prop · H803224 · 2021-09-13 00:00:00 — Detsamma gäller biometriska uppgifter. Paragrafen, som utformas enligt Lagrådets förslag, reglerar i vilken utsträckning känsliga personuppgifter får användas som sökbegrepp. Övervägandena finns i avsnitt 8.2. Paragrafen gäller generellt, dvs. för såväl personuppgifter som har gjorts gemensamt tillgängliga som personuppgifter som inte har det. Paragrafen gör det möjligt att utföra sökning i syfte att få fram ett personurval grundat på känsliga personuppgifter, t.ex. i syfte att få fram ett urval av personer som t.ex. har viss politisk åskådning eller religiös övertygelse etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen är absolut nödvändig med hänsyn till något av de ändamål för vilket behandlar personuppgifter. kan behöva söka på uppgifter som rör politiska åsikter, religiös övertygelse eller etniskt ursprung, eftersom det ingår i Försvarets radioanstalts uppdrag att kartlägga sådan verksamhet som kan komma att hota försvar och säkerhet. Kravet på att det ska vara absolut nödvändigt att göra sökningen gör att utrymmet för sådana sökningar är begränsat och att rutinmässiga sökningar på känsliga uppgifter inte är tillåtna. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 13 §. Rätten att göra en sökning medför således inte en generell rätt att fortsätta att behandla uppgifterna. 16 § Uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till 1.ändamålen med behandlingen, 2.vikten av en säker identifiering, eller 3.något annat beaktansvärt skäl. Paragrafen reglerar i vilken omfattning personnummer eller samordnings- nummer får behandlas vid . Övervägandena finns i avsnitt 8.3. Enligt paragrafen får uppgifter om personnummer eller samordnings- nummer bara behandlas när det är klart motiverat med hänsyn till ändamålen med behandlingen (punkten 1), vikten av en säker identifiering (punkten 2), eller något annat beaktansvärt skäl (punkten 3). Vad som avses med personnummer och samordningsnummer framgår av folkbokföringslagen (1991:1487). Bestämmelsen innebär att en 2020/21:224 intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär ska göras. Om behandlingen av personnummer eller samordningsnummer inte är klart motiverad med hänsyn till dess ändamål, till vikten av en säker identifiering eller något annat beaktansvärt skäl får den inte utföras. Om den registrerade har offentliggjort personuppgifterna 17 § Trots 13, 14 och 16 §§ får andra personuppgifter än genetiska uppgifter behandlas, om den registrerade på ett tydligt sätt har offentliggjort uppgifterna. Paragrafen reglerar behandling av vissa personuppgifter om den registrerade har offentliggjort uppgifterna. Övervägandena finns i avsnitt 8.4. Paragrafen ger möjlighet att, med undantag för genetiska uppgifter, behandla känsliga personuppgifter samt person- nummer och samordningsnummer, om den registrerade på ett tydligt sätt har offentliggjort uppgifterna. Så kan exempelvis vara fallet om den registrerade har gjort personuppgifterna tillgängliga på internet. Behandling av personuppgifter i vissa fall 18 § Hantering av information som innebär behandling av personuppgifter ska inte anses oförenlig med bestämmelserna i 1, 2, 5, 7, 9, 11–14 och 16 §§ i det skede av behandlingen då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller. Paragrafen reglerar behandling av personuppgifter i vissa fall. Övervägandena finns i avsnitt 8.5. kan såväl i myndighetens signalspaning i försvarsunderrättelseverksamhet som i dess informationssäkerhets- verksamhet komma att hantera information som är krypterad och formulerad på ett främmande språk. att informationen har bearbetats finns inte förutsättningar för att bedöma om den innehåller personuppgifter. Den initiala behandling som krävs för att detta ska kunna klarläggas måste kunna äga rum utan hinder av bestämmelserna om ändamål, författningsenlig och korrekt behandling, personuppgifternas kvalitet, känsliga personuppgifter samt personnummer och samordnings- nummer. Genom paragrafen tydliggörs att hantering av information som innebär behandling av personuppgifter inte ska anses oförenlig med bestämmelserna i 1, 2, 5, 7, 9, 11–14 och 16 §§ i det skede av behandlingen då det ännu inte har kunnat fastställas vilka personuppgifter som informationen innehåller. När det står klart att informationen innehåller personuppgifter, samt vilka personuppgifterna är, ska behandla dem enligt bestämmelserna i lagen. Längsta tid som personuppgifter får behandlas 19 § Personuppgifter får inte behandlas än vad som behövs med hänsyn till ändamålen med behandlingen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter får behandlas under endast eller fortsätta behandlas för arkivändamål av Prop. 2020/21:224 allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål. Regeringen eller den myndighet som regeringen bestämmer får också besluta om sådan behandling i ett enskilt fall. Paragrafen reglerar längsta tid som personuppgifter får behandlas. Övervägandena finns i avsnitt 8.6. Enligt första stycket får personuppgifter inte behandlas än vad som behövs med hänsyn till ändamålen med behandlingen. Att det inte längre finns behov av att behandla personuppgiften enligt ett visst ändamål medför inte att behandlingen av den måste upphöra för alla ändamål . Det förhållandet att personuppgiften fortfarande behövs för ett visst ändamål innebär dock inte att uppgiften får fortsätta att behandlas för alla ändamål . Behovet av att fortsätta att behandla uppgifterna måste därför prövas kontinuerligt. Om det är tillräckligt att behandla avidentifierade uppgifter är det inte längre tillåtet att behandla personuppgifterna. Stycket ger även stöd för fortsatt behandling av personuppgifter i ett avslutat ärende om uppgifterna bedöms ha ett allmänt värde för exempelvis Försvarets radioanstalts försvarsunderrättelseverksamhet eller informationssäkerhetsverksamhet. En grundläggande förutsättning för fortsatt behandling är att bedömer att uppgifterna behöver finnas tillgängliga ytterligare för något av de ändamål för vilka myndigheten får behandla personuppgifter. När det gäller ostrukturerad underrättelseinformation kan det vara särskilt svårt att bedöma det fortsatta behovet av behandling. Bedömningen måste innan bearbetningen är genomförd göras på ett mer övergripande plan och i större utsträckning utgå från sannolikheten av att personuppgifterna kan komma att behövas i verksamheten än en reell bedömning av den enskilda uppgiften. Stycket hindrar inte att med stöd i annan författning arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. I andra stycket finns en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att personuppgifter får behandlas under endast eller fortsätta behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål. Enligt tredje stycket får regeringen eller den myndighet som regeringen bestämmer också besluta om sådan behandling i ett enskilt fall. Överföring av personuppgifter till en mottagare utomlands 20 § Personuppgifter som behandlas med stöd av denna lag får föras över till ett annat land eller en internationell organisation endast om det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet och 1.överföringen riktas till en utländsk underrättelse- eller säkerhetstjänst, eller ett underrättelse- eller säkerhetsorgan i en internationell organisation, 2.sekretess inte hindrar en överföring, och 3.mottagaren garanterar tillräckligt skydd för personuppgifterna. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att överföring får ske även i andra fall än som anges i första stycket 1. Regeringen får också besluta om sådan överföring i ett enskilt fall. Paragrafen reglerar överföring av personuppgifter till en mottagare Övervägandena finns i avsnitt 10.5. paragrafen utformas enligt Lagrådets förslag. Av första stycket framgår att överföring av personuppgifter som behandlas med stöd av lagen får ske endast om det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella försvarsunderrättelse- och säkerhetssamarbetet. anges ett antal villkor som ska vara uppfyllda för att Försvarets radioanstalt ska få överföra personuppgifter till ett annat land eller en Första stycket 1–3 är kumulativa, dvs. villkor enligt punkterna måste vara uppfyllda för att en överföring av personuppgifter ska vara tillåten. Genom första stycket 1 avgränsas de utländska mottagare till vilka personuppgifter får överföras. Personuppgifter får endast överföras till en underrättelse- eller säkerhetstjänst i ett annat land eller till ett underrättelse- eller säkerhetsorgan i en internationell organisation. och Nato är exempel på internationella organisationer som har denna typ Överföring av personuppgifter får endast ske om sekretess inte hindrar Detta anges i första stycket 2. En sekretessprövning behöver således alltid utföras som en del i bedömningen om en överföring av personuppgifter ska ske. Första stycket 3 ställer krav på att en viss skyddsnivå ska föreligga för att personuppgifter ska kunna överföras till ett annat land eller en Om personuppgifter ska överföras till en internationell organisation är det organisationen som sådan, inte de enskilda stater som är medlemmar i organisationen, som ska uppfylla kravet på skyddsnivå. omständigheter kring överföringen och komma till slutsatsen att skyddsåtgärderna är tillräckliga. Om en mottagande stat är ansluten till dataskyddskonventionen eller en annan internationell överenskommelse som innehåller bestämmelser om dataskydd och registrerades rättigheter kan lämpliga skyddsåtgärder som utgångspunkt anses föreligga. som ska behandla personuppgifterna i det andra landet eller i den internationella organisationen kommer att ha tystnadsplikt som omfattar de överförda uppgifterna eller att det garanteras att personuppgifterna inte kommer att behandlas för något annat ändamål än det för vilket de överförs kan också beaktas. Detsamma gäller i fråga om åtaganden från mottagarens sida om att inte föra personuppgifterna vidare eller att inte använda personuppgifterna efter en viss tidpunkt, eller att förstöra dem I andra stycket finns en upplysningsbestämmelse om att regeringen kan meddela föreskrifter om att överföring även får ske i andra fall än som anges i första stycket 1 och enligt tredje stycket får regeringen också besluta om sådan överföring i ett enskilt fall. Det kan t.ex. vid internationella militära insatser vara nödvändigt att överlämna underrättelser till en funktion i en annan stat som inte kan sägas vara en underrättelse- eller säkerhetstjänst. 21 § Personuppgifter får lämnas ut elektroniskt på annat sätt än direktåtkomst om regeringen har meddelat föreskrifter om det eller beslutat om det i ett enskilt fall. Paragrafen reglerar utlämnande av personuppgifter. Övervägandena finns i avsnitt 10.2. I paragrafen anges att personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om regeringen har meddelat föreskrifter eller beslutat om det i ett enskilt fall. 3 kap. Gemensamt tillgängliga personuppgifter Personuppgifter som får göras gemensamt tillgängliga 1 § Personuppgifter får göras gemensamt tillgängliga och behandlas i uppgiftssamlingar om det behövs för något av de ändamål som anges i 2 kap. Med att göra personuppgifter gemensamt tillgängliga avses inte att endast ett fåtal personer får tillgång till uppgifterna. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. Regeringen eller den myndighet som regeringen bestämmer får också besluta om uppgiftssamlingar i ett enskilt fall. Paragrafen reglerar personuppgifter som får göras gemensamt tillgängliga. Övervägandena finns i avsnitt 9. I första stycket anges genom en hänvisning till i lagen angivna ändamål vilka personuppgifter som får göras gemensamt tillgängliga. Vidare anges att med att göra personuppgifter gemensamt tillgängliga avses inte att endast ett fåtal personer får tillgång till uppgifterna. En grundläggande förutsättning för att personuppgifter ska anses vara gemensamt tillgängliga är att de kan användas gemensamt av flera, dvs. att fler än en person har åtkomst till uppgifterna. I andra stycket finns en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. Enligt tredje stycket får regeringen eller den myndighet som regeringen bestämmer också får besluta om uppgiftssamlingar i ett enskilt fall. 2 § Säkerhetspolisen och Försvarsmakten får medges direktåtkomst till personuppgifter som utgör analysresultat inom försvarsunderrättelseverksamheten och som finns i uppgiftssamlingar. Säkerhetspolisen och Försvarsmakten har rätt att vid direktåtkomst ta del av de personuppgifter som omfattas av åtkomsten. Paragrafen reglerar Säkerhetspolisens och Försvarsmaktens direktåtkomst till vissa uppgifter som behandlar. finns i avsnitt 10.3.1. 2020/21:224 I första stycket anges att Säkerhetspolisen och Försvarsmakten får medges direktåtkomst till personuppgifter som utgör analysresultat inom försvarsunderrättelseverksamheten och som finns i uppgiftssamlingar. Analysresultat består av information som ännu inte har bearbetats till underrättelserapporter. Andra stycket innehåller en sekretessbrytande bestämmelse som möjliggör för Säkerhetspolisen och Försvarsmakten att vid direktåtkomst få ta del av uppgifter som omfattas av sekretess. 3 § Om det behövs för samarbetet mot terrorism eller för annat internationellt säkerhetssamarbete, får en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 2 § och som finns i uppgiftssamlingar. Första stycket gäller enbart i den utsträckning som sådan direktåtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall. I paragrafen regleras Försvarets radioanstalts möjlighet att medge en utländsk underrättelse- och säkerhetstjänst direktåtkomst till vissa personuppgifter. Övervägandena finns i avsnitt 10.3.2. Av första stycket framgår att en utländsk underrättelse- eller säkerhetstjänst får medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 2 § och som finns i uppgiftssamlingar, om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhetssamarbete. Möjligheten att dela information genom direktåtkomst begränsas till utländska underrättelse- och säkerhetstjänster. Direktåtkomst får endast medges till personuppgifter som behandlas i Försvarets radioanstalts försvarsunder- rättelseverksamhet och som finns i uppgiftssamlingar. Innan direktåtkomst medges måste avgöra om det finns sakliga skäl att låta en viss utländsk underrättelse- eller säkerhetstjänst få ta del av personuppgifterna, dvs. om det finns behov av att lämna ut uppgifterna för att främja bekämpningen av terrorism eller andra svenska intressen. Innan personuppgifterna lämnas ut genom direktåtkomst ska dessutom bedöma om det finns rättsliga förutsättningar att lämna ut dem till en utländsk mottagare, bl.a. med beaktande av sekretess. Enligt andra stycket gäller första stycket endast i den utsträckning som sådan direktåtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall. 4 § Om det behövs för samarbetet mot it-relaterade hot mot samhällsviktiga system, får en utländsk organisation inom informationssäkerhetsområdet medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 7 § och som finns i uppgiftssamlingar. Första stycket gäller enbart i den utsträckning som sådan direktåtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall. Paragrafen anger när får medge en utländsk organisation inom informationssäkerhetsområdet direktåtkomst. Övervägandena finns i avsnitt 10.3.2. I första stycket anges att direktåtkomst får medges en utländsk Prop. 2020/21:224 organisation inom informationssäkerhetsområdet vid samarbetet mot it- relaterade hot mot samhällsviktiga system om det är nödvändigt för samarbetet. Direktåtkomst får endast avse personuppgifter som behandlas inom Försvarets radioanstalts informationssäkerhetsverksamhet och som finns i uppgiftssamlingar. I andra stycket tydliggörs att direktåtkomst enligt första stycket endast gäller i den utsträckning som sådan åtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall. Direktåtkomst i andra fall 5 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om direktåtkomst till uppgiftssamlingar i andra fall än de som anges i 2–4 §§. Regeringen får också besluta om detta i ett enskilt fall. Paragrafen reglerar direktåtkomst i andra fall. Övervägandena finns i avsnitten 10.3.1 och 10.3.2. Första stycket innehåller en upplysningsbestämmelse om att regeringen kan meddela föreskrifter om att andra än de som anges i 2–4 §§ får ha direktåtkomst till uppgiftssamlingar. Enligt andra stycket får regeringen också besluta om detta i ett enskilt fall. Enligt regeringsformen får skyddet gentemot det allmänna mot vissa fall av betydande intrång i den personliga integriteten begränsas enbart genom lag (2 kap. 6 § andra stycket och 20–21 §§ regeringsformen). Regeringens möjlighet att meddela föreskrifter är således begränsad. 6 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om omfattningen av direkt- åtkomsten och om behörighet och säkerhet vid sådan åtkomst. Regeringen får också besluta om detta i ett enskilt fall. Paragrafen reglerar omfattningen av direktåtkomsten. Övervägandena finns i avsnitten 10.3.1 och 10.3.2. Första stycket innehåller en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om omfattningen av direktåtkomsten, och om behörighet och säkerhet vid sådan åtkomst. Enligt andra stycket får regeringen också besluta om detta i ett enskilt fall. Åtgärder för att säkerställa författningsenlig behandling 1 § ska, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa att behandlingen av personuppgifter är författningsenlig och att de registrerades rättigheter skyddas. 2020/21:224 Paragrafen reglerar åtgärder för att säkerställa författningsenlig behandling. Övervägandena finns i avsnitt 11.3.1. Tekniska och organisatoriska åtgärder för att skydda personuppgifterna regleras i 3 §. Organisatoriska åtgärder som avses i paragrafen är bl.a. att anta interna strategier för dataskydd, att informera och utbilda personalen och att säkerställa en tydlig ansvarsfördelning. Åtgärder som vidtas för att visa att behandlingen är författningsenligt kan t.ex. vara dokumentation av it- system, behandlingar och vidtagna åtgärder samt teknisk spårbarhet genom loggning och logguppföljning. Vilka åtgärder som bör vidtas får avgöras efter en bedömning i enskilda fall. Vid den bedömningen har det betydelse bl.a. vilka personuppgifter som ska behandlas, mängden uppgifter och hur integritetskänsliga de är. Även grunden för behandlingen och riskerna med den ska beaktas. Mer långtgående åtgärder kan behövas vid behandling som kan medföra särskilda risker för integritetsintrång eller vid omfattande behandling av en stor mängd personuppgifter. 2 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Paragrafen reglerar den interna tillgången till personuppgifter för dem som arbetar vid . Övervägandena finns i avsnitt 11.3.2. Paragrafen innebär att den personuppgiftsansvarige är skyldig att se till att anställda och andra som deltar i arbetet bara ges tillgång till de personuppgifter som krävs för att de ska kunna fullgöra sina arbetsuppgifter. Inom behandlas en betydande mängd personuppgifter, ofta av integritetskänsligt slag, vilka inte bör spridas till någon som inte är behörig att ta del av uppgifterna. Kravet på behörighetsbegränsning syftar till att minska den interna exponeringen av personuppgifterna. Hur det bör göras får bedömas med utgångspunkt i förutsättningarna och myndighetens behov. Faktorer som informations- systemens storlek och personuppgifternas natur ska beaktas. Paragrafen reglerar inte bara Försvarets radioanstalts personals tillgång till personuppgifter. Vid direktåtkomst är det den mottagande myndigheten som ansvarar för att den egna personalen inte ges tillgång till fler personuppgifter i det informationssystem som åtkomsten avser än vad arbetsuppgifterna motiverar. Paragrafen gäller enligt 10 § även för personuppgiftsbiträden som anlitar. 3 § ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska särskilt avse skydd mot obehörig eller otillåten behandling eller förstöring och mot förlust eller annan oavsiktlig skada. I paragrafen regleras säkerheten för personuppgifter. Övervägandena finns i avsnitt 11.3.2. Enligt paragrafen ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som Personuppgifterna ska särskilt skyddas mot obehörig eller Prop. 2020/21:224 otillåten behandling och mot förlust, förstöring eller annan oavsiktlig Uppräkningen, som illustrerar vad skyddsåtgärderna ska åstadkomma, är inte uttömmande. Skydd mot obehörig eller otillåten behandling innebär att obehöriga personer ska vägras åtkomst till utrustning som används vid behandling, att obehörig läsning, kopiering, ändring eller radering av datamedier ska förhindras, att obehörig registrering av personuppgifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter ska förhindras och att obehörig läsning, kopiering, ändring eller radering av personuppgifter i samband med uppgiftslämnande eller transport av databärare ska förhindras. Åtgärder ska också vidtas i syfte att säkerställa att personer som är behöriga att använda ett informationssystem endast har tillgång till personuppgifter som omfattas av deras behörighet. Den personuppgiftsansvarige ska också säkerställa att det kan kontrolleras och fastställas till vilka myndigheter eller andra organ personuppgifter har överförts och för vilka myndigheter eller andra organ uppgifterna har gjorts tillgängliga och att det i efterhand kan kontrolleras och fastställas vilka personuppgifter som förts in i ett informationssystem, när det har gjorts och av vem. Skydd mot förlust, förstöring eller annan oavsiktlig skada innebär bl.a. att de informationssystem som används ska kunna återställas vid störningar, att systemen ska fungera och att funktionsfel rapporteras och att de lagrade personuppgifterna inte kan förvanskas genom funktionsfel i systemen. Tänkbara exempel på organisatoriska skyddsåtgärder kan vara fastställandet av en säkerhetspolicy, kontroller och uppföljning av säkerheten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner. Vilken skyddsnivå som är lämplig får avgöras av i det enskilda fallet.