prop · H803224 · 2021-09-13 00:00:00 — Behandling av personuppgifter vid Försvarsmakten och Regeringens proposition 2020/21:224 Behandling av personuppgifter vid Regeringen överlämnar denna proposition till . I propositionen föreslås två nya lagar om behandling av personuppgifter vid Försvarsmakten respektive . De nya lagarna föreslås ersätta lagen om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och lagen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet, som enligt förslaget upphävs. Det föreslås även följdändringar i vissa lagar. Vidare föreslås ändringar i lagen om signalspaning i försvarsunderrättelseverksamhet som bland annat rör Försvarets radioanstalts internationella samarbete. Genom de nya lagarna skyddas fysiska personers grundläggande rättigheter och friheter som det säkerställs att Försvarsmakten och kan behandla och utbyta personuppgifter med andra aktörer på ett ändamålsenligt sätt. De nya lagarna ska tillämpas i stället för EU:s dataskyddsförordning och dataskyddslagen. De nya lagarna och övriga lagändringar föreslås träda i kraft den 2020/21:224 Innehållsförteckning Förslag till riksdagsbeslut ................................................................. Förslag till lag om behandling av personuppgifter Förslag till lag om behandling av personuppgifter Förslag till lag om ändring i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet ............. Förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s Förslag till lag om ändring i brottsdatalagen (2018:1177) ...................................................................... Ärendet och dess beredning ............................................................ Försvarsmaktens militära säkerhetstjänst ........ Försvarets radioanstalts uppgifter.................... Försvarsmaktens och Försvarets radioanstalts Försvarets radioanstalts signalspaning i försvarsunderrättelse- och utvecklingsverksamhet........... Försvarsmaktens och Försvarets radioanstalts behandling av personuppgifter ......................................... Exempel på annan reglering som gäller Exempel på annan reglering som gäller Det grundläggande skyddet för personuppgifter ............................. Allmänna utgångspunkter för en ny reglering................................. Två nya lagar införs.......................................................... Förhållandet till EU:s dataskyddsförordning................... Syftet med de nya lagarna ............................................... De nya lagarnas tillämpningsområden............................. Tillämpningsområdet för lagen om behandling av personuppgifter vid Tillämpningsområdet för lagen om behandling av personuppgifter vid Vissa ord och uttryck i lagarna ska definieras ................. Ändamål för behandlingen av personuppgifter .............................. 7.1Behandling får bara ske för särskilda, uttryckligt angivna och berättigade ändamål .................................... Försvar och säkerhet....................................... Behandling av allmänt tillgänglig information ................ 7.5Behandling för vetenskapliga, statistiska eller Behandling av uppgifter om lagöverträdelser.................. Behandlingen av personuppgifter................................................... Personuppgifter ska behandlas enligt vissa villkor .......... författningsenligt och på ett korrekt sätt ......... Personuppgifter ska vara riktiga, adekvata Behandling av känsliga personuppgifter ......................... 8.3Behandling av personnummer och Behandling av offentliggjorda personuppgifter ............... Behandling av personuppgifter i vissa fall ...................... Längsta tid som personuppgifter får behandlas ............... Gemensamt tillgängliga personuppgifter ....................................... Olika former av elektroniskt utlämnande ...................... 10.2Elektronisk informationsöverföring på annat sätt än Direktåtkomst för svenska myndigheter ....... Direktåtkomst för utländska myndigheter och internationella organisationer ................. 10.5Överföring av personuppgifter till andra länder och Vem är personuppgiftsansvarig? Ingen reglering av gemensamt personuppgiftsansvar..... Skyldigheter som personuppgiftsansvarig...................... lämpliga tekniska och organisatoriska Säkerheten för personuppgifter ..................... Inget krav på en särskild Ingen skyldighet att anmäla Definition av personuppgiftsbiträde .............. Anlitande av personuppgiftsbiträden ............. Rätten till information .................................................... Information som ska göras allmänt Enskildas rätt till personrelaterad Rätten till information får begränsas .............................. Rättelse, radering och begränsning av behandlingen ..... 13.2Former för tillsyn till skydd för den personliga 14 Sanktioner, skadestånd och rättsmedel ......................................... Ingen straffbestämmelse i de nya lagarna....................... Ingen möjlighet att ta ut sanktionsavgift ........................ Det allmännas skadeståndsansvar................. Överklagande av Försvarsmaktens och Försvarets radioanstalts beslut ...................... 15 Ändringar i lagen om signalspaning i Signalspaning vid internationellt samarbete .................. 15.2Regeringen ska inrikta signalspaningen vid Följdändringar i andra författningar ............................................. Ikraftträdande- och övergångsbestämmelser................................ 19.1Förslaget till lag om behandling av personuppgifter 19.2Förslaget till lag om behandling av personuppgifter 19.3Förslaget till lag om ändring i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet .......... 19.4Förslaget till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s 19.5Förslaget till lag om ändring i brottsdatalagen (2018:1177) ................................................................... Personuppgiftsbehandlingen vid Försvarsmakten och (SOU 2018:63) ......................... Lagförslagen i betänkandet SOU 2018:63..................... (betänkandet SOU 2018:63) .......................................... Sammanfattning av betänkandet Försvarets radioanstalts internationella samarbete – en översyn av regelverket (SOU 2020:68)....................................... Lagförslagen i betänkandet SOU 2020:68..................... (betänkandet SOU 2020:68) .......................................... 2020/21:224 Utdrag ur protokoll vid regeringssammanträde 1.Riksdagen antar regeringens förslag till lag om behandling av personuppgifter vid Försvarsmakten. 2.Riksdagen antar regeringens förslag till lag om behandling av personuppgifter vid . 3.Riksdagen antar regeringens förslag till lag om ändring i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. 4.Riksdagen antar regeringens förslag till lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. 5.Riksdagen antar regeringens förslag till lag om ändring i brottsdatalagen (2018:1177). 2020/21:224 2 Regeringen har följande förslag till lagtext. 2.1Förslag till lag om behandling av personuppgifter vid Försvarsmakten Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § Syftet med denna lag är att säkerställa att Försvarsmakten kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. 2 § Denna lag gäller vid Försvarsmaktens behandling av personuppgifter i verksamhet som rör försvar och säkerhet samt internationellt försvars- och säkerhetssamarbete. 3 § Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad. Den gäller också personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 4 § Vid behandling av personuppgifter enligt denna lag gäller inte och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) och inte heller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Ord och uttryck i lagen 5 § I denna lag används följande ord och uttryck. En åtgärd eller en kombination av åtgärder som vidtas i fråga om av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, organise- ring, strukturering, lagring, bear- Prop. 2020/21:224 betning eller ändring, framtagning, läsning, användning, utlämnande, spridning eller tillhandahållande på annat sätt, justering, samman- föring, begränsning, radering eller förstöring. Personuppgifter som rör en persons fysiska, fysiologiska eller be- tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar identifiering av personen En fysisk person som utses av den självständigt kontrollera att person- enligt och på ett korrekt sätt. Personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som framför allt härrör från analys av ett spår av eller ett biologiskt prov från personen i fråga. lämnas ut, med undantag av en myndighet som med stöd av fysisk person som är i livet. Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen Den som behandlar person- uppgifter för den personuppgifts- Den fysiska person som person- 2020/21:224 Tredje part – den registrerade, – den personuppgiftsansvarige, – personuppgiftsbiträdet, och – sådana personer som under den ansvar har rätt att behandla med uppgifter som med hjälp av automatiserad behandling är gemensamt tillgängliga. 6 § Försvarsmakten är personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför, som utförs under myndighetens ledning eller på dess vägnar. 2 kap. Behandling av personuppgifter Grundläggande krav på behandlingen 1 § Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål som de ursprungligen behandlades för. 2 § Försvarsmakten får behandla personuppgifter om det är nödvändigt för att planera, förbereda och genomföra verksamhet som rör 1.Sveriges försvar och säkerhet, eller 2.internationellt försvars- och säkerhetssamarbete. Försvarsmaktens uppgift att bedriva sådan verksamhet som anges i första stycket ska följa av lag, förordning, kollektivavtal eller annat avtal, eller ett särskilt beslut där regeringen har gett myndigheten i uppdrag att utföra uppgiften. För Försvarsmaktens behandling av personuppgifter i myndighetens försvarsunderrättelseverksamhet och militära säkerhetstjänst gäller i stället 3–8 §§. 3 § Personuppgifter får behandlas i Försvarsmaktens försvarsunder- rättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet. 4 § De personuppgifter som Försvarsmakten har fått tillgång till i Prop. 2020/21:224 myndighetens försvarsunderrättelseverksamhet får fortsätta behandlas i den verksamheten, om det behövs för att fullgöra den. Första stycket gäller endast om inte något annat följer av denna lag eller en förordning som regeringen har meddelat i anslutning till lagen. 5 § Personuppgifter får behandlas i Försvarsmaktens militära säkerhets- tjänst för att upptäcka, förebygga och avvärja säkerhetshotande verksam- het som riktas mot Försvarsmakten och dess säkerhetsintressen, om det är nödvändigt för att 1.klarlägga verksamhet som innefattar hot mot säkerhet, eller 2.vidta åtgärder som hindrar eller försvårar säkerhetshotande verksam- 6 § Personuppgifter får behandlas för de ändamål som anges i 5 § endast om 1.personuppgifterna är nödvändiga för att kartlägga verksamhet som innefattar brott som kan hota säkerhet eller terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott eller enligt motsvarande äldre föreskrifter, 2.personuppgifterna är nödvändiga för att kartlägga underrättelse- verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen, 3.personuppgifterna är nödvändiga för att kartlägga annan säkerhetshotande verksamhet än som avses i 1 och som innefattar brott eller åsidosättande av skyldigheter i anställning hos Försvarsmakten, och det finns särskilda skäl till att uppgiften ska behandlas, 4.personuppgifterna är nödvändiga för att bedöma om en person som har lämnat uppgifter om säkerhetshotande verksamhet är trovärdig, eller 5.personuppgifterna är nödvändiga för att genomföra säkerhets- prövning enligt säkerhetsskyddslagen (2018:585) eller för att utföra en uppgift som rör säkerhetsskydd. 7 § Personuppgifter som behandlas enligt 6 § ska förses med upplysning om på vilken av de angivna grunderna uppgiften behandlas. Om behandlingen av en personuppgift motiveras av något annat än ett antagande om att en person har utövat eller kommer att utöva brottslig verksamhet ska det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att en sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säkerhetshotande verksamhet ska förses med en särskild upplysning om detta, om det inte på annat sätt klart framgår att ett sådant antagande inte finns. Personuppgifter som behandlas enligt 6 § 1, 2 eller 3 ska i före- kommande fall förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. 8 § Trots 6 § får personuppgifter som ingår i eller har uppkommit i samband med användning av totalförsvarets telekommunikations- och informationssystem behandlas för att förhindra obehörig insyn i och 2020/21:224 påverkan på dessa system. Det gäller även sådana uppgifter som avses i 15, 16, 18 och 19 §§. Behandling som särskilt syftar till att identifiera en person får dock endast utföras om bestämmelserna i 6 § 1, 2 eller 3 tillämpas. Försvarsmakten ska föra en förteckning över de behandlingar som särskilt syftar till att identifiera en person och de uppgifter som har utgjort anledningen till behandlingen. 9 § Försvarsmakten får behandla personuppgifter om det är nödvändigt för diarieföring, arkivering, handläggning av ett ärende eller för att utföra annan liknande uppgift som myndigheten har. 10 § Försvarsmakten får behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för den verksamhet som anges i 2, 3 och 5 §§. 11 § Försvarsmakten får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom denna lags tillämpningsområde. 12 § Försvarsmakten får behandla personuppgifter om lagöverträdelser om det är nödvändigt för myndighetens verksamhet. Författningsenlig och korrekt behandling 13 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. 14 § Personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, uppdaterade. Personuppgifterna ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 15 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. När personuppgifter behandlas får de dock kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. 16 § Biometriska uppgifter får behandlas om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Genetiska uppgifter får inte behandlas. 17 § Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas som sökbegrepp om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Detsamma gäller biometriska uppgifter. 18 § Uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till 1.ändamålen med behandlingen, 2.vikten av en säker identifiering, eller 3.något annat beaktansvärt skäl. Om den registrerade har lämnat sitt samtycke eller offentliggjort personuppgifterna 19 § Trots 15, 16 och 18 §§ får andra personuppgifter än genetiska uppgifter behandlas, om den registrerade har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort uppgifterna. Behandling av personuppgifter i vissa fall 20 § Hantering av information som innebär behandling av person- uppgifter ska inte anses oförenlig med bestämmelserna i 1–3, 5, 6, 8, 10, 12–16 och 18 §§ i det skede av behandlingen då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller. Längsta tid som personuppgifter får behandlas 21 § Personuppgifter får inte behandlas än vad som behövs med hänsyn till ändamålen med behandlingen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter får behandlas under endast eller fortsätta behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål. Regeringen eller den myndighet som regeringen bestämmer får också besluta om sådan behandling i ett enskilt fall. Överföring av personuppgifter till en mottagare utomlands 22 § Personuppgifter som behandlas med stöd av denna lag får föras över till ett annat land eller en internationell organisation endast om sekretess inte hindrar det och det är nödvändigt för att Försvarsmakten ska kunna fullgöra sina uppgifter inom ramen för det internationella försvars- och säkerhetssamarbetet. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att överföring får ske även i andra fall om det är nödvändigt för verksamheten vid Försvarsmakten. Regeringen får också besluta om sådan överföring i ett enskilt fall. 2020/21:224 Utlämnande av personuppgifter 23 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst. 3 kap. Gemensamt tillgängliga personuppgifter Personuppgifter som får göras gemensamt tillgängliga 1 § Personuppgifter får göras gemensamt tillgängliga om det behövs för något av de ändamål som anges i 2 kap. Med att göra personuppgifter gemensamt tillgängliga avses inte att endast ett fåtal personer får tillgång till uppgifterna. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka uppgifts- samlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. Regeringen eller den myndighet som regeringen bestämmer får också besluta om uppgiftssamlingar i ett enskilt fall. 2 § Totalförsvarets plikt- och prövningsverk får medges direktåtkomst till personuppgifter som rör Försvarsmaktens personalförsörjning och krigsorganisation och som har gjorts gemensamt tillgängliga inom Försvarsmakten. Totalförsvarets plikt- och prövningsverk har rätt att vid direktåtkomst ta del av de personuppgifter som omfattas av åtkomsten. 3 § Säkerhetspolisen och får medges direkt- åtkomst till personuppgifter som utgör bearbetningsunderlag och analys- resultat inom försvarsunderrättelseverksamheten och som finns i uppgifts- samlingar. Säkerhetspolisen och har rätt att vid direkt- åtkomst ta del av de personuppgifter som omfattas av åtkomsten. 4 § Om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhetssamarbete, får en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 3 § och som finns i uppgiftssamlingar. Första stycket gäller enbart i den utsträckning som sådan direktåtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall. 5 § Om det behövs för samarbetet mot säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen, får en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 5 § och som finns i Prop. 2020/21:224 uppgiftssamlingar. Första stycket gäller enbart i den utsträckning som sådan direktåtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall. Direktåtkomst i andra fall 6 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om direktåtkomst till gemensamt tillgängliga uppgifter eller uppgiftssamlingar i andra fall än de som anges i 2–5 §§. Regeringen får också besluta om detta i ett enskilt fall. 7 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst. Regeringen får också besluta om detta i ett enskilt fall. Åtgärder för att säkerställa författningsenlig behandling 1 § Försvarsmakten ska, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa att behandlingen av personuppgifter är författnings- enlig och att de registrerades rättigheter skyddas. 2 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. 3 § Försvarsmakten ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska särskilt avse skydd mot obehörig eller otillåten behandling eller förstöring och mot förlust eller annan oavsiktlig skada. 4 § Försvarsmakten ska inom myndigheten utse ett eller flera data- skyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. 5 § Ett dataskyddsombud ska 1.självständigt kontrollera att Försvarsmakten behandlar person- uppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2.informera och ge råd till Försvarsmakten och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, 3.vara kontaktpunkt för enskilda i frågor som rör Försvarsmaktens behandling av personuppgifter, och 2020/21:224 4. vid behov söka vägledning av tillsynsmyndigheten. 6 § Försvarsmakten får, om det är lämpligt, anlita personuppgifts- biträden för behandling av personuppgifter på Försvarsmaktens vägnar. Innan ett personuppgiftsbiträde anlitas, ska Försvarsmakten försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. 7 § Personuppgiftsbiträdets behandling av personuppgifter ska regleras i ett skriftligt avtal eller annan skriftlig överenskommelse. 8 § Ett personuppgiftsbiträde får inte anlita ett annat personuppgifts- biträde utan skriftligt tillstånd av Försvarsmakten. 9 § Ett personuppgiftsbiträde eller den eller de personer som arbetar under biträdets eller Försvarsmaktens ledning ska behandla person- uppgifter i enlighet med instruktioner från Försvarsmakten.