja sig åt i fråga om i vilka fall personuppgifter som är gemensamt tillgängliga vid Försvarsmakten respektive ska behandlas i uppgiftssamlingar (se avsnitt 9). Utredningens förslag till definition bör därför genomföras. 7Ändamål för behandlingen av personuppgifter 7.1Behandling får bara ske för särskilda, uttryckligt angivna och berättigade ändamål Regeringens förslag: Försvarsmakten och får behandla personuppgifter bara för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen behandlades. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser tillstyrker eller invänder inte mot utredningens förslag. Juridiska fakultetsstyrelsen vid lyfter frågan om inte ändamålen bör preciseras närmare och dokumenteras innan insamlingen påbörjas. förordar en uttömmande uppräkning av de ytterligare ändamål som skulle kunna komma i fråga. Skälen för regeringens förslag Behandling för särskilda, uttryckligt angivna och berättigade ändamål Den omständigheten att viss behandling är rättsligt grundad innebär inte att vilka personuppgifter som helst får behandlas eller att det får göras på valfritt sätt. Den personuppgiftsansvarige måste också iaktta övriga krav som gäller för behandling av personuppgifter. Av FM-PuL och FRA-PuL framgår att Försvarsmakten respektive ska se till att personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (1 kap. 6 § 3 och 4). Regeringen anser att liknande bestämmelser bör föras in i de nya lagarna. Att ändamålen ska vara särskilda innebär att de måste vara tillräckligt specificerade för att ge ledning för bedömningen av vilka uppgifter som är adekvata och relevanta för den aktuella behandlingen och för att det ska 2020/21:224 kunna avgöras att inte fler uppgifter än nödvändigt behandlas. Något hinder mot att ange flera parallella ändamål för behandlingen finns inte. Ändamålen ska anges uttryckligen redan när personuppgifterna samlas in. Till skillnad från Juridiska fakultetsstyrelsen vid ser regeringen inget behov av att i de nya lagarna ytterligare precisera de föreslagna ändamålen för Försvarsmaktens och Försvarets radioanstalts personuppgiftsbehandling. Att ändamålen ska vara berättigade innebär att det ska finnas en koppling till myndighetens reglerade verksamhet som utgör den rättsliga grunden. Personuppgifter får således inte behandlas för ett ändamål som inte är berättigat i förhållande till verksamheten. Genom att det i stor utsträckning är reglerat vilken personuppgiftsbehandling som kan aktualiseras vid Försvarsmakten och har lagstiftaren redan tagit ställning till att personuppgiftsbehandlingen är berättigad i de fallen. Det är dock inte bara när personuppgifter samlas in som det ska finnas ett särskilt, uttryckligt angivet och berättigat ändamål för behandlingen. Motsvarande krav gäller även för varje åtgärd som vidtas med de insamlade uppgifterna. Juridiska fakultetsstyrelsen vid lyfter frågan om det bör ställas krav på dokumentation innan en behandling av personuppgifter påbörjas. Det är viktigt att kunna kontrollera för vilket eller vilka ändamål personuppgifter behandlas oavsett i vilken verksamhet behandlingen görs. Både av hänsyn till verksamheten och till den personliga integriteten är det därför enligt regeringens mening viktigt att det framgår för vilket ändamål en personuppgift behandlas. Från integritetssynpunkt har det betydelse bl.a. för möjligheterna att genom tekniska förfaranden eller administrativa bestämmelser kunna styra åtkomsten till vissa uppgifter. Att ändamålet med behandlingen framgår är vidare en viktig faktor för att en tillsynsmyndighet ska kunna kontrollera om viss behandling är berättigad och utförs i enlighet med lagens bestämmelser. Information om ändamålet med behandlingen behövs också för att de tjänstemän som får tillgång till personuppgifterna ska kunna värdera personuppgifterna korrekt och använda sig av dem på ett effektivt och lagenligt sätt. Informationen behövs bl.a. för att kunna ta ställning till om uppgiften får och bör behandlas för ett nytt ändamål. Med hänsyn till den verksamhet som Försvarsmakten och bedriver bör det emellertid redan av sammanhanget typiskt sett framgå för vilka ändamål en viss personuppgift behandlas. Av detta följer att verksamhetens karaktär i sig innebär en avgränsning av vilka personuppgifter som behandlas. Regeringen anser att detta är en från integritetssynpunkt tillfredsställande ordning och ser därför inte behov av en sådan ordning som Juridiska fakultetsstyrelsen vid efterfrågar. Med anledning av tveksamhet till sekundära ändamål kan regeringen konstatera att sekundära ändamål och finalitetsprincipen är vedertagna inom dataskyddsområdet och de föreslagna bestämmelserna ger ett tydligt ändamålsstöd för sådan personuppgiftsbehandling. Reglering avseende sekundära ändamål finns t.ex. i totalförsvarsdatalagen och kustbevakningslagen (2019:429). förordar även att det i de nya lagarna införs en Prop. 2020/21:224 bestämmelse om när personuppgifter ska kunna behandlas för nya ändamål som motsvarar brottsdatalagens reglering. Regeringen noterar att kraven på nödvändighet och proportionalitet i brottsdatalagen har sin grund dataskyddsdirektiv och att direktivets krav inte gäller för de verksamheter som är aktuella i det här lagstiftningsarbetet. Enligt regeringens mening saknas behov av sådan reglering i de nya lagarna. Regeringens förslag: Personuppgifter får behandlas i Försvarsmaktens verksamhet om behandlingen är nödvändig för att planera, förbereda och genomföra verksamhet som rör försvar och säkerhet, eller 2. internationellt försvars- och säkerhetssamarbete. Försvarsmaktens uppgift att bedriva sådan verksamhet som anges i första stycket ska följa av lag, förordning, kollektivavtal eller annat avtal, eller ett särskilt beslut där regeringen har gett myndigheten i uppdrag att utföra uppgiften. Ändamål för Försvarsmaktens behandling av personuppgifter i myndighetens försvarsunderrättelseverksamhet och militära säkerhets- tjänst bör anges i särskilda bestämmelser. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen använder uttrycket rättslig grund. Remissinstanserna: Försvarsmakten framhåller vikten av en samlad reglering av myndighetens personuppgiftsbehandling och att ordet ändamål är vanligt förekommande i dataskyddslagstiftningar, till skillnad från uttrycket rättslig grund som utredningen föreslår. anser att administrativ verksamhet bör antingen särregleras eller behandlas i ett särskilt kapitel i den nya lagen. Statens inspektion för försvars- underrättelseverksamheten efterfrågar ett klargörande om behandling av personuppgifter i försvarsunderrättelseverksamheten och den militära säkerhetstjänsten även ska kunna ske med stöd av bestämmelsen om försvar och säkerhet. Skälen för regeringens förslag Personuppgiftsbehandling i verksamhet som rör försvar och Regeringen föreslår att den nya lagen för Försvarsmaktens behandling av personuppgifter ska få ett bredare tillämpningsområde jämfört med vad som gäller enligt nuvarande ordning (avsnitt 6.4.1). Detta behöver ges stöd genom tydliga ändamål i den nya lagen. I enlighet med utredningens förslag bör således den nya lagen innehålla en ändamålsbestämmelse som anger att personuppgifter få behandlas i Försvarsmaktens verksamhet om behandlingen är nödvändig för att planera, förbereda och genomföra