prop · H803224 · 2021-09-13 00:00:00 — Vidare bör behandling få ske om det är nödvändigt för att tillhandahålla information som behövs med anledning av samverkan med andra som verkar på informationssäkerhetsområdet såväl inom som utom landet. Som utredningen föreslår bör behandling av personuppgifter i dessa fall få ske enbart i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall. En nära samverkan mellan försvarsunderrättelseverksamheten och informationssäkerhetsverksamheten är av stor betydelse. För försvars- underrättelseverksamheten är det angeläget att kunna ta del av uppgifter från informationssäkerhetsverksamheten när det gäller att kartlägga allvarliga yttre hot mot samhällets infrastruktur och främmande underrättelseverksamhet. Regeringen anser att personuppgifter därför även bör få behandlas om det är nödvändigt för att tillhandahålla information av detta slag. har därvid att förhålla sig till de bestämmelser som gäller för försvarsunderrättelseverksamheten. Försvarets radioanstalts informationssäkerhetsverksamhet är även av betydelse för myndighetens utvecklingsverksamhet. Personuppgifter som får behandla i myndighetens informations- säkerhetsverksamhet bör därför även få behandlas om det är nödvändigt för att tillhandahålla information som behövs i utvecklingsverksamheten. Den föreslagna regleringen innebär således att personuppgifts- behandling för vissa sekundära ändamål uttryckligen regleras i lag, i stället för att, som , hanteras i enlighet med finalitetsprincipen. Avsikten är att skapa ökad tydlighet. Finalitetsprincipen gäller därutöver. Behandling av allmänt tillgänglig information Regeringens förslag: Försvarsmakten får behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för myndighetens försvarsunderrättelseverksamhet eller militära säkerhets- tjänst, eller vid planering, förberedelse och genomförande av annan verksamhet som rör försvar och säkerhet eller internationellt försvars- och säkerhetssamarbete. får behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för de ändamål som anges för försvarsunderrättelse- och utvecklingsverksamheten och Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: välkomnar utredningens Skälen för regeringens förslag: För att kunna bedriva en effektiv försvarsunderrättelseverksamhet behöver Försvarsmakten och Försvarets radioanstalt, utöver den information som myndigheterna inhämtar genom särskilda metoder, också god tillgång till allmänt tillgänglig information. Därigenom kan den på särskilt sätt inhämtade informationen sättas in i sitt rätta sammanhang på ett bättre sätt. Av intresse i sammanhanget är information som utgörs av personuppgifter som kan påträffas vid sökning på internet eller vid sökningar i öppna databaser. Uppgifterna kan vara tillgängliga såväl på kommersiell grund som utan avgift. Gemensamt för dem är att de är publikt tillgängliga. Det kan t.ex. vara fallet när en abonnent på något sätt har samtyckt till att uppgifterna finns med i elektroniska telefonkataloger eller förteckningar över ip-adresser i olika länder. Sådana databaser anskaffas och läggs upp som referensdatabaser hos myndigheten där den kan göra sökningar. Ett syfte med att behandla personuppgifter i referensdatabaser kan vara att kunna skaffa ytterligare kunskap om förhållanden av relevans för fullföljandet av en inriktning, t.ex. telefonnummer, adresser, geografisk hemvist etc. Ett annat syfte kan vara att kunna identifiera vem som använder en adressuppgift av intresse, t.ex. telefonnummer som förekommer i den inhämtade informationen. Det är inte bara i försvarsunderrättelseverksamheten som det finns ett behov av att behandla personuppgifter på det ovan beskrivna sättet. För Försvarsmaktens del har myndigheten även ett sådant behov inom den militära säkerhetstjänsten. Behovet förekommer även när det gäller planering, förberedelse och genomförande av verksamhet som avser försvar och säkerhet eller internationellt försvars- och säkerhetssamarbete. Utöver de syften för sådan behandling inom försvarsunderrättelse- verksamheten, som endast får avse utländska förhållanden, behöver behandla personuppgifter i sådana databaser för att kunna filtrera bort signaler i sådana fall där både sändare och mottagare befinner sig i , t.ex. genom att bedöma vilka ip-adresser som avser datorer i . Detta är en nödvändighet då inhämtning enligt lagen om signalspaning i försvarsunderrättelseverksamhet inte får avse signaler mellan en avsändare och en mottagare som båda befinner sig i (2 a §). Om sådana signaler inte kan avskiljas redan vid inhämtningen, ska upptagningen eller uppteckningen förstöras så snart det står klart att sådana signaler har inhämtats. Att i en referensdatabas behandla den typen av allmänt tillgängliga personuppgifter är ett nödvändigt verktyg för att i möjligaste mån minska omfattningen av den inhämtning som annars kan ske. Även inom Försvarets radioanstalts utvecklingsverksamhet kan det vara nödvändigt att kunna behandla personuppgifter som utgör allmänt tillgänglig information. Utvecklingsverksamheten syftar till att utveckla och vidmakthålla möjligheterna att bedriva försvarsunderrättelse- verksamhet. För detta behöver personuppgifter behandlas t.ex. vid kart- läggning av signalmiljön, varvid allmänt tillgänglig information precis som i försvarsunderrättelseverksamheten behöver kunna användas i identifieringssyfte. Även utvecklingsverksamheten omfattas av lagen om signalspaning i försvarsunderrättelseverksamhet, varvid behandling av allmänt tillgängliga personuppgifter kan bidra till att minska omfattningen av sådan inhämtning som inte är tillåten enligt den lagen. kan också inom sin informationssäkerhets- verksamhet behöva behandla allmänt tillgängliga personuppgifter. 2020/21:224 behoven finns möjligheter att identifiera ursprunget till skadlig kod och att löpande kunna bevaka vad som redan är känt avseende sårbarheter i mjuk- och hårdvaror. Antalet personuppgifter i Försvarsmaktens och Försvarets radioanstalts referensdatabaser kan bli mycket stort. Även om personuppgifterna är allmänt tillgängliga innebär det stora antalet personuppgifter en form av integritetsintrång. De föreslagna ändamål som behandlas i avsnitten 7.2 och 7.3 omfattas i och för sig av den ovan beskrivna behandlingen av personuppgifter. För att undvika oklarheter i rättstillämpningen bör stödet för sådan behandling dock komma till tydligt uttryck i lagtexten i linje med utredningens förslag. 7.5Behandling för vetenskapliga, statistiska eller historiska ändamål Regeringens förslag: Försvarsmakten och får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom de föreslagna lagarnas tillämpningsområden. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår även en ändamålsbestämmelse för behandling av personuppgifter vid begäran om information av enskilda eller vid tillsyn. Remissinstanserna: välkomnar utredningens förslag om ett särskilt ändamål för behandling av personuppgifter vid begäran om information av enskilda eller vid tillsyn. Datainspektionen anser att det inte är nödvändigt att i de nya lagarna ange att Försvarsmakten och ska kunna behandla personuppgifter för att kunna tillgodose enskildas behov av information och för att kunna lämna information vid tillsyn och kontroll. Skälen för regeringens förslag Behandling ska få ske för vetenskapliga, statistiska eller historiska ändamål Möjligheten att bevara personuppgifter som behandlas automatiserat för vetenskapliga, statistiska eller historiska ändamål är enligt FM-PuL och FRA-PuL kopplad till regler om gallring. Enligt lagarna ska personuppgifter gallras så snart uppgifterna inte längre behövs för det ändamål för vilket de behandlas, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål (6 kap. 1 §). har rätt att besluta om bevarande. Ett sådant beslut får till följd att uppgifterna inte gallras (12 § FM-PuF och FRA-PuF). Regeringen konstaterar att vikten av att kunna behandla personuppgifter för vetenskapliga, statistiska eller historiska syften gör sig gällande även för den verksamhet som regleras i de nya lagarna. Som utredningen föreslår bör det i de nya lagarna därför anges att personuppgifter får behandlas för vetenskapliga, statistiska och historiska ändamål. Det behövs inget särskilt ändamål för informationsgivning eller tillsyn Prop. Enligt utredningen och bör det i de nya lagarna även införas en bestämmelse om att respektive myndighet får behandla personuppgifter för att kunna tillgodose enskildas behov av information och behovet av information vid tillsyn och kontroll. Som Datainspektionen uppmärksammar saknar utredningens förslag motsvarighet i annan dataskyddslagstiftning och behovet av en sådan bestämmelse kan ifrågasättas. De aktuella situationerna medför en nödvändig behandling av personuppgifter, på motsvarande sätt som vid myndigheternas planering, uppföljning och utvärdering av verksamheten, dvs. behandling som får ske utan att det finns behov av en särskild ändamålsbestämmelse (se brottsbekämpning – Effektivare uppgiftsbehandling, prop. 2004/05:164 s. 179 och Åklagardatalag, prop. 2014/15:63 s. 63). Regeringen anser att utredningens förslag i denna del inte bör genomföras. 7.6 Behandling av uppgifter om lagöverträdelser Regeringens förslag: Försvarsmakten får behandla personuppgifter som rör lagöverträdelser om det är nödvändigt för myndighetens verksamhet. Utredningen lämnar inte något förslag i denna del. Remissinstanserna: Försvarsmakten anför att myndigheten i sin verksamhet har behov av att behandla personuppgifter som rör lagöverträdelser. Skälen för regeringens förslag: Myndigheter får enligt dataskydds- lagen behandla uppgifter om lagöverträdelser (3 kap. 8 §). Motsvarande reglering fanns tidigare i den numera upphävda personuppgiftslagen (21 §). Försvarsmakten behandlar personuppgifter som rör lagöverträdelser inom ramen för exempelvis militär säkerhetstjänst vilket framgår av de tillåtna ändamålen för personuppgiftsbehandling (1 kap. 10 § FM-PuL). Att uppgifter rörande lagöverträdelser kommer att behandlas även framöver framgår av de föreslagna ändamålen för personuppgiftsbehandling för militär säkerhetstjänst (se avsnitt 7.2.3). Ändamålen omfattar exempelvis kartläggning av verksamhet som kan innefatta brott samt uppgifter som framkommit inom ramen för säkerhetsprövning enligt säkerhetsskyddslagen. I en säkerhetsprövning görs en registerkontroll, vilket innebär att uppgifter som rör lagöverträdelser behandlas avseende de individer som får utfall i registerkontrollen. Misstankar om brott som Försvarsmakten behandlar inom ramen för dessa ändamål utgör uppgifter om lagöverträdelser (prop. 2017/18:105 s. 98–99). Försvarsmakten kan även inom ramen för sin personaladministrativa verksamhet behöva behandla personuppgifter som rör lagöverträdelser. Som Försvarsmakten anför bör den nya lagen därför innehålla en bestämmelse som innebär att Försvarsmakten får behandla person- 2020/21:224 uppgifter som rör lagöverträdelser om det är nödvändigt för myndighetens verksamhet. Regeringen föreslår att lagtexten utformas i enlighet med detta. 8.1Personuppgifter ska behandlas enligt vissa villkor 8.1.1Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt Regeringens förslag: Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot utredningens Skälen för regeringens förslag: Försvarsmakten respektive ska enligt nuvarande ordning se till att personuppgifter behandlas bara om det är lagligt och att personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed (1 kap. 6 § 1 och 2 FM-PuL och FRA-PuL, jfr 1 kap. 9 § RF och 5 § förvaltningslagen [2017:900]). Som utredningen föreslår bör detta, med vissa språkliga justeringar, komma till uttryck även i de nya lagarna. 8.1.2Personuppgifter ska vara riktiga, adekvata och relevanta Regeringens förslag: De personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, uppdaterade. Personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen remissinstans invänder mot utredningens Skälen för regeringens förslag Personuppgifter ska vara riktiga och – om nödvändigt – uppdaterade Enligt gällande rätt ska Försvarsmakten respektive se till att de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella (1 kap. 6 § 7 FM-PuL och FRA-PuL). Detta bör, som Prop. 2020/21:224 utredningen föreslår, gälla även fortsättningsvis. I linje med annan dataskyddslagstiftning bör ordet aktuella ersättas med uppdaterade. En uppgift är riktig om den stämmer överens med de verkliga förhållandena. För att bestämma vilka verkliga förhållanden som person- uppgifterna ska spegla får ledning sökas i ändamålen med behandlingen. Bedömningen av om en personuppgift är riktig ska emellertid inte utgå från enbart ändamålen med behandlingen. Att uppgifter som förekommer bl.a. i försvarsunderrättelseverksamheten har en särskild karaktär måste också beaktas. Frågan om en uppgift är riktig måste därför även ses mot bakgrund av vad uppgiften rör, när den lämnas och vem som lämnar den. Kravet på att de behandlade uppgifterna ska vara uppdaterade bör enbart gälla om det är nödvändigt. Frågan om det är nödvändigt att uppgifterna är uppdaterade får avgöras med hänsyn till ändamålen med behandlingen. Ett tänkbart exempel kan vara adressuppgifter som ändras under handläggningen av ett ärende och därmed behöver uppdateras. Som utredningen föreslår bör de nya lagarna innehålla bestämmelser om detta. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt En bestämmelse om att uppgifter som beskriver en persons utseende alltid ska utformas på ett objektivt sätt och med respekt för människovärdet finns iFM-PuL (1 kap. 12 § andra stycket andra meningen) och i FRA-PuL (1 kap. 11 § andra stycket andra meningen). Regeringen anser i likhet med utredningen att motsvarande innehåll bör tas in i de nya lagarna. Personuppgifter ska vara adekvata och relevanta Försvarsmakten respektive ska enligt nuvarande ordning se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (1 kap. 6 § 5 och 6 FM-PuL och FRA-PuL). Att personuppgifter ska vara adekvata och relevanta innebär bl.a. att ovidkommande personuppgifter inte får behandlas. Vilka uppgifter som är adekvata och relevanta måste enligt regeringens mening bedömas i förhållande till ändamålen med behandlingen. Detsamma gäller hur många personuppgifter det finns behov av att behandla. Som utredningen föreslår bör motsvarande bestämmelser föras in i de nya lagarna. 2020/21:224 8.2 Behandling av känsliga personuppgifter Regeringens förslag: Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. Om personuppgifter behandlas får de dock kompletteras med sådana uppgifter när det är absolut nödvändigt för ändamålen med behandlingen. Biometriska uppgifter får behandlas om det är absolut nödvändigt för ändamålen med behandlingen. Genetiska uppgifter får inte behandlas. Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas som sökbegrepp om det är absolut nödvändigt för ändamålen Detsamma gäller biometriska uppgifter. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen anser att sökförbudet avseende känsliga personuppgifter bör utformas enligt samma modell som har i fråga om Säkerhetspolisen (SOU 2017:74). Datainspektionen bör det även övervägas om sökningar på känsliga personuppgifter bör dokumenteras särskilt. Skälen för regeringens förslag Uppgifter om ras, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa eller sexualliv Uppgifter om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv får enligt gällande rätt behandlas endast som komplement till personuppgifter som behandlas på annan grund. behandlingen är absolut nödvändig med hänsyn till syftet med Vid sökning ska sådana känsliga personuppgifter få användas som sökbegrepp endast om det är absolut nödvändigt med hänsyn till syftet med behandlingen (1 kap. 12 § FM-PuL och 1 kap. 11 § I samband med tillkomsten av FM-PuL och FRA-PuL framhölls i förarbetena till lagarna att Försvarsmakten och har ett befogat intresse av att kunna registrera och på annat sätt behandla känsliga personuppgifter i de verksamheter som omfattas av Det kan t.ex. vara nödvändigt inom ramen för deltagande i internationella fredsbevarande och humanitära insatser. dessa uppdrag ingår ofta att skydda en viss minoritet. För att de svenska enheterna inom en sådan mission ska kunna utföra sina uppgifter kan det därför vara nödvändigt att uppgifter behandlas rörande t.ex. etnisk härkomst eller religiös övertygelse. Här bidrar såväl den militära underrättelse- och säkerhetstjänsten som med Även i övrigt finns det ett behov av att kunna behandla Ofta är just det faktum att en person tillhör ett politiskt parti eller annan organisation av grundläggande betydelse från försvarsunderrättelse- eller säkerhetstjänstsynpunkt. En sådan Prop. 2020/21:224 omständighet får dock aldrig utgöra ensam grund för behandlingen. ligger således i verksamhetens natur att denna typ av uppgifter kan ha en betydelse för resultatet av den slutliga analysen (prop. 2006/07:46 s. 74– 75). I den verksamhet som omfattas av detta lagstiftningsärende är fortsatt uppgifter om etniskt ursprung, politiska åsikter och religiös övertygelse sådana faktorer som är av stor betydelse när det gäller att bedöma personers eller gruppers agerande i ett ur försvarsunderrättelseperspektiv relevant avseende. Allmänt gäller att stor försiktighet måste iakttas vid all behandling av känsliga personuppgifter. Regeringen anser, i likhet med utredningen, att det i de nya lagarna därför bör anges att sådan behandling endast får äga rum då det är absolut nödvändigt för verksamheten. Detta för att markera att denna möjlighet ska användas mycket restriktivt. Försvarsmakten respektive bör vidare, på samma sätt som , få behandla känsliga personuppgifter om en person endast om uppgifterna kompletterar personuppgifter som behandlas på annan grund. Biometriska och genetiska uppgifter Med biometriska uppgifter avses enligt förslaget personuppgifter som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar identifiering av personen i fråga (se avsnitt 6.5). Försvarsmakten och behandlar biometriska uppgifter i sina försvarsunderrättelseverksamheter, och Försvarsmakten behandlar även sådana uppgifter inom ramen för den militära säkerhetstjänsten. Inom signalspaningen får det betraktas som självklart att t.ex. en persons röstprofil, vilket är en biometrisk uppgift, behöver kunna behandlas i identifieringssyfte. Att kunna göra korrekta identifieringar är av avgörande betydelse vid bedömning av källors trovärdighet och informations sakriktighet. Bestämmelsen om att känsliga personuppgifter endast får behandlas såsom komplement till personuppgifter som behandlas på annan grund är inte tillämplig när det gäller biometriska personuppgifter, t.ex. oidentifierade avtryck eller spår. Som utredningen anför finns det därför skäl att reglera behandlingen av biometriska uppgifter särskilt. Försvarsmakten och bör få behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen. Biometriska uppgifter bör också få behandlas vid sökning om det är absolut nödvändigt för ändamålen med behandlingen. Med genetiska uppgifter avses personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som framför allt härrör från analys av ett spår av eller ett biologiskt prov från personen i fråga (se avsnitt 6.5). Det innebär att ett dna-spår eller ett dna-prov som sådant inte utgör genetiska uppgifter, utan det är enbart den information som kan tas fram ur spåret eller provet som utgör sådana uppgifter (prop. 2018/19:163 s. 77). Regeringen anser att genetiska uppgifter är av synnerligen integritets- känslig natur. Som utredningen föreslår bör det av de nya lagarna uttryckligen framgå att behandling av genetiska uppgifter inte är tillåten. Uppgifter om sexuell läggning Enligt FM-PuL och FRA-PuL är uppgifter om fysiska personers sexualliv känsliga personuppgifter. Uppgifter om sexuell läggning har i rättstillämpningen också ansetts omfattas av nuvarande bestämmelser. I enlighet med utredningens förslag bör den nya regleringen uttryckligen omfatta även uppgifter om sexuell läggning. Sökning av känsliga personuppgifter får endast ske om det är absolut nödvändigt för verksamheten Försvarsmaktens och Försvarets radioanstalts verksamheter förutsätter, som anges ovan, att sökning i viss utsträckning kan ske även avseende känsliga personuppgifter. Sådan behandling behöver då regleras särskilt. Datainspektionen framhåller att sökförbudet avseende känsliga person- uppgifter bör utformas som ett generellt förbud med utgångspunkt från syftet med sökningen och med undantag anpassade för Försvarsmaktens och Försvarets radioanstalts verksamheter. Dessutom bör det enligt Datainspektionen övervägas om sökningar på känsliga personuppgifter bör dokumenteras särskilt. Regeringen konstaterar att automatiserad behandling av person- uppgifter, i synnerhet i samlingar av uppgifter, ger stora möjligheter att söka och sammanställa information. Dessa möjligheter innebär särskilt stora risker för intrång i den personliga integriteten. I syfte att minska denna risk finns det anledning att överväga att införa en begränsning av sökmöjligheterna. måste beaktas att möjligheten att enkelt och snabbt söka information skapar förutsättningar för en rationell verksamhet. En eventuell begränsning bör därför enligt regeringens mening inte utformas så snävt att den medför onödiga effektivitetsförluster ur ett verksamhetsperspektiv. Behovet av en reglering som begränsar vilka uppgifter som ska få användas vid sökning gör sig framförallt gällande i fråga om känsliga personuppgifter. I konsekvens med de grundläggande kraven för behandling av känsliga personuppgifter bör sökning efter information om känsliga personuppgifter endast få ske om det är absolut nödvändigt för syftet med behandlingen. Det innebär att en uppgift om t.ex. etnisk härkomst bör få användas som sökbegrepp bara under den förutsättningen att det är absolut nödvändigt för att få fram den information som behövs för att t.ex. utföra en fredsbevarande eller humanitär insats som åligger svenskt förband eller annan organisationsenhet. Bestämmelsen om behandling av känsliga personuppgifter och sökning med sådana uppgifter bör vara generell, dvs.