sou · H9B382 · 2021-10-28 00:00:00 — Om det redan efter grundutredningen står klart att den som prövningen gäller inte uppfyller kraven för en godkänd säkerhetsprövning enligt 3 kap. 2 § säkerhetsskyddslagen (lojalitet, pålitlighet och sårbarhet) ska registerkontroll och i förekommande fall särskild personutredning inte göras (5 kap. 3 § säkerhetsskyddsförordningen). Registerkontroll ska göras om anställningen eller deltagandet i den säkerhetskänsliga verksamheten har placerats i säkerhetsklass. Uppgifter ska löpande hämtas deltagandet i den säkerhetskänsliga verksamheten pågår (3 kap. 14 § första stycket säkerhetsskyddslagen). Om anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass 1 eller 2 får uppgifter hämtas från belastningsregistret och misstankeregistret. Även uppgifter som behandlas med stöd av lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område eller lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter får hämtas. Om den kontrollerade är gift eller sambo får motsvarande uppgifter även hämtas om maken/makan eller sambon (3 kap. 14 § andra stycket säkerhetsskyddslagen). När det gäller säkerhetsklass 3 får sådana uppgifter om den kontrollerade som finns i belastningsregistret eller misstankeregistret eller som behandlas hos med stöd av lagen om polisens behandling av personuppgifter inom brottsdatalagens område eller lagen om Säkerhetspolisens behandling av personuppgifter hämtas (3 kap. 14 § tredje stycket säkerhetsskyddslagen). Till skillnad för vad som gäller för säkerhetsklass 1 och 2 får uppgifter om den kontrollerades eventuella make/maka eller sambo inte hämtas. Det finns dock undantag som innebär att även andra uppgifter får hämtas om det finns synnerliga skäl till det och det finns också regler om att registerkontroll i vissa fall får göras utan föregående placering i säkerhetsklass (3 kap. 14 § fjärde stycket och 15 § säkerhetsskyddslagen). Det är Säkerhetspolisen som genomför kontroll mot aktuella register (5 kap. 15 § säkerhetsskyddsförordningen). Om det under registerkontrollen kommer fram en uppgift får den endast lämnas ut om det i det enskilda fallet kan antas ha betydelse för prövningen av den enskildes lojalitet, pålitlighet och sårbarhet enligt 3 kap. 2 § säkerhetsskyddslagen. Uppgifter som gäller den kontrollerades make/ maka eller sambo får bara lämnas ut om det är absolut nödvändigt (3 kap. 19 § säkerhetsskyddslagen). Det är Säkerhets- och integritetsskyddsnämndens registerkontrolldelegation som gör en relevansprövning och beslutar om uppgiften ska lämnas ut till verksamhetsutövaren. I sin bedömning beaktar delegationen bland annat vilken typ av anställning prövningen gäller, hur som passerat sedan händelsen som gett upphov till träffen i registren ägde rum och, om det gäller ett begånget brott, vilken påföljd som dömts ut. I förarbetena till den gamla säkerhetsskyddslagen skrev regeringen att i synnerhet relevansen av äldre uppgifter i Säkerhetspolisens register om en persons politiska hemvist måste prövas med särskild restriktivitet. Uppgifter om ådömda påföljder som ligger långt tillbaka i tiden bör inte lämnas ut om det inte har inträffat något särskilt som gör att uppgiften fortfarande har aktualitet. Normalt bör inte heller uppgifter om bagatellbrott lämnas ut. I fråga om allvarliga påföljder bör bedömningen oftare falla ut så att uppgiften lämnas ut. När det gäller uppgifter om anhöriga gäller ett särskilt högt krav på relevans. Regeringen påtalade också att uppgifter om att en närstående har gjort sig skyldig till snatteri eller liknande så gott som aldrig har en så stor betydelse för bedömningen av den prövades pålitlighet att de ska lämnas ut. Innan Säkerhets- och integritetsskyddsnämndens registerkontrolldelegationen fattar beslut om att lämna ut uppgiften ska, med vissa undantag, den som uppgiften gäller ha fått tillfälle att yttra sig över uppgiften (3 kap. 20 § säkerhetsskyddslagen). Om uppgifter lämnas ut blir dessa en del av underlaget i verksamhetsutövarens säkerhetsprövning. (Frågor om sekretess behandlas nedan i avsnitt 4.3.8.) Registerkontrollen ska som ovan nämnts pågå löpande den enskilde deltar i den säkerhetskänsliga verksamheten. När anställningen eller deltagandet som föranlett placeringen i säkerhetsklass upphör, eller vid en omplacering till en lägre säkerhetsklass ska verksamhetsutövaren skyndsamt anmäla det till Säkerhetspolisen så att registerkontrollen kan avslutas eller anpassas till den lägre säkerhetsklassen (5 kap. 22 § säkerhetsskyddsförordningen). Den särskilda personutredningen är en undersökning av den kontrollerades ekonomiska förhållanden. I övrigt ska utredningen ha den omfattning som behövs. En särskild personutredning ska göras i samband med registerkontrollen när det gäller anställning eller annat deltagande i verksamhet som har placerats i säkerhetsklass 1 eller 2 (5 kap. 17 § säkerhetsskyddslagen). Det är Säkerhetspolisen som gör den särskilda personutredningen. Om anställningen eller deltagandet har placerats i säkerhetsklass 1 ska Säkerhetspolisen hålla ett personligt samtal med den som prövningen gäller, om det inte står klart att samtalet inte behövs. Ett personligt samtal ska, om det behövs, även hållas när utredningen gäller anställningar och annat deltagande i verksamhet som har placerats i säkerhetsklass 2 (5 kap. 19 § säkerhetsskyddsförordningen). Precis som när det gäller registerkontroll ska den enskilde innan ett utlämnande ha getts tillfälle att yttra sig över uppgiften och det är som beslutar om en uppgift ska lämnas ut. Samma bestämmelser är i detta avseende tillämpliga som när det gäller registerkontroll (3 kap. 19 och 20 §§ säkerhetsskyddslagen). 4.3.4Krav på samtycke till registerkontroll och särskild personutredning En registerkontroll och särskild personutredning får göras endast om den som säkerhetsprövningen gäller har lämnat sitt samtycke till det. Samtycket ska anses gälla också kontroller och utredningar som deltagandet i den säkerhetskänsliga verksamheten pågår (3 kap. 18 § säkerhetsskyddslagen). Det är den som ansöker om registerkontroll, dvs. verksamhetsutövaren, som ansvarar för att ett samtycke har inhämtats. Verksamhetsutövaren är också ansvarig för att dokumentera samtycket (5 kap. 17 § säkerhetsskyddsförordningen och 6 kap. 11 § Säkerhetspolisens föreskrifter om säkerhetsskydd PMFS 2019:2). Kravet på samtycke infördes i den tidigare säkerhetsskyddslagen. var den som beslutade om personalkontroll (motsvarade dagens säkerhetsprövning) endast skyldig att underrätta den som kontrollen avsåg för att denne skulle ha möjlighet att återkalla sin ansökan om anställning, om han eller hon hade anledning att befara att ofördelaktiga uppgifter skulle komma fram vid personalkontrollen. Regeringen gav vidare dispens från den underrättelseskyldigheten vid krigsplaceringar och liknande situationer där det inte var fråga om en anställning som den kontrollerade ansökt om att få. Den tidigare nämnda dispensmöjligheten behölls dock inte, när kravet på samtycke infördes, med motiveringen att ett krav på samtycke har så stort principiellt värde. I propositionen till äldre säkerhetsskyddslagen motiverade regeringen införandet av krav på samtycke med att den enskilde skulle ges en valmöjlighet och ett ökat skydd för sina rättigheter. Framför allt ansågs ett krav på samtycke, till skillnad från en ren underrättelseskyldighet, medföra att den enskilde aktivt fick ta ställning till om kontroll skulle utföras eller inte. Detta bedömdes bidra till att göra systemet öppnare och mindre integritetskränkande (prop. 1995/96:129 s. 54–55). Säkerhetsprövningen ska följas upp deltagandet i den säkerhetskänsliga verksamheten pågår (3 kap. 3 § andra stycket säkerhetsskyddslagen). Kravet på uppföljning infördes i den nuvarande säkerhetsskyddslagen och i förarbetena till lagen uttalas att säkerhetsprövningen ska ses som en process som ska pågå under hela den tid som en person har sin anställning eller sitt uppdrag. handlar det om att skaffa sig en fördjupad personkännedom genom till exempel regelbundna kontakter och uppföljningssamtal för att kunna fånga upp upplevt missnöje med arbetssituationen, kontaktförsök från främmande makt och liknande förhållanden som kan påverka risk och mottaglighet för utpressning eller omständigheter som tyder på att personen är i riskzonen för olika former av missbruk. Vid uppföljning av säkerhetsprövningen finns det anledning att lägga särskild vikt vid tillfällen som innebär större förändringar av arbetsuppgifterna och vid den avslutande fasen av anställningen. Uppföljningsansvaret innebär även att det ska ske en kontinuerlig bevakning av uppgifter som tillförs de register som är aktuella vid registerkontroll (prop. 2017/18:89 s. 81). I Säkerhetspolisens vägledning om säkerhetsskydd anges att det är genom den dagliga kontakten med personen som ett ändrat beteende kan noteras och som även andra relevanta signaler kan fångas upp. Den som träffar personen ofta, till exempel närmaste chef, kan genom regelbundna medarbetarsamtal och utvecklingssamtal få en fördjupad personkännedom. Uppföljningsansvaret innebär även att information av betydelse för registerkontrollen fångas upp och meddelas Säkerhetspolisen. Det kan till exempel handla om att den kontrollerade ändrar civilstånd, att ett äktenskap ingåtts eller avslutats (Vägledning i säkerhetsskydd – Personalsäkerhet, Säkerhetspolisen , s. 18). Om det finns anledning till det ska en tidigare gjord bedömning av en persons lämplighet att delta i den säkerhetskänsliga verksamheten omprövas (3 kap. 4 § tredje stycket säkerhetsskyddslagen). Om den som deltar i verksamheten kan antas vara lojal mot de intressen som skyddas i säkerhetsskyddslagen, eller i övrigt inte är pålitlig från säkerhetssynpunkt ska deltagandet inte fortgå. Bedömningen av säkerhetsprövningen ligger på den som beslutar om anställning eller annat deltagande i den säkerhetskänsliga verksamheten (3 kap. 4 § andra stycket säkerhetsskyddslagen). Om det är en myndighet som har det bestämmande inflytandet över den prövades lämplighet att delta i säkerhetskänslig verksamhet hos en enskild verksamhetsutövare, är det i stället myndigheten som gör den slutliga bedömningen (3 kap. 4 § tredje stycket säkerhetsskyddslagen). Det finns också särskilda regler för vem som gör bedömningen när det gäller domstolschefer och övriga ordinarie domare i domstolar (3 kap. 4 a § säkerhetsskyddslagen). Säkerhetsprövningen ska utgå från uppgifter som kommit fram när grundutredningen gjordes och den kännedom som i övrigt finns om den som ska prövas, uppgifter som har lämnats ut efter registerkontroll och särskild personutredning, arten av den verksamhet som prövningen gäller samt omständigheterna i övrigt (3 kap. 4 § första stycket säkerhetsskyddslagen). I propositionen som ligger till grund för säkerhetsskyddslagen har regeringen särskilt lyft fram utbildningens betydelse för säkerhetsskyddet. För att förebygga sådana sårbarheter som den så kallade mänskliga faktorn kan utgöra i en verksamhet bedömer regeringen att information och utbildning om säkerhetsskydd är viktiga delar av säkerhetsskyddet. Sårbarheter vid till exempel myndigheter kan inte sällan direkt kopplas samman med anställda som av okunskap, obetänksamhet eller bekvämlighet inte följer de krav på säkerhetsskydd som gäller för verksamheten. Det är den som bedriver den säkerhetskänsliga verksamheten som ska se till att den som ska anställas eller på annat sätt delta i verksamheten får utbildning i säkerhetsskydd i den utsträckning som behövs. På samma sätt som för säkerhetsprövningen finns det för utbildningskravet ett uppföljningsansvar som sträcker sig över hela anställningsförhållandet eller den som deltagandet pågår. Utbildning i säkerhetsskydd kan också underlätta den uppföljande säkerhetsprövningen. Samtal om säkerhetsskydd i samband med utbildning kan ge tillfälle att fånga upp relevanta attitydförändringar hos personer som omfattas av krav på säkerhetsprövning (prop. 2017/18:89 s. 74–75). Skyldigheten att se till att den som deltar i säkerhetskänslig verksamhet får utbildning i säkerhetsskydd finns reglerad i 5 kap. 1 § säkerhetsskyddsförordningen. Sekretess gäller för de uppgifter som kommer fram under säkerhetsprövningen (35 kap. 1 § första stycket 3 offentlighets- och sekretesslagen [2009:400]). Sekretessen gäller hos alla myndigheter som tar befattning med en sådan fråga. För enskild verksamhet finns en motsvarande bestämmelse om tystnadsplikt i 5 kap. 1 § säkerhetsskyddslagen. En fråga är i vilken utsträckning uppgifter i ett ärende om registerkontroll eller personutredning kan hållas hemliga för den kontrollerade själv. Säkerhets- och integritetsskyddsnämndens registerkontrolldelegation prövar frågor om utlämnande av uppgifter som kommit fram vid registerkontrollen. Huvudregeln i offentlighets- och sekretesslagen är att sekretess för den enskilde inte gäller i förhållande till den enskilde själv (12 kap. 1 §). Uppgifter som är sekretessbelagda enligt denna paragraf kan alltså inte hållas hemliga för den kontrollerade själv så länge sekretessen gäller endast till förmån för honom eller henne. Det finns dock andra sekretessregler som kan hindra att uppgifterna lämnas ut till den enskilde. Det kan till exempel röra sig om sekretess till skydd för närstående till den kontrollerade. Också andra sekretessregler kan hindra ett utlämnande till den kontrollerade, till exempel sekretess till skydd för rikets säkerhet eller för förebyggande eller beivrande av brott. Sådana regler gäller också i förhållande till den kontrollerade. Frågan om utlämnande till den kontrollerade har också reglerats i 3 kap. 20 § säkerhetsskyddslagen. Av den bestämmelsen framgår att innan en uppgift lämnas ut för säkerhetsprövning ska den som uppgiften gäller ges tillfälle att yttra sig över uppgiften. Det gäller dock inte om uppgiften omfattas av sekretess i förhållande till den enskilde enligt någon annan bestämmelse i offentlighets- och sekretesslagen än 35 kap. 3 §. Även om uppgiften omfattas av sådan sekretess ska den som uppgiften avser ges tillfälle att yttra sig innan uppgiften lämnas ut, om hans eller hennes intresse av att få yttra sig skäligen bör ha företräde framför det intresse som sekretessen ska skydda. Det innebär att också en närstående till den som kontrolleras kan få tillfälle att yttra sig om uppgiften som avses lämnas ut rör denne närstående. Om den som uppgiften avser är part i ett ärende hos den myndighet som bedömer säkerhetsprövningen, kan han eller hon ändå ha rätt att få del av uppgifterna. Uppgifterna får i sådant fall inte lämnas ut till den enskilde i den utsträckning det av hänsyn till allmänt eller enskilt intresse är av synnerlig vikt att sekretessbelagd uppgift i materialet inte röjs (se 10 kap. 3 § första stycket offentlighets- och sekretesslagen). 4.4Tillsyn, råd och stöd I 7 kap. säkerhetsskyddsförordningen finns bestämmelser om vilka myndigheter som utövar tillsyn över säkerhetsskyddet hos myndigheter och andra som lagen gäller för. Av 7 kap. 1 § 1 och 2 följer att Försvarsmakten utövar tillsyn över Totalförsvarets plikt- och prövningsverk och att Säkerhetspolisen utövar tillsyn över bland annat Myndigheten för samhällsskydd och beredskap samt kommuner och regioner. Som tillsynsmyndighet ska Försvarsmakten och Säkerhetspolisen lämna råd om säkerhetsskydd (7 kap. 11 §). Säkerhetspolisen har gett ut ett antal vägledningar om säkerhetsskydd som är tänkt att fungera som ett stöd för verksamhetsutövare i tillämpningen av säkerhetsskyddsregelverket. Försvarsmaktens har gett ut ett antal handböcker om säkerhetsskydd, bland annat säkerhetstjänst Säkerhetsprövning 2017. 5Skyddet för den personliga integriteten och dess reglering Nedan redogörs kortfattat för vad som avses med begreppet personlig integritet och något om vilken reglering som finns avseende skyddet för densamma. Det redogörs också kortfattat för regleringen av behandlingen av personuppgifter på totalförsvarets område. Redovisningen är påkallad dels av att utredningen har i uppdrag att särskilt väga in behovet av skydd för den personliga integriteten om det bör vara möjligt att göra undantag från kravet på samtycke till registerkontroll och särskild personutredning, dels för att frågan om den personliga integriteten även aktualiseras i andra delar av uppdraget. 5.1Vad är personlig integritet? Begreppet personlig integritet används i vardagligt tal vanligen för att beteckna individens värde och värdighet. Begreppet finns i både grundlag och vanlig lag, t.ex. i 2 kap. 6 § andra stycket regeringsformen och 5 kap. 6 § lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter, men någon allmängiltig definition av vad som menas med personlig integritet har dock inte slagits fast i lagstiftning. Inte heller har regeringen bedömt det vara nödvändigt att formulera någon sådan definition av begreppet (prop. 2009/10:80 s. 175). I ett försök att ändå beskriva vad som kan anses vara kärnan i rätten till personlig integritet har regeringen uttalat att kränkningar av den personliga integriteten utgör intrång i den fredade sfär som den enskilde bör vara tillförsäkrad och där ett oönskat intrång bör kunna avvisas (prop. 2009/10:80 s. 175, prop. 2005/06:173 s. 15). I uppslagsverk beskrivs den personliga integriteten som en ”rätt att få sin personliga egenart och inre sfär respekterad och att inte utsättas för personligen störande ingrepp”. Skyddet för den personliga integriteten och dess reglering 5.2Internationella åtaganden och europarätt Den rättsliga regleringen av skyddet för den personliga integriteten finns såväl i nationell rätt som i internationella överenskommelser som har anslutit sig till. När det gäller internationella åtaganden kan följande nämnas särskilt. () antog den allmänna förklaringen om de mänskliga rättigheterna. Förklaringen är inte formellt bindande för medlemsstaterna, men ses som ett uttryck för sedvanerättsliga regler. Förklaringen innehåller artiklar som skyddar privatlivet och den personliga integriteten. I förklaringens anges att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende. Var och en har rätt till lagens skydd mot sådana ingripanden och angrepp (artikel 12). I förklaringen anges också att en person endast får underkastas sådana inskränkningar som har fastställts i lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras fri- och rättigheter samt för att tillgodose ett demokratiskt samhälles berättigade krav på moral, allmän ordning och allmän väl (artikel 29). är därutöver folkrättsligt förpliktat att uppfylla de åtaganden som följer av om medborgerliga och politiska rättigheter som trädde i kraft . I konventionen finns skyddet för den personliga integriteten i artikel 17 som till sitt innehåll är likvärdig med artikel 12 i den allmänna förklaringen som nämns ovan. Europeiska konventionen om skydd för de mänskliga rättigheterna och grundläggande friheterna, , innehåller också bestämmelser som skyddar rätten till privat- och familjeliv. För svensk del gäller som lag (lag [1994:1219] om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna). Ingen lag eller föreskrift Skyddet för den personliga integriteten och dess reglering får meddelas i strid med åtaganden enligt (2 kap. 19 § regeringsformen). Artikel 8 i , om rätt till skydd för bland annat privatliv, innehåller följande. 1.Var och en har rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespondens. 2.Offentlig myndighet får inte ingripa i denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till den nationella säkerheten, den allmänna säkerheten eller landets ekonomiska välstånd, till förebyggande av oordning eller brott, till skydd för hälsa eller moral eller till skydd för andra personers fri- och rättigheter. Rätten till skydd för privatlivet har av getts en vid tolkning. Skyddet omfattar bland annat uppgifter om den enskildes identitet, uppgifter om hälsa och sexuell läggning samt information som rör den personliga utvecklingen och relationer till andra individer.1 Rätten till respekt för privatlivet innefattar också ett skydd mot registrering och utlämnande av uppgifter ur allmänna register.2 Också i Europeiska unionens stadga om de grundläggande rättigheterna (stadgan) finns bestämmelser som är avsedda att skydda den personliga integriteten. I samband med att Lissabonfördraget antogs fick stadgan direkt effekt. Detta följer av artikel 6.1 i fördraget om Europeiska unionen (). Därmed blev stadgan rättsligt bindande för EU:s medlemsstater. Stadgan föreskriver att var och en har rätt till fysisk och mental integritet (artikel 3). Var och en har också rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer (artikel 7). Stadgan innehåller därutöver bestämmelser om bland annat skydd för personuppgifter (artikel 8). Stadgan är tillämplig för unionens institutioner, organ och byråer samt för medlemsstaterna när de tillämpar unionsrätten (artikel 51.1). 1Se t.ex. Rotaru mot [GC], nr 28341/95. 2Leander mot , nr 9248/81, och m.fl. mot , nr 62332/00. Skyddet för den personliga integriteten och dess reglering Den allmänna regleringen av personuppgiftsbehandling inom Europeiska unionen fanns till dataskyddsdirektiv. Direktivets syfte var bland annat att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. Direktivet gällde inte för behandling av personuppgifter i verksamhet som inte omfattas av unionsrätten, t.ex. behandlingar som rör allmän säkerhet, försvar och statens säkerhet. Personuppgiftslagen (1998:204), genom vilken dataskyddsdirektivet huvudsakligen genomfördes i svensk rätt, gjordes emellertid generellt tillämplig och omfattade således även sådan verksamhet som faller utanför direktivets tillämpningsområde (prop. 1997/ 98:44 s. 40). är och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) grunden för generell personuppgiftsbehandling inom EU. I fortsättningen används förkortningen dataskyddsförordningen. Det huvudsakliga syftet med dataskyddsförordningen är bland annat att säkerställa en enhetlig skyddsnivå över hela unionen och att undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Dataskyddsförordningen är direkt tillämplig i alla EU:s medlemsstater men förutsätter och möjliggör kompletterande nationella bestämmelser. I har generella kompletterande bestämmelser samlats i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen. Dataskyddsförordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Förordningen ska dock inte tilllämpas på behandling av personuppgifter om utgör ett led i en verksamhet som inte omfattas av unionsrätten, t.ex. försvar och nationell säkerhet (jfr artikel 2). Skyddet för den personliga integriteten och dess reglering Dataskyddsförordningen reglerar bland annat grundläggande principer för behandling av personuppgifter, den registrerades rättigheter, personuppgiftsansvar, tillsyn över personuppgiftsbehandling och rätten för enskilda att få tillgång till rättsmedel och sanktioner mot ansvariga som inte lever upp till förordningens krav.