prop · H803224 · 2021-09-13 00:00:00 — Vissa kategorier av personuppgifter får inte behandlas genom automatiserad databehandling om inte den nationella lagstiftningen ger ett ändamålsenligt skydd. Till sådana kategorier hör personuppgifter som avslöjar ras, politisk tillhörighet, religiös tro eller övertygelse i övrigt, sexualliv samt uppgifter om brott (artikel 6). Dataskyddskonventionen reglerar även enskildas rätt att veta att information lagras om honom eller henne och rätten att vid behov få den korrigerad (artikel 8). Restriktioner när det gäller rättigheterna i konventionen är endast möjliga när det handlar om ett överordnat intresse, såsom statens säkerhet eller försvar (artikel 9). Enligt artikel 10 i dataskyddskonventionen, som även omfattar personuppgifts- behandling som rör nationell säkerhet, åtar sig konventionsstaterna att införa lämpliga sanktioner och rättsmedel för överträdelser av sådana bestämmelser i den nationella lag genom vilka de grundläggande principer för dataskydd som har angetts i konventionen har genomförts. Konventionen anger dock inte vilka krav som ställs på sådana sanktioner. antog ett tilläggsprotokoll till dataskyddskonventionen (ETS 181). Tilläggsprotokollet innehåller bestämmelser om tillsynsmyndigheter och överföring av personuppgifter till länder som inte är bundna av konventionen. har ratificerat, trädde i kraft framgår bl.a. att varje konventionsstat ska se myndigheter ansvarar för att kontrollera att de åtgärder respekteras som inom dess nationella lagstiftning ger verkan åt de principer som anges i konventionen. Tilläggsprotokollet innehåller vidare bestämmelser som anger att konventionsstaterna ska vidta åtgärder för att säkerställa att överföring av personuppgifter till ett land som inte är konventionspart bara får ske om landet i fråga säkerställer en adekvat skyddsnivå för uppgifterna. Det grundläggande skyddet vid automatiserad behandling av personuppgifter inom EU regleras numera främst genom dataskydds- förordningen (se avsnitt 5.3). Dataskyddskonventionen är dock alltjämt relevant, särskilt vid behandling av personuppgifter på områden som inte omfattas av EU:s kompetensområde, t.ex. allmän säkerhet och försvar. Efter en genomförd översyn av dataskyddskonventionen antog medlemsstater ett ändringsprotokoll till konventionen (CETS 223). Ändringsprotokollet träder i kraft när det har ratificerats av samtliga 47 medlemsstater. Ändrings- protokollet tillåter också ett delvis ikraftträdande inom en mindre grupp och från den dag då det öppnades för undertecknande. har undertecknat ändringsprotokollet, som hade ratificerats av elva medlemsstater. Av Europeiska unionens stadga om de grundläggande rättigheterna, förkortad EU-stadgan, framgår att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs (artikel 8). I artikel 52 i EU-stadgan anges i vilken utsträckning inskränkningar får göras i de rättigheter som erkänns i stadgan. Utgångspunkten är att sådana inskränkningar endast får göras i lag och ska vara förenliga med det väsentliga innehållet i rättigheterna. Begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. EU-stadgan är rättsligt bindande för medlemsstaterna vid tillämpning av unionsrätten. Stadgan är således inte tillämplig på nationell lagstiftning inom områden där EU inte har lagstiftningskompetens. 2020/21:224 5.3.2 Den allmänna regleringen av personuppgiftsbehandling inom Europeiska unionen fanns till dataskyddsdirektiv. Direktivet syftade till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet gällde inte för behandling av personuppgifter utanför unionsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Personuppgiftslagen, genom vilken dataskyddsdirektivet huvudsakligen genomfördes i svensk rätt, gjordes emellertid generellt tillämplig och omfattade således även sådan verksamhet som faller utanför direktivets tillämpningsområde (Personuppgiftslag, prop. 1997/98:44 s. 40). Särreglering i lag eller förordning gällde framför bestämmelserna i personuppgiftslagen. utgör och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), hädanefter EU:s dataskyddsförordning eller dataskyddsförordningen, grunden för generell personuppgiftsbehandling inom EU. Det huvud- sakliga syftet med dataskyddsförordningen är bl.a. att säkerställa en enhetlig skyddsnivå över hela unionen och att undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Dataskyddsförordningen är direkt tillämplig i alla EU:s medlemsstater men förutsätter och möjliggör kompletterande och specificerande nationella bestämmelser av olika slag. Behandling av personuppgifter som sker inom verksamhet som inte omfattas av EU- rätten, t.ex. försvar och nationell säkerhet, behandling som sker inom EU:s gemensamma utrikes- och säkerhetspolitik, behandling som utförs av en fysisk person och som är av rent privat natur samt behandling som sker inom brottsbekämpande verksamhet, är uttryckligen undantagna från tillämpningsområdet (artikel 2). Dataskyddsförordningen reglerar bl.a. grundläggande principer för behandling av personuppgifter, den registrerades rättigheter, person- uppgiftsansvar, tillsyn över personuppgiftsbehandling och rätten för enskilda att få tillgång till rättsmedel och sanktioner mot ansvariga som inte lever upp till förordningens krav. I förhållande till tidigare lagstiftning ställer dataskyddsförordningen högre krav på de personuppgiftsansvariga genom bestämmelser om bl.a. utökad informationsskyldighet och möjlighet att besluta om administrativa sanktionsavgifter (artikel 83). Dessutom inrättades Europeiska dataskyddsstyrelsen med representanter från samtliga EU-länders dataskyddsmyndigheter, däribland Integritets- skyddsmyndigheten (artikel 68). Styrelsen har befogenhet att fatta beslut i frågor där nationella tillsynsmyndigheter inte kan komma överens, ge råd och vägledning om hur dataskyddsförordningen ska tillämpas och Prop. 2020/21:224 godkänna EU-omfattande uppförandekoder och certifieringar. Utöver dataskyddsförordningen gäller även lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning (dataskyddslagen). Bestämmelserna i dataskydds- förordning och dataskyddslagen gäller även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten (1 kap. 2 § dataskyddslagen). Europeiska dataskydds- styrelsen saknar emellertid behörighet inom detta utvidgade tillämpnings- område (prop. 2017/18:105 s. 184). Särskilda undantag från detta utvidgade tillämpningsområde har gjorts för bl.a. lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelse- verksamhet och militära säkerhetstjänst och lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvars- underrättelse- och utvecklingsverksamhet (1 kap. 3 § dataskyddslagen). som EU:s dataskyddsförordning och dataskyddslagen trädde i kraft upphävdes personuppgiftslagen. Enligt övergångsbestämmelserna till dataskyddslagen ska personuppgiftslagen dock fortsätta att gälla i sådan verksamhet hos Försvarsmakten och som inte omfattas av unionsrätten. och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (dataskyddsdirektiv) innehåller särregler för den personuppgiftsbehandling som behöriga myndigheter utför bl.a. i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott samt för att skydda mot, förebygga och förhindra hot mot den allmänna säkerheten. Direktivet har i huvudsak genomförts genom en ny ramlag, brottsdatalagen. Lagen är subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i andra författningar. 2020/21:224 6 Allmänna utgångspunkter för en ny Två nya lagar införs Regeringens förslag: Det införs en ny lag om behandling av personuppgifter vid Försvarsmakten som ersätter lagen om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst. Det införs en ny lag om behandling av personuppgifter vid som ersätter lagen om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklings- verksamhet. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Majoriteten av remissinstanserna, däribland Datainspektionen, , Migrations- verket, Försvarsmakten, , Försvarets materiel- verk, Försvarsunderrättelsedomstolen, och , tillstyrker eller invänder inte mot utredningens förslag. anser att utredningens förslag inte i tillräcklig grad har beaktat den särskilda problematik som underrättelseverksamhet kan medföra för den personliga integriteten. Skälen för regeringens förslag Regeringsformen och krav på reglering i lag Försvarsmakten och bedriver verksamheter som rör försvar och säkerhet och har inom sina respektive Försvarsmakten som behandlar ett stort antal personuppgifter där något samtycke av den registrerade, med hänsyn till karaktären av myndigheternas verksamheter, inte har inhämtats. säkerhetstjänst förekommer kartläggning av enskilda i den mening som avses enligt regeringsformens reglering om skyddet mot betydande intrång i den personliga integriteten (se Försvarets radioanstalts försvarsunderrättelseverksamhet får dock endast avse utländska förhållanden. Rätten till skydd mot betydande intrång i den personliga integriteten enligt 2 kap. 6 § andra stycket RF gäller för var och en, dvs. både för svenska medborgare och utlänningar. t.ex. utländska militära företrädare utanför omfattas emellertid inte av regeringsformens skydd för den personliga integriteten och krav på Det hindrar inte att lagstiftaren ändå väljer att i lag reglera delar av den personuppgiftsbehandling som ska vara möjlig att utföra i informationssäkerhetsverksamhet är inte av sådant slag att det innebär någon övervakning eller kartläggning av enskilda i regeringsformens mening (se avsnitten 4.2.1 och 4.2.2). personuppgifter i myndighetens militära säkerhetstjänst får emellertid, i den utsträckning det saknas samtycke från den registrerade, anses utgöra Prop. 2020/21:224 sådan kartläggning av enskilda. Grundlagsskyddet mot betydande intrång i den personliga integriteten kan begränsas i lag under förutsättning att begränsningen görs för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle (2 kap. 20 § första stycket 2 och 21 § RF). Det är av grundläggande betydelse i ett demokratiskt samhälle att kunna upprätthålla landets försvar och säkerhet. Försvarsmakten är en central myndighet i detta avseende. För att myndigheten ska kunna fullgöra sitt uppdrag i den militära säkerhets- tjänsten behöver den kunna behandla personuppgifter. Det är enligt regeringen därmed fråga om en sådan begränsning som får anses proportionerlig och nödvändig för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. Sammantaget anser regeringen att grundläggande bestämmelser för behandlingen av personuppgifter i Försvarsmaktens och Försvarets radioanstalts verksamheter, i likhet med nuvarande ordning, bör regleras i lag. Det är olämpligt att tynga lagarna med alltför detaljerade bestämmelser. Lagarna bör därför i lämplig utsträckning kompletteras genom föreskrifter på förordningsnivå. Två nya lagar bör införas Utredningens förslag innebär ett flertal ändringar i förhållande till befintlig lagstiftning på området. Det föreslås såväl införande av nya bestämmelser i sak, inbegripet ett utvidgat tillämpningsområde, som redaktionella och språkliga ändringar. Det bör därför införas nya lagar som ersätter nuvarande FM-PuL och FRA-PuL (jfr även avsnitt 17). De nya lagarna bör benämnas lagen om behandling av personuppgifter vid Försvarsmakten och lagen om behandling av personuppgifter vid . De föreslagna nya lagarna bygger i stor utsträckning på FM-PuL och FRA-PuL och har utformats med utgångspunkt från Försvarsmaktens och Försvarets radioanstalts behov av att kunna bedriva sina verksamheter effektivt och med hänsyn till skyddet för enskildas integritet. Till skillnad från anser regeringen att även de nya lagarna beaktar skyddet för enskildas personliga integritet på ett väl avvägt sätt. Lagförslagen och deras förhållande till nuvarande reglering behandlas närmare i det följande. 6.2Förhållandet till EU:s dataskyddsförordning Regeringens förslag: De nya lagarna ska vara heltäckande och utformas så att de gäller exklusivt på de områden som anges i respektive lag. Förhållandet till EU:s dataskyddsförordning och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning ska framgå av de nya lagarna. Utredningens förslag överensstämmer delvis med regeringens. I utredningens lagförslag anges endast lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. 2020/21:224 innehåller även en upplysningsbestämmelse om att de föreslagna lagarna inte inskränker myndigheternas skyldighet att lämna ut personuppgifter Remissinstanserna: Flertalet remissinstanser tillstyrker eller invänder inte mot utredningens förslag. Försvarsmakten föreslår att även EU:s dataskyddsförordning ska anges uttryckligen i lagarna. samfund framhåller vikten av att det klart framgår när de föreslagna lagarna är tillämpliga i förhållande till EU:s dataskyddsförordning. anser att de nya lagarnas förhållande till såväl tryckfrihetsförordningen som yttrandefrihetsgrundlagen bör anges i lagarna. Skälen för regeringens förslag: Försvarsmakten och Försvarets radioanstalt bedriver verksamhet som rör försvar och säkerhet. Av fördraget om Europeiska unionen framgår att i synnerhet den nationella säkerheten ska vara varje medlemsstats eget ansvar (artikel 2.4). nationell säkerhet inbegriper bl.a. även försvar. I EU:s dataskyddsförordning anges att förordningen inte ska tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten (artikel 2.2 a). Av skälen till dataskydds- förordningen framgår att förordningen inte är tillämplig på frågor som rör skyddet av grundläggande rättigheter eller friheter eller det fria flödet av personuppgifter på områden som inte omfattas av unionsrätten, såsom verksamhet rörande nationell säkerhet (skäl 16). ska inte heller tillämpas på behandling av personuppgifter som medlemsstaterna utför när de bedriver verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken (artikel 2.2 b). således direkt av dataskyddsförordningen att den inte är tillämplig på den behandling av personuppgifter som sker inom Försvarsmaktens och Försvarets radioanstalts verksamheter. kommit att få ett utvidgat tillämpningsområde i . kompletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen) utvidgas tillämpningen av bestämmelserna i dataskydds- förordningen till att även gälla vid behandling av personuppgifter som utgör led i verksamhet som inte omfattas av unionsrätten (1 kap. 2 §). Detta gäller dock inte verksamhet som omfattas av FM-PuL eller FRA- PuL (1 kap. 3 §). I propositionen Ny dataskyddslag anför regeringen att det med hänsyn till rikets säkerhet inte är lämpligt att dataskyddsförordningen blir tillämplig även inom de mest känsliga verksamhetsområdena innan den pågående översynen av författningarna på försvarsområdet har avslutats 2017/18:105 s. 31). Av övergångsbestämmelserna till dataskydds- lagen framgår bl.a. att personuppgiftslagen ska fortsätta att gälla i sådan verksamhet hos Försvarsmakten och som inte omfattas av unionsrätten och som inte heller omfattas av de särskilda lagarna om behandling av personuppgifter i Försvarsmaktens och Försvarets radioanstalts verksamheter. avsnitten 7 och 8 om vilken personuppgiftsbehandling vid Försvarsmakten och som bör omfattas av de nya lagarna. I sammanhanget bör det framhållas att EU:s dataskyddsförordning bygger på och vidareutvecklar dataskyddskonvention som även omfattar nationell säkerhet och försvar. bundet av konventionen med dess tilläggsprotokoll. Försvarsmaktens och Försvarets radioanstalts personuppgiftsbehandling Prop. 2020/21:224 får således inte strida mot bestämmelserna i dataskyddskonventionen, vilket bl.a. innebär att personuppgifter som undergår automatisk databehandling ska lagras för särskilt angivna och lagliga ändamål och inte användas på ett sätt som är oförenligt med dessa ändamål (artikel 5 i dataskyddskonventionen). Avvikelser från konventionen får endast göras om sådana avvikelser medges i nationell lagstiftning och avvikelsen är nödvändig i ett demokratiskt samhälle för att bl.a. skydda statens säkerhet (artikel 9). Regeringen bedömer att förslagen i detta lagstiftningsärende är förenliga med dataskyddskonventionen och dess tilläggsprotokoll. Med utgångspunkt från att de verksamheter Försvarsmakten och bedriver till huvudsaklig del ligger utanför unionsrätten bör författningsregleringen i fråga om myndigheternas personuppgiftsbehandling vara heltäckande och utformas så att den gäller exklusivt på de områden som anges i respektive lag inom det aktuella området. EU:s dataskyddsförordning är direkt tillämplig i och kompletteras av dataskyddslagen. Det bör, som efterfrågar, av de nya lagarna för Försvarsmaktens och Försvarets radioanstalts personuppgiftsbehandling tydligt framgå hur regleringen förhåller sig till EU:s dataskyddsförordning och dataskyddslagen. Ibåde FM-PuL och FRA-PuL finns en upplysningsbestämmelse om att lagen inte tillämpas i den utsträckning det skulle inskränka skyldigheten enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter. Regeringen anser, till skillnad från utredningen, att det inte finns något behov av att föra in motsvarande reglering i de nya lagarna. Syftet med de nya lagarna Regeringens förslag: Syftet med de nya lagarna är att säkerställa att Försvarsmakten och kan behandla person- uppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser tillstyrker eller invänder inte mot utredningens förslag. Skälen för regeringens förslag: Syftet med nuvarande reglering är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter i Försvarsmaktens försvarsunderrättelse- verksamhet och militära säkerhetstjänst och i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet (1 kap. 2 § FM-PuL och Personuppgiftsbehandlingen ska vara nödvändig (1 kap. 8 §) och fler personuppgifter får inte behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen (1 kap. 6 § 6). Även de nya lagarna bör innehålla bestämmelser om syftet med lagarna där såväl kravet på ändamålsenlighet som intresset att skydda fysiska personers fri- och rättigheter framgår. Utredningen föreslår mot den bakgrunden att syftet med de nya lagarna ska vara att säkerställa att Försvarsmakten och kan behandla personuppgifter 2020/21:224 på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. Regeringen anser i likhet med majoriteten av remissinstanserna att utredningens förslag är väl avvägt och bör genomföras. Lagtexten bör utformas i enlighet med detta. 6.4De nya lagarnas tillämpningsområden 6.4.1Tillämpningsområdet för lagen om behandling av personuppgifter vid Försvarsmakten Regeringens förslag: Lagen om behandling av personuppgifter vid Försvarsmakten ska gälla vid behandling av personuppgifter i myndighetens verksamhet som rör försvar och säkerhet samt internationellt försvars- och säkerhetssamarbete. Lagen ska gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad. Den ska också gälla personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda rutiner. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Försvarsmakten anser att en särskild författnings- reglering för Försvarsmaktens personuppgiftsbehandling kommer att leda till bättre förutsättningar för att bedriva verksamhet och i förlängningen bidra till en ökning av den operativa förmågan, och att ett överskådligt och förenklat regelverk också bidrar till ett förbättrat skydd för den som personuppgiften rör. anser att utredningens förslag till utformning kan väcka frågor om lagens räckvidd i förhållande till Försvarsmaktens verksamhet. Skälen för regeringens förslag: Frågor om försvar och nationell säkerhet omfattas som utgångspunkt inte av unionsrätten. Enligt ikraftträdande- och övergångsbestämmelserna till dataskyddslagen ska personuppgiftslagen fortsätta att gälla i sådan verksamhet hos Försvarsmakten som inte omfattas av unionsrätten och som inte regleras i FM-PuL. Försvarsmakten har flera verksamhetsuppdrag, men det grundläggande uppdraget är att upprätthålla och utveckla ett militärt försvar som ytterst kan möta ett väpnat angrepp. Det grundläggande uppdraget, som ligger utanför , har en nära koppling till Försvarsmaktens försvars- underrättelseverksamhet och militära säkerhetstjänst. I dessa verksamheter är frågan om personuppgiftsbehandling enligt nuvarande ordning särreglerad genom FM-PuL. I propositionen Lag om försvars- underrättelseverksamhet som låg till grund för lagen om försvarsunder- rättelseverksamhet, anförs att det ligger i sakens natur att försvarsunderrättelseverksamheten ska ses som ett led i Försvarsmaktens uppgifter i fred, under beredskap och i krig. I propositionen anförs vidare att försvarsunderrättelseverksamheten ska ge underlag för Försvars- maktens beredskap, operativa verksamhet och förbandsproduktion samt för krigsorganisationens utveckling och materiella förnyelse (prop. 1999/2000:25 s. 14). I militär säkerhetstjänst och försvarsunderrättelseverksamhet tillämpas FM-PuL, men inom logistik, samband och personaladministration tillämpar Försvarsmakten personuppgiftslagen. Omvärldsbevakning, operationsplanering, civil-militär samverkan, samt taktisk och operativ underrättelsetjänst bedrivs med stöd av antingen FM- PuL eller personuppgiftslagen beroende på var inom myndigheten personuppgifterna hanteras och i vilket syfte. En personuppgift kopplad till exempelvis en specifik operation kan därför behandlas med stöd av olika personuppgiftsregelverk i samma databehandlingssystem. Den reglering av personuppgiftsbehandling som gäller för Försvarsmakten, med två tillämpliga regelverk beroende på var inom myndigheten uppgiften för tillfället behandlas, försvårar informations- utbytet mellan system och verksamheter. Det leder till att effektiviteten inom Försvarsmakten och därmed den samlade operativa effekten riskerar att försämras. Regeringen anser att en mer sammanhållen reglering skulle motverka detta.