prop · H803224 · 2021-09-13 00:00:00 — 2020/21:224 Bilaga 1 Rättslig grund för Försvarsmakten – försvar och säkerhet Personuppgiftsbehandling inom Försvarsmaktens huvuduppgifter bör omfattas av en svensk nationell reglering. Försvarsmakten föreslås därför få behandla personuppgifter om det är nödvändig för att planera, förbereda och genomföra verksamhet som rör försvar och säkerhet eller internationellt försvars- och säkerhetssamarbete. Uppgiften att bedriva sådan verksamhet ska följa av lag, förordning eller ett särskilt beslut i vilket regeringen har uppdragit åt myndigheten att utföra uppgiften. Försvarsmakten har bl.a. i uppdrag att upprätthålla och utveckla ett militärt försvar som ytterst kan möta ett väpnat angrepp samt att försvara och främja svensk säkerhet. Vid höjd beredskap ska Försvarsmakten kunna krigsorganisera, mobilisera och använda alla krigsförband för att möta ett militärt hot mot och svenska intressen. och planeringen av denna innefattar personuppgiftsbehandling av anställda i Försvarsmakten och andra som på annat sätt är knutna till myndigheten. När Försvarsmakten planerar, förbereder och genomför militära operationer och övningar behandlar myndigheten också uppgifter om de som deltar i operationerna och övningarna. Personuppgiftsbehandling inom underrättelseverksamhet för att lösa Försvarsmaktens militära uppgifter, som inte utgör försvars- underrättelseverksamhet eller militär säkerhetstjänst, omfattas av bestämmelsen om den rättsliga grunden, liksom att pröva och anpassa teknisk utrustning och tekniska system. Den rättliga grunden ger Försvarsmakten det stöd för personuppgiftsbehandling enligt den föreslagna lagen som krävs inom bl.a. dessa verksamheter. Rättsliga grunder för Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst Med vissa ändringar innehåller den föreslagna lagen om behandling av personuppgifter vid Försvarsmakten i huvudsak samma rättsliga grunder för myndighetens försvarsunderrättelseverksamhet och militära säkerhets- tjänst som i nuvarande lagstiftning. Kravet att uppgifter om en person får behandlas i försvarsunderrättelseverksamheten endast om personen har anknytning till en preciserad inriktning för försvarsunderrättelse- verksamheten tas dock bort. Rättsliga grunder för Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet Också för denna verksamhet innehåller den föreslagna lagen om be- handling av personuppgifter vid samma rättsliga grunder som i nuvarande lagstiftning. Kravet att uppgifter om en person får behandlas i försvarsunderrättelseverksamheten endast om personen har anknytning till en preciserad inriktning för försvarsunderrättelse- verksamheten tas dock bort. Rättslig grund för Försvarets radioanstalts informationssäkerhetsverksamhet Av Försvarets radioanstalts instruktion framgår att har i uppdrag att vara statens resurs för teknisk informationssäkerhet och ska ha hög kompetens inom informationssäkerhetsområdet. Förslaget till lag om behandling av personuppgifter vid innehåller en rättslig grund som innebär att personuppgifter får behandlas i Försvarets radioanstalts informationssäkerhetsverksamhet om det är nödvändigt för att kunna skydda den egna myndigheten eller för att kunna stödja andra verksamheter som är av betydelse för säkerhet. Uppgiften att lämna stöd till andra verksamheter ska följa av lag eller förordning eller regeringsbeslut i ett enskilt fall. Det finns även ett antal tillkommande ändamål för vilka personuppgifter som behandlas i informationssäkerhetsverksamheten bör få behandlas. Personuppgiftsbehandling föreslås få ske om det är nödvändigt för att tillhandahålla information som behövs hos den som tar emot uppgifter om informationssäkerhet samt om det är nödvändigt för att tillhandahålla information som behövs med anledning av samverkan med andra som verkar på informationssäkerhetsområdet såväl inom som utom landet. Detta bör dock bara få ske i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. En nära samverkan mellan försvarsunderrättelseverksamheten och informationssäkerhetsverksamheten är enligt utredningen av stor betydelse. För underrättelseverksamheten är det angeläget att kunna ta del av uppgifter från informationssäkerhetsverksamheten när det gäller att kartlägga allvarliga yttre hot mot samhällets infrastruktur och främmande underrättelseverksamhet. Personuppgifter förslås därför även få behandlas om det är nödvändigt för att tillhandahålla information av detta slag. Informationssäkerhetsverksamheten är även av betydelse för utvecklingsverksamheten. Personuppgifter som får behandlas i informa- tionssäkerhetsverksamheten förslås därför även få behandlas om det är nödvändigt för att tillhandahålla information som behövs i utvecklings- verksamheten. Behandling av personuppgifter i allmänt tillgänglig information För att kunna bedriva en effektiv försvarsunderrättelseverksamhet utöver den information som inhämtas genom hemliga metoder behöver både Försvarsmakten och också tillgång till allmänt tillgänglig information. Allmänt tillgänglig information kan vara personuppgifter som kan påträffas vid sökning på internet eller vid sökningar i öppna databaser. Uppgifterna kan vara gratis eller tillgängliga på kommersiell grund. Det kan också röra sig om uppgifter som t.ex. en abonnent på ett eller annat sätt har samtyckt att uppgifterna finns med i elektroniska telefonkataloger eller förteckningar över ip-adresser i olika länder Personuppgifter som utgör allmänt tillgänglig information föreslås därför få behandlas av Försvarsmakten om det är nödvändigt för planering, förberedelse och genomförande av verksamhet som rör försvar och säkerhet eller internationellt försvars- och säkerhetssamarbete, försvarsunderrättelseverksamheten, eller den militära säkerhetstjänsten. Motsvarande föreslås för om det är nödvändigt för de ändamål som anges för försvarsunderrättelse- och utvecklings- verksamheten och informationssäkerhetsverksamheten. 2020/21:224 Bilaga 1 2020/21:224 Bilaga 1 Behandling av känsliga personuppgifter De föreslagna lagarna, liksom de nuvarande, förbjuder behandling av personuppgifter som grundar sig enbart på känsliga personuppgifter. Författningarna innehåller undantag från förbudet genom att andra uppgifter får kompletteras med känsliga uppgifter och att känsliga personuppgifter får användas som sökbegrepp om det är absolut nödvändigt. Känsliga personuppgifter i form av biometriska uppgifter får emellertid behandlas självständigt, medan behandling av genetiska uppgifter föreslås vara helt förbjudet för båda myndigheterna. Känsliga personuppgifter föreslås emellertid få behandlas utan hinder av dessa regler om den som personuppgifterna rör har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort uppgifterna. Detta ska dock inte gälla genetiska uppgifter. Längsta tid för behandling De föreslagna lagarna reglerar längsta tid för behandling, men innehåller inte – som de nuvarande – regler om bevarande och gallring. Lagarna syftar nämligen till att skydda den personliga integriteten och reglerar inte bevarande och gallring i arkivlagens mening. Jämfört med nuvarande bestämmelser har de därför formuleras om så att det framgår att det är fråga om dataskyddsbestämmelser. Regleringen ska utgå från hur länge personuppgifter får behandlas. Utökade möjligheter till elektroniskt utlämnande Regleringen av i vilken utsträckning personuppgifter får lämnas ut på medium för automatiserad behandling moderniseras för att möta de ökade behoven av att kunna kommunicera elektroniskt. För Försvarsmakten blir det tillåtet att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt, medan utlämnande från är fortsatt mer restriktivt. Försvarsmakten och ska få medge varandra och Säkerhetspolisen direktåtkomst till personuppgifter som har gjorts gemensamt tillgängliga och som behandlas för vissa syften. Även utländska underrättelse- och säkerhetstjänster kan få medges direkt- åtkomst till uppgifter som Försvarsmakten och behandlar för vissa syften, om det t.ex. behövs för samarbetet mot terrorism. Sådan direktåtkomst ska dock endast få medges till person- uppgifter i en avskild uppgiftssamling och endast om svenska intressen kan motivera det. Tillsyn över myndigheternas personuppgiftsbehandling Både Datainspektionen och Statens inspektion för försvarsunder- rättelseverksamheten ska på samma sätt som utöva tillsyn och kontroll över Försvarsmaktens och Försvarets radioanstalts person- uppgiftsbehandling. Konsekvenser för den personliga integriteten Sammantaget innebär förslagen att skyddet för den personliga integriteten kommer att vara på samma nivå som . I viss mån kan intrånget i personlig integritet öka genom de ökade möjligheterna till direktåtkomst som motiveras av starka försvars- och säkerhetsintressen De nya författningarna och ändringarna i de befintliga författningarna föreslås träda i kraft . Det krävs särskilda över- gångsbestämmelser för bestämmelserna om loggning i uppgiftssamlingar. Till de nya lagarna krävs det också övergångsbestämmelser för ärenden om tillsyn eller granskning som rör behandlingen av personuppgifter som har påbörjats före ikraftträdandet men inte hunnit slutföras. 2020/21:224 Bilaga 2 Lagförslagen i betänkandet SOU 2018:63 Förslag till lag (2019:000) om behandling av personuppgifter vid Försvarsmakten Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § Syftet med denna lag är att säkerställa att Försvarsmakten kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. 2 § Denna lag gäller vid Försvarsmaktens behandling av personuppgifter som rör försvar och säkerhet. 3 § Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 4 § Vid behandling av personuppgifter enligt denna lag gäller inte lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning. Förhållandet till annan reglering 5 § Bestämmelserna i denna lag ska inte tillämpas i den utsträckning det skulle inskränka skyldigheten enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter. 6 § Försvarsmakten är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Personuppgiftsansvaret omfattar all behandling av personuppgifter som utförs under myndighetens ledning eller på dess vägnar. 7 § Försvarsmakten får vara gemensamt personuppgiftsansvarig med annan endast i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutar om det. 8 § I denna lag används följande uttryck med nedan angiven betydelse. En åtgärd eller kombination av åtgärder som vidtas i fråga om av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. ring, strukturering, lagring, bear- betning eller ändring, framtagning, spridning eller tillhandahållande på annat sätt, justering, samman- föring, begränsning, radering eller Personuppgifter som rör en persons fysiska, fysiologiska eller be- tagits fram genom särskild teknisk behandling och som möjliggör eller personen i fråga. En fysisk person som utses av den självständigt se till att person- enligt och på ett korrekt sätt. Personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som härrör från analys av ett spår av eller ett prov från personen i fråga. lämnas ut, med undantag av en myndighet som med stöd av fysisk person som är i livet. 2020/21:224 Bilaga 2 Den som ensam eller tillsammans med andra bestämmer ändamålen 2020/21:224 Bilaga 2 med och medlen för behandlingen Den som, med stöd av ett skriftligt avtal eller annan skriftlig överens- uppgifter för den personuppgifts- Någon annan än den som och sådana personer som under den ansvar har rätt att behandla person- med uppgifter som med hjälp av automatiserad behandling är gemensamt tillgängliga. 2 kap. Behandling av personuppgifter 1 § Försvarsmakten får behandla personuppgifter om det är nödvändigt för att planera, förbereda och genomföra verksamhet som rör 1.Sveriges försvar och säkerhet, eller 2.internationellt försvars- och säkerhetssamarbete. Försvarsmaktens uppgift att bedriva sådan verksamhet som anges i första stycket ska följa av lag, förordning eller ett särskilt beslut i vilket regeringen uppdragit åt myndigheten att utföra uppgiften. 2 § Personuppgifter får behandlas i Försvarsmaktens försvarsunder- rättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet. 3 § De personuppgifter som Försvarsmakten har fått tillgång till i myndighetens försvarsunderrättelseverksamhet får fortsatt behandlas i den verksamheten, om det behövs för att fullgöra den. Vad som sägs i första stycket gäller endast om inget annat följer av denna lag eller förordning som regeringen har meddelat i anslutning till lagen. Särskilt om militär säkerhetstjänst 4 § Personuppgifter får behandlas i Försvarsmaktens militära säker- hetstjänst för att upptäcka, förebygga och avvärja säkerhetshotande verksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen, om det är nödvändigt för att 1.klarlägga verksamhet som innefattar hot mot säkerhet, eller 2.vidta åtgärder som hindrar eller försvårar säkerhetshotande verksamhet. 5 § Uppgifter om en person får behandlas för de ändamål som anges i 4 § endast om 1.uppgifterna är nödvändiga för att kartlägga verksamhet som innefattar brott som kan hota säkerhet eller terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott eller motsvarande brottslighet enligt tidigare lagstiftning, 2.uppgifterna är nödvändiga för att kartlägga underrättelseverksamhet riktad mot Försvarsmakten och dess säkerhetsintressen, 3.uppgifterna är nödvändiga för att kartlägga annan säkerhetshotande verksamhet än som avses i 1 och som innefattar brott eller åsidosättande av åligganden i anställning hos Försvarsmakten, och det finns särskilda skäl till att uppgiften ska behandlas, 4.personen har lämnat uppgifter om säkerhetshotande verksamhet och personuppgifterna är nödvändiga för att bedöma personens trovärdighet, eller 5.uppgifterna avser information som har framkommit i samband med säkerhetsprövning enligt säkerhetsskyddslagen (1996:627) eller i annat fall är nödvändiga för att utföra en uppgift som rör säkerhetsskydd. 6 § Personuppgifter som behandlas enligt 5 § ska förses med upplysning om på vilken av de angivna grunderna uppgiften behandlas. Om behandlingen av en personuppgift föranleds av något annat än antagande om att personen har utövat eller kommer att utöva brottslig verksamhet ska det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säkerhetshotande verksamhet ska förses med en särskild upplysning om detta, om det inte på annat sätt klart framgår att sådant antagande inte finns. Personuppgifter som behandlas enligt 5 § första stycket 1–3 ska i förekommande fall förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. 7 § Trots vad som sägs i 5 och 6 §§ får personuppgifter som ingår i eller har uppkommit i samband med användning av totalförsvarets telekommunikations- och informationssystem behandlas för att förhindra obehörig insyn i och påverkan av dessa system. Det gäller även sådana uppgifter som avses i 15, 16, 18 och 19 §§. Behandling som särskilt syftar till att identifiera en person får dock endast utföras om bestämmelserna i 5 § 1, 2 eller 3 tillämpas. 2020/21:224 Bilaga 2 2020/21:224 Bilaga 2 8 § Personuppgifter som utgör allmänt tillgänglig information får behandlas av Försvarsmakten om det är nödvändigt för de ändamål som anges i 1, 2 och 4 §§. 9 § Personuppgifter får behandlas av Försvarsmakten om det är nödvändigt för diarieföring, arkivering, handläggning av ett ärende eller för att utföra annan liknande uppgift som åligger myndigheten. 10 § Försvarsmakten får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom denna lags tillämpningsområde. 11 § Försvarsmakten får behandla personuppgifter för att kunna tillgodose enskildas behov av information enligt 5 kap. och kunna lämna information vid tillsyn eller kontroll. 12 § Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen behandlades. Författningsenlig och korrekt behandling 13 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. 14 § Personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen och, om det är nödvändigt, uppdaterade. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 15 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. När uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt för syftet med behandlingen. 16 § Biometriska uppgifter får behandlas endast om det är absolut nödvändigt för ändamålet för behandlingen. Genetiska uppgifter får inte Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas som sökbegrepp om det är absolut nödvändigt för syftet med Detsamma gäller biometriska uppgifter. Uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till 1. ändamålet med behandlingen, 2. vikten av en säker identifiering, eller 3. något annat beaktansvärt skäl. Om den som uppgifterna rör har offentliggjort uppgifterna eller lämnat sitt samtycke Utan hinder av vad som föreskrivs i 15, 16 och 18 §§ får personuppgifter behandlas, om den som personuppgifterna rör har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort uppgifterna. Första stycket gäller inte genetiska uppgifter. Behandling av personuppgifter i vissa fall 20 § Hantering av information som innebär behandling av person- uppgifter ska inte anses oförenlig med bestämmelserna i 1, 2, 4, 5, 7, 8 och 12–16 §§ i det skede av behandlingen då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller. Längsta tid som personuppgifter får behandlas 21 § Personuppgifter som behandlas automatiserat får inte behandlas än vad som behövs för något eller några av de ändamål som anges i 1–11 §§. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller i ett enskilt fall besluta att personuppgifter får behandlas under endast eller bevaras för historiska, statistiska eller vetenskapliga ändamål. 22 § Personuppgifter som behandlas med stöd av denna lag får föras över till andra länder eller internationella organisationer endast om sekretess inte hindrar det och det är nödvändigt för att Försvarsmakten ska kunna fullgöra sina uppgifter inom ramen för internationellt försvars- och säkerhetssamarbete. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller i enskilt fall besluta att överföring får ske även i andra fall om det är nödvändigt för verksamheten vid Försvarsmakten. 2020/21:224 Bilaga 2 23 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Elektroniskt utlämnande genom direktåtkomst är tillåtet bara i den utsträckning som anges i 3 kap. 2–4 §§. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av möjligheten att lämna ut personuppgifter elektroniskt enligt första stycket. 3 kap. Gemensamt tillgängliga uppgifter Personuppgifter som får göras gemensamt tillgängliga 1 § Personuppgifter får göras gemensamt tillgängliga om det behövs för något av de ändamål som anges i 2 kap. Personuppgifter som endast ett fåtal personer har tillgång till anses inte som gemensamt tillgängliga. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller besluta i enskilda fall vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling. 2 § Trots sekretess enligt 38 kap. 4 § offentlighets- och sekretesslagen (2009:400) får Säkerhetspolisen och medges direktåtkomst till personuppgifter som utgör bearbetningsunderlag och analysresultat inom försvarsunderrättelseverksamheten och som finns i uppgiftssamlingar. 3 § Om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhetssamarbete får, i den utsträckning det följer av lag eller förordning eller om regeringen i ett enskilt fall beslutat om det, en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 2 § och som finns i uppgiftssamlingar. Direktåtkomst i andra fall 4 § Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter eller särskilt beslut om vilka som i andra fall än de som anges i 2 § och 3 § får ha direktåtkomst till gemensamt tillgängliga uppgifter. 5 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter eller beslut i enskilda fall om omfattningen av direktåtkomsten, och 2.föreskrifter om behörighet och säkerhet vid sådan åtkomst. 4 kap. Skyldighet som personuppgiftsansvarig Åtgärder för att säkerställa författningsenlig behandling 1 § Försvarsmakten ska, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa att behandlingen av personuppgifter är för- fattningsenlig och skydda rättigheterna för dem som uppgifterna rör. 2 § Försvarsmakten ska säkerställa att det förs loggar över person- uppgiftsbehandling av gemensamt tillgängliga uppgifter. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om loggar. 3 § Tillgången till personuppgifter ska alltid begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. 4 § Försvarsmakten ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling eller förstöring och mot förlust eller annan oavsiktlig skada. 5 § Försvarsmakten ska inom myndigheten utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när data- skyddsombud utses och entledigas. 6 § Dataskyddsombudet ska 1.självständigt kontrollera att Försvarsmakten behandlar person- uppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2.informera och ge råd till Försvarsmakten och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, 3.samråda med tillsynsmyndigheten, och 4.föra en förteckning över de kategorier av behandlingar som Försvarsmakten ansvarar för och som är helt eller delvis automatiserade.