prop · H803224 · 2021-09-13 00:00:00 — Punkten 2 anger att personuppgifter får behandlas om de är nödvändiga för att kartlägga underrättelseverksamhet som riktas mot Försvarsmakten och dess säkerhetsintressen. Enligt punkten 3 får personuppgifterna behandlas om de är nödvändiga för att kartlägga annan säkerhetshotande verksamhet än som avses i punkten 1 och som innefattar brott eller åsidosättande av skyldigheter i anställning hos Försvarsmakten, och det finns särskilda skäl till att uppgiften ska behandlas. Behandling av personuppgifter får enligt punkten 4 även ske om personuppgifterna är nödvändiga för att bedöma om en person som har lämnat uppgifter om säkerhetshotande verksamhet är trovärdig. Enligt punkten 5 får personuppgifter behandlas om de är nödvändiga för att genomföra säkerhetsprövning enligt säkerhetsskyddslagen (2018:585) eller för att utföra en uppgift som rör säkerhetsskydd. Exempel på uppgifter som rör säkerhetsskydd är Försvarsmaktens tillträdeskontroll vid objekt, lokaler och områden där myndigheten bedriver verksamhet som kräver säkerhetsskydd, men även behörighetshantering inom signalskyddstjänsten, utbildning i säkerhetsskydd och kontroll av säkerhetsloggar omfattas. 7 § Personuppgifter som behandlas enligt 6 § ska förses med upplysning om på vilken av de angivna grunderna uppgiften behandlas. Om behandlingen av en personuppgift motiveras av något annat än ett antagande om att en person har utövat eller kommer att utöva brottslig verksamhet ska det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att en sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säkerhetshotande verksamhet ska förses med en särskild upplysning om detta, om det inte på annat sätt klart framgår att ett sådant antagande inte finns. Personuppgifter som behandlas enligt 6 § 1, 2 eller 3 ska i förekommande fall Prop. 2020/21:224 förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Paragrafen anger närmare villkor som gäller vid personuppgiftsbehandling enligt 6 §. Övervägandena finns i avsnitt 7.2.3. Enligt första stycket ska personuppgifter förses med upplysning om på vilken av de i 6 § angivna grunderna uppgiften behandlas. Uppgifter om brottsmisstanke är särskilt känsliga från integritets- Det ställs därför i andra stycket krav på att detta ska anges särskilt i de fall behandlingen av en personuppgift inte motiveras av antagande om att en person utövar brottslig verksamhet, om det inte klart framgår på annat sätt. På motsvarande sätt ska anges om det inte heller kan antas att personen bedriver säkerhetshotande verksamhet som inte utgör Utgångspunkten är att särskilda upplysningar inte behövs när det av sammanhanget inte kan uppstå några tvivel om varför uppgifterna i fråga behandlas och det därför inte föreligger risk för att någon av misstag kan uppfattas utöva brottslig eller på annat sätt säkerhetshotande verksamhet. Enligt tredje stycket ska personuppgifter som avses i 6 § 1, 2 eller 3 förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Detta innebär att en särskild upplysning i förekommande fall ska lämnas om vilken trovärdighet som tillmäts t.ex. den som lämnat ett tips till säkerhetstjänsten. Om möjligt ska också anges hur riktig uppgiften är, t.ex. om det är en obekräftad gissning eller ett 8 § Trots 6 § får personuppgifter som ingår i eller har uppkommit i samband med användning av totalförsvarets telekommunikations- och informationssystem behandlas för att förhindra obehörig insyn i och påverkan på dessa system. gäller även sådana uppgifter som avses i 15, 16, 18 och 19 §§. särskilt syftar till att identifiera en person får dock endast utföras om bestämmelserna i 6 § 1, 2 eller 3 tillämpas. Försvarsmakten ska föra en förteckning över de behandlingar som särskilt syftar till att identifiera en person och de uppgifter som har utgjort anledningen till Paragrafen reglerar ytterligare stöd för Försvarsmakten att behandla personuppgifter inom totalförsvarets telekommunikations- och Övervägandena finns i avsnitt 7.2.4. I första stycket anges att personuppgifter som ingår i eller har uppkom- mit i samband med användning av totalförsvarets telekommunikations- och informationssystem – även sådana som omfattas av särskilda restriktioner – får behandlas i syfte att förhindra obehörig insyn i och påverkan på dessa system. Den omständigheten att sådan behandling genom signalkontroll utförs utan att förekomsten av relevanta personuppgifter på förhand kan avgöras utgör följaktligen inte något hinder för verksamheten. När säkerhetshotande företeelser upptäcks och det krävs särskild behandling för att identifiera en person, t.ex. genom att en viss kommunikationsenhet härleds till en individualiserad användare, gäller dock att behandlingen endast får utföras om det finns grundad anledning att anta att det föreligger ett sådant förhållande som avses i 6 § 1, 2 eller 3. 2020/21:224 Enligt andra stycket ska Försvarsmakten föra en förteckning över de behandlingar som särskilt syftar till att identifiera en person och de uppgifter som utgjort anledningen till behandlingen. Detta möjliggör kontroll av att sådana behandlingar – vilka får anses känsliga från integritetssynpunkt – görs endast i de fall som det är befogat. 9 § Försvarsmakten får behandla personuppgifter om det är nödvändigt för diarieföring, arkivering, handläggning av ett ärende eller för att utföra annan liknande uppgift som myndigheten har. Paragrafen innehåller förutsättningarna för behandling av personuppgifter i Försvarsmaktens ärendehantering. Övervägandena finns i avsnitt 7.2.5. Av paragrafen följer att Försvarsmakten får behandla personuppgifter om det är nödvändigt för diarieföring, arkivering, handläggning av ett ärende eller för att utföra annan liknande uppgift som myndigheten har. Bestämmelsen avser ärenden som inleds såväl på Försvarsmaktens eget initiativ som efter framställning av annan. Det kan t.ex. vara fråga om en annan stats ansökan om att få tillträde till svenskt territorium och ärenden om kvalificerade skyddsidentiteter, liksom ärenden i Försvarsmaktens tillsyns- och inspektionsverksamhet eller om utvärdering av den egna verksamheten genom tidredovisning, lönesättning och sjuktal. Bestämmelsen innebär ett särskilt stöd för Försvarsmakten att behandla personuppgifter om det är nödvändigt för myndighetens diarieföring, arkivering, ärendehandläggning eller för att utföra annan liknande uppgift som myndigheten har (jfr 2 §, som ger stöd för Försvarsmakten att bl.a. behandla personuppgifter inom myndighetens personaladministrativa verksamhet). Det är Försvarsmakten som avgör vilken ändamåls- bestämmelse som myndigheten lägger till grund för en viss behandling av personuppgifter. 10 § Försvarsmakten får behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för den verksamhet som anges i 2, 3 och 5 §§. Paragrafen ger stöd för behandling av personuppgifter som utgör allmänt tillgänglig information. Övervägandena finns i avsnitt 7.4. Försvarsmakten får behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för den verksamhet som anges i 2, 3 och 5 §§. Bestämmelsen gör det möjligt att behandla personuppgifter när det gäller myndighetens verksamhet som avser försvar och säkerhet eller internationellt försvars- och säkerhetssamarbete, liksom när det gäller verksamhet inom den militära säkerhetstjänsten. Även för att kunna bedriva en effektiv försvarsunderrättelseverksamhet behöver Försvarsmakten, utöver den information som myndigheten inhämtar genom särskilda metoder, ha god tillgång till allmänt tillgänglig information. Därigenom kan den på särskilt sätt inhämtade informationen sättas in i sitt rätta sammanhang på ett bättre sätt. Av intresse här är framför allt information som utgörs av personuppgifter som kan påträffas vid sökning på internet eller vid sökningar i öppna databaser. 11 § Försvarsmakten får behandla personuppgifter för vetenskapliga, statistiska Prop. 2020/21:224 eller historiska ändamål inom denna lags tillämpningsområde. I paragrafen anges att Försvarsmakten får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom lagens tillämpningsområde. Övervägandena finns i avsnitt 7.5. Genom bestämmelsen ges Försvarsmakten möjlighet att behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål. 12 § Försvarsmakten får behandla personuppgifter om lagöverträdelser om det är nödvändigt för myndighetens verksamhet. Paragrafen innehåller ett preciserat ändamål för behandling av personuppgifter om lagöverträdelser. Övervägandena finns i avsnitt 7.6. Bestämmelsen ger Försvarsmakten möjlighet att behandla person- uppgifter om lagöverträdelser om det är nödvändigt för myndighetens verksamhet. Ett sådant behov kan t.ex. uppkomma inom ramen för Försvarsmaktens militära säkerhetstjänst. Författningsenlig och korrekt behandling 13 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. Paragrafen reglerar krav på en författningsenlig och korrekt behandling av personuppgifter. Övervägandena finns i avsnitt 8.1.1. Enligt paragrafen ska personuppgifter behandlas författningsenligt och på ett korrekt sätt. Att behandlingen ska ske författningsenligt innebär att den ska ske i enlighet med lag eller annan författning. Författningarna är även av betydelse för att en behandling ska anses ske på ett korrekt sätt. Vad som är ett korrekt sätt för behandling styrs inte enbart av författning. beslut om allmänna råd och uttalanden i fråga om personuppgiftsbehandling har också betydelse, liksom Försvarsmaktens interna regler. Otillåten behandling av personuppgifter kan i vissa fall vara straffbar enligt bestämmelser i , bl.a. bestämmelsen i 4 kap. 9 c § om dataintrång. Tänkbara exempel på dataintrång kan vara externa angrepp eller att någon som har tillgång till ett it-system överskrider sina befogenheter. 14 § Personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, uppdaterade. Personuppgifterna ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Paragrafen reglerar personuppgifternas kvalitet. Övervägandena finns i avsnitt 8.1.2. Enligt första stycket ska de behandlade uppgifterna vara riktiga och, om det är nödvändigt, uppdaterade. Personuppgifterna ska också vara adekvata och relevanta i förhållande till ändamålet med behandlingen. En personuppgift är riktig om den stämmer överens med de verkliga För att bestämma vilka de verkliga förhållandena är får man söka ledning i ändamålen med behandlingen. Det är ändamålen i det enskilda fallet som avses. Inom lagens tillämpningsområde måste frågan om en personuppgift är riktig inte bara vägas mot ändamålen med behandlingen utan även ses mot bakgrund av vad uppgiften rör, när den lämnas och vem som lämnar den. För att kunna avgöra om person- uppgifterna är riktiga är det också av stor betydelse att veta om de grundar sig på fakta eller på personliga bedömningar. Kravet på att personuppgifter ska vara riktiga innebär inte något hinder mot att samla in exempelvis osäkra underrättelseuppgifter, under förutsättning att personuppgifterna är relevanta för arbetet och att det framgår att det är osäkert om uppgiften är De personuppgifter som behandlas behöver vara uppdaterade bara om det är nödvändigt. Frågan om det är nödvändigt att de är uppdaterade får avgöras med hänsyn till ändamålen med behandlingen. uppgifter om telefonnummer eller andra kontaktuppgifter ändras under handläggningen av ett ärende och därmed behöva uppdateras. Att personuppgifterna ska vara adekvata och relevanta innebär att ovidkommande uppgifter inte får behandlas. En prövning av om en personuppgift är nödvändig för behandlingen ska göras kontinuerligt av Försvarsmakten, inte bara när uppgiften registreras eller på annat sätt Även vid en senare behandling ska personuppgiften behövas för just den behandlingen, annars är kravet på adekvans och relevans inte Enligt andra stycket ska uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. med bestämmelsen är att förhindra att personers utseende beskrivs i ordalag som kan vara kränkande för individen. Uppgifter om utseende är inte i sig att betrakta som känsliga personuppgifter. Utformningen av stycket innebär att myndigheten alltid är oförhindrad att, om den får ett tips från allmänheten eller en samarbetspartner om en person som kan misstänkas för verksamhet som exempelvis innebär säkerhetshot mot Försvarsmaktens intressen, göra de anteckningar som är nödvändiga för att underlätta identifieringen av personen, t.ex. anteckningar om fysiska kännetecken. utformas på ett objektivt sätt. I anslutning till dessa anteckningar får även sådana känsliga personuppgifter som avses i 15 § antecknas, om det är absolut nödvändigt för det arbete som tipset bör föranleda. Enligt tredje stycket får inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. utgör nödvändig behandling får avgöras av den personuppgiftsansvarige vid varje behandling. Att uppgifterna inte får vara fler än nödvändigt understryker kravet på att en fortlöpande bedömning görs. Sammantaget måste det vid all behandling prövas om det går att utelämna personuppgifter, eller i vart fall att endast använda uppgifter som indirekt går att hänföra till en viss person. är ett fullgott alternativ till att använda direkta eller indirekta person- uppgifter är förutsättningarna för att behandla personuppgifterna inte Prop. 2020/21:224 uppfyllda. 15 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. När personuppgifter behandlas får de dock kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Paragrafen, som utformas enligt Lagrådets förslag, reglerar känsliga personuppgifter. Övervägandena finns i avsnitt 8.2. Enligt första stycket får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning inte behandlas. Det innebär att det inte är tillåtet att föra register över eller på annat sätt göra anteckningar om enskilda på den grunden att de utifrån etniskt ursprung, politiska åsikter eller något annat i paragrafen angivet förhållande kan hänföras till en viss kategori av människor. En uppgift om utseende är typiskt sett inte en känslig personuppgift och den får alltså behandlas, med den begränsning som följer av 14 § andra stycket. Om en sådan uppgift innebär uppgift om etniskt ursprung omfattas den dock av förbudet. Bestämmelsen hindrar inte att uppgifter om en persons nationalitet behandlas, eftersom en sådan uppgift normalt sett inte ger upplysning om etniskt ursprung (prop. Uppgifter om att en viss person kommer från en viss världsdel eller ett visst land faller också som regel utanför förbudet mot behandling av känsliga personuppgifter. Skulle en sådan personuppgift i det enskilda fallet t.ex. avslöja etniskt ursprung är dock förbudet tillämpligt. Andra stycket innehåller ett undantag från huvudregeln att känsliga personuppgifter inte får behandlas. Personuppgifter som behandlas på annan grund får kompletteras med känsliga personuppgifter, om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Det innebär att personuppgifter som samlas in i ett visst fall får kompletteras med uppgifter om exempelvis religiös övertygelse eller etniskt ursprung om det är av stor betydelse med hänsyn till ändamålen med behandlingen. Med hänsyn till den restriktivitet som ligger i uttrycket absolut nödvändigt måste dock behovet av att göra sådana kompletteringar prövas noga i det enskilda fallet. Inom den personaladministrativa verksamheten kan t.ex. uppgifter om en enskilds hälsa behöva behandlas inom ramen för ett ärende om sjukfrånvaro eller uppgift om medlemskap i fackförening behöva behandlas inom ramen för ett arbetsrättsligt ärende. I sådana fall är kravet på att behandlingen är absolut nödvändig uppfyllt. I 16 och 17 §§ finns ytterligare bestämmelser om behandling av känsliga personuppgifter. Känsliga personuppgifter kan också förekomma i Försvarsmaktens verksamhet på grund av att någon har lämnat en sådan uppgift till myndigheten. Det kan vara fråga om helt grundlösa påståenden. Försvarsmakten inte kan hindra någon från att yttra sig vare sig muntligen 2020/21:224 eller skriftligen på dessa sätt, kan känsliga personuppgifter komma att behandlas. Behandlingen av den känsliga personuppgiften omfattas i dessa fall av undantaget enligt andra stycket. 16 § Biometriska uppgifter får behandlas om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Genetiska uppgifter får inte behandlas. Paragrafen, som utformas enligt Lagrådets förslag, reglerar i vilken utsträckning biometriska uppgifter får behandlas. Övervägandena finns i avsnitt 8.2. Enligt första stycket får biometriska uppgifter behandlas om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen Stycket möjliggör användning av särskild teknisk behandling för att bekräfta identifiering av en person. Det innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelsemönster kan användas för att identifiera en person. Behovet av att behandla biometriska uppgifter måste prövas noga i varje enskilt fall. I andra stycket anges att genetiska uppgifter inte får behandlas. Stycket innebär ett förbud för Försvarsmakten att behandla sådana uppgifter. 17 § Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas som sökbegrepp om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Detsamma gäller biometriska uppgifter. Paragrafen, som utformas enligt Lagrådets förslag, reglerar i vilken utsträckning känsliga personuppgifter får användas som sökbegrepp. Övervägandena finns i avsnitt 8.2. Paragrafen gäller generellt, dvs. för såväl personuppgifter som har gjorts gemensamt tillgängliga som personuppgifter som inte har det. Paragrafen gör det möjligt att utföra sökning i syfte att få fram ett personurval grundat på känsliga personuppgifter, t.ex. i syfte att få fram ett urval av personer som t.ex. har viss politisk åskådning eller religiös övertygelse, etniskt ursprung, eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen är absolut nödvändig med hänsyn till något av de ändamål för vilket Försvarsmakten behandlar personuppgifter. Försvarsmakten kan behöva söka på uppgifter som rör politiska åsikter, religiös övertygelse eller etniskt ursprung, eftersom det ingår i Försvarsmaktens uppdrag att kartlägga sådan verksamhet som kan komma att hota försvar och säkerhet. Sådan sökning kan även behöva göras t.ex. för att förebygga, förhindra eller utreda angrepp mot svensk personal vid insatser utomlands. Kravet på att det ska vara absolut nödvändigt att göra sökningen gör att utrymmet för sådana sökningar är begränsat och att rutinmässiga sökningar på känsliga uppgifter inte är tillåtna. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 15 §. Rätten att göra sökning medför således Prop. 2020/21:224 inte en generell rätt att fortsätta att behandla uppgifterna. 18 § Uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till 1.ändamålen med behandlingen, 2.vikten av en säker identifiering, eller 3.något annat beaktansvärt skäl. Paragrafen reglerar i vilken omfattning personnummer eller samordnings- nummer får behandlas vid Försvarsmakten. Övervägandena finns i avsnitt 8.3. Enligt paragrafen får uppgifter om personnummer eller samordnings- nummer bara behandlas när det är klart motiverat med hänsyn till ändamålen med behandlingen (punkten 1), vikten av en sådan identifiering (punkten 2), eller något annat beaktansvärt skäl (punkten 3). Vad som avses med personnummer och samordningsnummer framgår av folkbokföringslagen (1991:1487). Bestämmelsen innebär att en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär ska göras. Om behandlingen av personnummer eller samordningsnummer inte är klart motiverad med hänsyn till dess ändamål, till vikten av en säker identifiering eller något annat beaktansvärt skäl får den inte utföras. Om den registrerade har lämnat sitt samtycke eller offentliggjort personuppgifterna 19 § Trots 15, 16 och 18 §§ får andra personuppgifter än genetiska uppgifter behandlas, om den registrerade har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort uppgifterna. Paragrafen reglerar behandling av vissa personuppgifter om den registrerade har lämnat sitt samtycke eller offentliggjort uppgifterna. Övervägandena finns i avsnitt 8.4. Paragrafen ger Försvarsmakten möjlighet att, med undantag av genetiska uppgifter, behandla känsliga personuppgifter samt personnummer och samordningsnummer, om den registrerade har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort uppgifterna. Samtyckessituationer kan exempelvis förekomma i Försvarsmaktens militära säkerhetstjänst vid säkerhetsprövningar. Ett tänkbart exempel på offentliggörande kan vara att den registrerade har gjort personuppgifterna tillgängliga på internet. Behandling av personuppgifter i vissa fall 20 § Hantering av information som innebär behandling av personuppgifter ska inte anses oförenlig med bestämmelserna i 1–3, 5, 6, 8, 10, 12–16 och 18 §§ i det skede av behandlingen då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller. av personuppgifter i vissa fall. Övervägandena finns i avsnitt 8.5. 2020/21:224 Försvarsmakten kan få information som t.ex. är krypterad och formulerad på ett främmande språk. att informationen har bearbetats finns inte förutsättningar för att bedöma om den innehåller personuppgifter. Den initiala behandling som krävs för att detta ska kunna klarläggas måste kunna äga rum utan hinder av bestämmelserna om ändamål, lagöverträdelser, författningsenlig och korrekt behandling, personuppgifternas kvalitet, känsliga personuppgifter samt personnummer och samordningsnummer. Genom bestämmelsen tydliggörs att hantering av information som innebär behandling av personuppgifter inte ska anses oförenlig med bestämmelserna i 1–3, 5, 6, 8, 10, 12–16 och 18 §§ i det skede av behandlingen då det ännu inte har kunnat fastställas vilka person- uppgifter som informationen innehåller. När det står klart att informationen innehåller personuppgifter, samt vilka personuppgifterna är, ska Försvarsmakten behandla dem enligt lagen. Längsta tid som personuppgifter får behandlas 21 § Personuppgifter får inte behandlas än vad som behövs med hänsyn till ändamålen med behandlingen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter får behandlas under endast eller fortsätta behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål.